Délégué à la protection des données (DPO)

1.Élaborer les politiques et stratégies de protection des données * Articuler les enjeux juridiques, techniques, économiques, éthiques et la stratégie de protection des données de l'organisation en s’appuyant sur les outils de la qualité pour définir une politique de protection des données * Analyser le système d’informations en accord avec les ambitions et la stratégie de l’organisation pour déterminer une politique de protection adaptée * Identifier les rôles et responsabilités des collaborateurs de l'organisation en s’appuyant sur un bilan du système d’informations pour mettre en place les bases du système de gestion de la sécurité des données * Intégrer les équipes projet en mobilisant les compétences psychologiques et relationnelles pour construire de manière collaborative des politiques et stratégies de protection des données concertées * Élaborer un cahier des charges des stratégies et actions à mener en s'appuyant sur les normes établies et sur une analyse du système d’informations pour déterminer ses démarches auprès des collaborateurs et dirigeants * Élaborer des chartes informatiques et des chartes de gouvernance en utilisant un langage simple et compréhensible par tous pour appuyer ses démarches auprès des collaborateurs et dirigeants * Promouvoir les valeurs éthiques de la protection des données en favorisant leur intégration dans les chartes de gouvernance pour une compliance des données 2.Informer, sensibiliser et former les collaborateurs à la protection des données * Concevoir une politique de sensibilisation et de formation au sujet de la protection des données en tenant compte des métiers et compétences des collaborateurs et des enjeux de leur rôle au sein de l'organisation pour assurer le bon fonctionnement des procédures * Concevoir des actions de communication et de formations adaptées aux différents métiers de l'organisation et aux objectifs définis dans la politique de sensibilisation et de formation en s’appuyant sur l’analyse du système d’informations de l’organisation pour assurer le rôle opérationnel des collaborateurs vis-à-vis de la protection des données * Contrôler l'impact des actions de communication et de formation en les évaluant pour rectifier ou adapter le programme * Dispenser les programmes de formation et de sensibilisation du personnel et des instances dirigeantes en s’appuyant sur les méthodes pédagogiques adéquates pour assurer une collaboration effective de chacun à la protection des données * Adapter sa posture, son discours, le choix des modalités pédagogiques en s'ajustant à son public cible (direction, services informatiques, services juridiques, RH, cœur de métier de l’organisation...) et au contexte pour assurer la transmission des messages * Argumenter son propos en identifiant les réticences et en analysant les freins pour favoriser la coopération * Synthétiser et adapter un propos technique en identifiant les éléments saillants pour calibrer la forme de son propos en fonction de son public (direction, services informatiques, services juridiques, RH, cœur de métier de l’organisation...) * Mettre en valeur les actions mises en œuvres et leurs résultats en concevant des rapports écrits à destination du représentant de l'organisation pour informer et responsabiliser le responsable de traitement sur les mesures et risques (bilan annuel) * Maitriser ses émotions et ajuster sa posture en s’appuyant sur une connaissance du lien à l’autre pour assurer la prise de parole en public * Interagir avec l’ensemble des services de l’organisation (juridique, techniques, direction…) en s’appuyant sur une capacité d’adaptation pour faire adhérer l'ensemble des collaborateurs aux processus de protection des données. 3. Assurer la conformité des traitements de données * Cartographier les traitements de données réalisés dans l’entreprise en s’appuyant sur l’analyse du système d’informations pour établir la documentation de conformité. * Établir le registre d’activités de traitement et le registre des catégories de traitements en s’appuyant sur l’analyse du système d’informations pour assurer la traçabilité des traitements de données. * Établir et faire évoluer les processus et procédures de protection des données en collaborant avec l'ensemble des services et s’appuyant sur le cadre légal, les techniques de sécurité et les outils de la qualité afin de prévenir les aléas * Piloter l'analyse d'impacts en adéquation avec les attendus légaux pour évaluer les risques des traitements de données. * Déterminer les durées de conservation des données en s’appuyant sur les obligations légales en la matière et les techniques d’archivage pour assurer la compliance des données. * Piloter des audits de services internes en s’appuyant sur le cadre légal et