Désigner un DPO externe pour sa mise en conformité au RGPD : un atout pour tout responsable de traitements de données à caractère personnel.

Le DPO Data Protection officer ou Délégué à la Protection des Données peut être un salarié interne à l'entreprise.

Mais cette mission peut également être externalisée.

Le DPO externe est en mesure de proposer un accompagnement aux professionnels qui sont responsables de traitements de données à caractère personnel.

Entreprises, associations, administrations, traitent fréquemment de données personnelles que ce soit au sein de fichiers informatisés ou papier pour la gestion de leurs clients, de leurs prospects, la gestion du personnel, du recrutement, la gestion d’adhérents, des études statistiques, de la vidéosurveillance, etc.

Or en tant que responsable de ces traitements ou sous-traitant du responsable, ils doivent respecter l’application du RGPD Règlement européen sur la protection des données.

Il peut être obligatoire ou recommandé de désigner un Délégué à la protection des données ou DPO car le RGPD oblige les entreprises à mettre en ½uvre des mécanismes et des procédures internes permettant de démontrer le respect des règles relatives à la protection des données.

Le DPO va s’assurer du respect de cette obligation et piloter la mise en ½uvre de l’ensemble des process dédiés à la conformité juridique des traitements. Il doit être associé à chaque projet susceptible d’impacter la vie privée des personnes et la protection de leurs données.

Le DPO procure un accompagnement aux responsables de traitements de données à caractère personnel et leurs sous-traitants, afin de mettre en conformité leurs traitements avec le RGPD et la Loi Informatique et Libertés.

Il est notamment amené, dans le cadre de cette activité, à :

  • Recenser quels traitements traitent de données à caractère personnel, éventuellement des données particulières (dites sensibles),
  • Contrôler que ces traitements répondent à une des bases légales
  • Vérifier le respect des principes fixés par le RGPD, à savoir :
    • Collecte licite, loyale et transparente des informations
    • Finalités déterminées, explicites et légitimes du traitement
    • Pertinence et minimisation des données
    • Les données à caractère personnel doivent être exactes et si nécessaire tenues à jour
    • Sécurité des données
    • Conservation limitée
    • Catégories particulières de données interdites par principe, sauf exceptions
  • Sensibiliser le personnel à l’application du RGPD, à la gestion des données à caractère personnel et des droits des personnes concernées.
  • Préparer des procédures pour la mise en ½uvre des droits des personnes dont les données sont collectées (droit à l’information, droit d’accès, rectification, effacement, limitation, portabilité, opposition, décision individuelle), mais également en cas de violation des données ou en cas de contrôle de la CNIL, le cas échéant prévoir une analyse d’impact.
  • Etudier les relations contractuelles entre responsables de traitements et sous-traitants

En ma qualité d’avocate formée au RGPD, je peux assurer une telle mission ou assister un DPO interne au sein d’une structure (entreprise, administration, association) pour vérifier avec lui la conformité des traitements de données à caractère personnel et apporter des pistes de réflexion en cas de difficultés rencontrées.

Pour plus d’informations, n’hésitez pas à nous contacter.