Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448 - 245

au sein de l'Union européenne et que l'on retrouve
avec la mise en place d'un DPO. Par exemple, la
France a près de quinze ans d'expérience avec le
CIL, l'Allemagne en a quarante ans. De son côté,
la Belgique est en train de découvrir la fonction.
Cela induit une grande hétérogénéité d'approche.

voulions établir la manière dont le DPO doit
associer la loyauté à l'égard de son employeur
et l'exercice indépendant de sa fonction, ce qui
nécessite de fixer un certain nombre de points.
Je précise que cette charte n'est pas réservée aux
adhérents de l'AFCDP.

Sous l'impulsion de l'AFCDP, une assurance
Le métier de DPO se trouve donc en phase
responsabilité civile professionnelle conçue
d'observation et de construction ?
spécifiquement pour les DPO externes a été
Je dirais que c'est un métier en phase de
mise en place. Pourquoi
développement. Et à ce
une police spéciale ?
titre, il n'est pas arrivé à un
« Dans une structure d'une certaine
Y-a-t-il un risque
stade de maturité, même
taille, il faut en effet quelqu'un qui a
spécifique à couvrir ?
si le DPO ne se serait pas
de l'expérience et de l'autorité afin de
Cela nécessite effectivement
intégré rapidement s'il n'y
parler de manière crédible au comité
une assurance particulière.
avait pas eu les CIL depuis
de direction et porter le message de la
L'offre couvre naturellement
une quinzaine d'années.
protection des données personnelles. »
la
responsabilité
civile
Un an, ça reste très court
professionnelle, avec la
pour atteindre une certaine
prise en charge des frais
maturité. En plus, cela
de défense et les éventuels dommages et intérêts
fait un an que le RGPD est applicable mais les
consécutifs à une mise en cause de l'entreprise au
organisations n'ont pas nécessairement désigné
titre de ses prestations. L'offre comprend également
un DPO à cette date. Quand bien même ce
des garanties additionnelles «  dommages  »,
serait le cas, le DPO n'aurait pas été opérationnel
intégrées d'office et s'y ajoute une responsabilité
immédiatement et son équipe et sa structure
civile exploitation.
n'auraient pas encore été formées. Il y a eu
quelques désignations avant le 25 mai 2018 et
Vous avez rédigé une charte de déontologie.
d'autres structures ne l'ont pas encore mis en place
Pourquoi ?
car leur processus n'est pas encore abouti. Mais de
Il est important que la profession de DPO et
façon générale, les processus se mettent en place
les responsables de traitement formalisent et
et avancent tranquillement vers la maturité, sans
structurent un référentiel de bon comportement
accrocs significatifs.
de la profession. C'est à elle qu'il revient de
produire ses propres standards déontologiques.
Propos recueillis par Sylvie ROZENFELD
Par exemple, nous avons particulièrement
veillé à la prévention des conflits d'intérêt. Nous

DES PROFESSIONNELS PLUTÔT SATISFAITS
D'après une étude réalisée à la demande du
ministère du Travail par l'AFPA en partenariat
avec l'AFCDP et la Cnil, auprès de 1 265 DPO
désignés auprès de la Cnil, il ressort que le DPO est
une personne de plus de 40 ans, cadre ou cadre
supérieur, de formation supérieure. Dans 34%
des cas, il est issu de l'informatique et dans 31,1%
il est juriste. 51,3% des DPO ont une expérience
de deux ans dans la protection des données
personnelles, un quart sont novices avec moins
d'un an d'expérience. La moitié des DPO internes
et internes mutualisés sont rattachés à une
direction générale ou au secrétariat général, avec
un positionnement hiérarchique majoritairement
situé à un niveau «  N-1  » du responsable de
traitement. 16,5% sont rattachés à la direction
de l'informatique ou de la sécurité, 12, 9%

de la direction juridique, 10,4% de la conformité,
des risques, de la qualité. Par ailleurs, près de 70%
des DPO occupent cette fonction à temps partiel.
Et quatre DPO sur dix disposent d'un budget
dédié pour exercer leur mission. Concernant les
DPO externes, ils sont, sans surprise, nombreux
dans les PME et les entreprises de moins de
10 000 employés. 75% des DPO sont satisfaits de
leur métier.
Cartographier les traitements et établir le registre
a été la première mission des DPO pendant
cette première année. Viennent ensuite la
sensibilisation et la formation du responsable
de traitement, du personnel et de la direction, la
mise en conformité des traitements existants,
la conformité des nouveaux traitements et la
veille légale et doctrinale. Il ressort de l'étude que
92% d'entre eux doivent gérer des contrats de
sous-traitance.

EXPERTISES Juillet-Août 2019

245
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448
