DPO externalisé : à partir de quel stade votre PME en a besoin ?
Le RGPD impose un DPO dans certains cas, mais de nombreuses PME ne savent pas si elles sont concernées. Rôle du DPO, cas d'obligation, coût d'un DPO externalisé : ce qu'il faut savoir.
Depuis l’entrée en application du RGPD en 2018, beaucoup de PME ont entendu parler du DPO (Data Protection Officer, ou Délégué à la Protection des Données) sans savoir clairement si elles étaient concernées et ce que ce rôle implique concrètement. Voici ce qu’il faut savoir.
Le DPO est-il obligatoire pour votre PME ?
Le RGPD (article 37) impose la désignation d’un DPO dans trois cas :
- Votre organisation est une autorité ou un organisme public (collectivité, établissement public, etc.)
- Vous effectuez des traitements à grande échelle de données sensibles (données de santé, données biométriques, données relatives aux condamnations pénales, données sur les opinions politiques ou religieuses, etc.)
- Votre activité principale implique un suivi régulier et systématique de personnes à grande échelle (profilage, surveillance comportementale à grande échelle)
Pour la grande majorité des PME de moins de 100 personnes qui n’opèrent pas dans la santé ou ne font pas de profilage à grande échelle, le DPO n’est pas obligatoire au sens strict du RGPD.
Cependant, la désignation d’un DPO est encouragée et peut être utile même sans obligation légale.
Ce que fait concrètement un DPO
Le DPO n’est pas un responsable de la sécurité informatique, ni un juriste spécialisé en droit des contrats. Son rôle est spécifiquement centré sur la protection des données personnelles :
- Tenue et mise à jour du registre des traitements : inventaire de toutes les activités de traitement de données personnelles de l’organisation
- Conseil sur la conformité RGPD des nouveaux projets et outils
- Point de contact avec la CNIL en cas de contrôle ou d’incident
- Gestion des demandes d’exercice de droits (droit d’accès, de rectification, d’effacement)
- Sensibilisation et formation des collaborateurs
- Réalisation d’analyses d’impact (AIPD) pour les traitements à risque
DPO interne vs DPO externalisé
DPO interne : un salarié de l’entreprise est désigné DPO. L’avantage est la proximité avec les équipes et la connaissance fine des processus. L’inconvénient est que cette personne doit avoir les compétences requises (droit et informatique) et être disponible pour cette mission.
DPO externalisé : un prestataire extérieur (cabinet juridique, consultant RGPD, société spécialisée) assume le rôle de DPO pour compte de tiers. C’est la solution la plus courante pour les PME, car elle donne accès à des compétences spécialisées sans embauche.
Le coût d’un DPO externalisé varie selon la taille de l’organisation et la complexité des traitements. Pour une PME de 20 à 50 personnes avec des traitements standards, comptez généralement quelques milliers d’euros par an pour un accompagnement incluant le registre des traitements, les politiques de confidentialité et une disponibilité pour les questions courantes.
Ce que vous devez faire même sans DPO
Même si vous n’avez pas l’obligation de désigner un DPO, certaines obligations RGPD s’appliquent à toutes les entreprises qui traitent des données personnelles :
- Tenir un registre des traitements (article 30 RGPD) : liste des traitements de données, leurs finalités, les catégories de données, les durées de conservation
- Informer les personnes concernées de la collecte de leurs données (mentions légales, politique de confidentialité)
- Mettre en place des mesures de sécurité appropriées
- Notifier la CNIL en cas de violation de données dans les 72 heures
Le registre des traitements est le point de départ de toute démarche RGPD. C’est un document interne qui liste et décrit chaque activité de traitement (gestion des RH, prospection commerciale, gestion des clients, vidéosurveillance, etc.). Un audit informatique permet de cartographier les données traitées et d’identifier les mesures techniques à mettre en place pour s’y conformer.
Quand envisager un DPO externalisé
Même sans obligation légale, un DPO externalisé est utile si :
- Vous traitez des données de santé ou d’autres données sensibles
- Vous avez un volume important de données personnelles clients
- Vous avez des partenaires ou clients qui vous demandent de justifier votre conformité RGPD
- Vous manquez de ressources internes pour gérer la conformité
Pour évaluer vos obligations RGPD et mettre en place les mesures adaptées à votre structure, contactez l’équipe Zerobug.
Vous avez une question sur la conformité informatique ?
RGPD, archivage légal, politique de sécurité : nos ingénieurs vous aident à mettre en place des pratiques conformes aux obligations réglementaires.
Commençons par un audit. Rapport sous 7 jours.
Nos ingénieurs se déplacent, analysent votre infrastructure et vous remettent un rapport clair avec des priorités chiffrées, remboursé à la signature d'un contrat.