Le DPO est souvent présenté comme le chef d’orchestre de la conformité RGPD.

Pour cause, son rôle de pilote des programmes de conformité lui confère une place centrale et stratégique en matière de protection des données personnelles dans une entreprise et plaident en faveur d’une désignation toujours recommandée, y compris lorsqu’elle n’est pas obligatoire.

Rattaché à la plus haute autorité en interne afin de prévenir tout risque de conflit d’intérêts, le DPO a pour mission d’accompagner et d’aider le responsable de traitement dans le respect de ses obligations.

A ce titre, le DPO a en charge de l’informer de ses obligations, le conseiller dans la manière de les respecter et l’alerter en cas d’infraction au RGPD.

Le DPO a également pour mission de contrôler le respect de la règlementation applicable en matière de protection des données personnelles au sein de l’entreprise.

Son contrôle porte sur les pratiques du responsable de traitement ou du sous-traitant mais également sur les actions de sensibilisation et de formation du personnel participant aux opérations de traitement, et les audits s'y rapportant.

Pour mener à bien cette mission, le DPO doit notamment réaliser périodiquement des audits pour vérifier les niveaux de conformité des traitements mis en œuvre et le respect des procédures « RGPD » mais également les niveaux de compétence et de sensibilisation du personnel au RGPD.

En pratique, le DPO anime la conformité notamment à travers la diffusion d’une veille informationnelle et l’organisation de sessions de formation. Il rend compte de l’avancée de ses missions en produisant un bilan annuel, communiqué au responsable de traitement.

Par ailleurs, le DPO doit également poursuivre une mission de coopération avec l'autorité de contrôle.

Enfin, le DPO fait office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement et de manière générale à la protection des données personnelles. C’est ainsi que les échanges entre la CNIL et l’organisme pour lequel le DPO est désigné doivent intervenir qu’avec ce dernier.

Si l’ensemble de ses missions est défini à l’article 39 du RGPD, le responsable de traitement peut lui confier des missions supplémentaires sous-réserve que celles-ci ne remettent pas en cause son indépendance et son objectivité dans l’exercice de ses fonctions.

A titre d’exemple, il est régulièrement confié au DPO la mission de répondre aux demandes des personnes concernées et de créer et maintenir à jour le registre des traitements.

FAQ sur le DPO