les indications des autorités de contrôle pour vérifier l'exécution des analyses d'impact et s'assurer de la conformité avec la loi. * Piloter des audits de conformité de protection des données auprès des fournisseurs et prestataires en s'appuyant sur le cadre légal de la sous-traitance en matière de protection des données pour s'assurer de la conformité des sous-traitants. * Contrôler la base juridique des traitements de données et le respect des principes de loyauté, transparence, limitation des finalités, minimisation, exactitude, intégrité et confidentialité des traitements de données en s’appuyant sur l’analyse du système d’informations pour assurer la compliance des traitements de données. * Identifier l’existence d’un transfert de données hors Union européenne en s’appuyant sur le cadre légal de la compliance des données et la compréhension des infrastructures de stockage des données pour déterminer les instruments juridiques et techniques de transfert adéquats. * Déterminer les précautions à prendre en matière de contenu de zones libres et cookies en s’appuyant sur le cadre légal pour assurer le respect des droits individuels. * Établir les procédures de réception et de gestion des demandes d’exercices des droits des personnes concernées en s’appuyant sur le cadre légal de la protection des données pour assurer le respect de l’autodétermination des personnes concernées. * Déterminer les moyens appropriés et le contenu de l’information à fournir en s’appuyant sur la méthode facile à lire et à comprendre et le cadre légal de la protection des données pour assurer le respect de l’autodétermination informationnelle des personnes concernées. 4.Gérer les risques et fuites de données * Gérer les relations avec les autorités de contrôle en répondant à leur sollicitation afin de faciliter leur action. * Évaluer les risques encourus et suscités par les activités et processus de l'organisation en tenant compte de la nature, la portée, le contexte et la finalité des traitement de données pour calibrer les plans d’action proposés à la direction de l’organisation. * Conduire les actions de rectifications des procédures en mobilisant les services concernés et la veille réalisée pour actualiser la conformité et prévenir les fuites de données. * Mettre en œuvre la gestion des risques en intégrant les groupes projets relatifs aux SI et en appliquant les procédures de gestion de risques afin de prévenir les risques de fuite de données. * Déterminer la communication nécessaire auprès des autorités de contrôle et des personnes concernées en s’appuyant sur les obligations légales pour assurer l’autodétermination informationnelle des personnes. * Diriger la cellule de crise en sollicitant les outils de la communication et les valeurs éthiques de l’organisation pour participer à la reconstruction de la réputation de l'organisation. * Établir la documentation des violation de données en s’appuyant sur les outils des autorités de contrôle pour assurer la traçabilité des fuites de données. * Conseiller les dirigeants quant aux ajustements des mesures à apporter en s’appuyant sur les évolutions juridiques et technologiques pour prévenir une nouvelle fuite de données. * Réaliser une veille juridique et technique sur le sujet de la protection des données en consultant de nombreuses sources pour déterminer les actions de rectifications à réaliser. * Anticiper les évolutions en analysant les informations juridiques et techniques relatives à la protection des données pour mettre en œuvre une réflexion prospective.

La typologie des employeurs de DPO est multiple. En réalité, elle n’est pas relative à une taille ou un secteur d’activité en particulier. L’article 37 du RGPD précise les types d’organisations pour lesquels il est nécessaire de recruter un DPO : • lorsque la gestion des données personnelles exige un suivi régulier et systématique à grande échelle des personnes concernées, • lorsqu’il s’agit d’un traitement à grande échelle de données dites « sensibles » (données de santé, données biométriques, opinions politiques, convictions religieuses…) et de données à caractère personnel relatives à des condamnations pénales et à des infractions.

L'exercice du métier de Délégué à la protection des données n'est pas réglementé mais ce professionnel travaille en s'appuyant sur un cadre réglementaire précis: * Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il constitue le texte de référence en matière de protection des données personnelles. Ses dispositions sont directement applicables dans l'ensemble des États membres à compter du 25 mai 2018. * La loi " Informatique et Libertés " du 6 janvier 1978 et la loi du 20 juin 2018 relative à la protection des données personnelles. * Délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO).