Depuis son entrée en vigueur, le Règlement général sur la protection des données (RGPD) a profondément bouleversé le paysage de la sureté des informations. Parmi les changements majeurs introduits par cette législation, figure la création de la fonction de Délégué à la protection des données personnelles.
Le rôle du DPO
Le RGPD de l’Union Européenne a instauré le rôle important du DPO pour veiller à la conformité et à la sécurité des données personnelles.
Définition et missions
Il est le garant de la conformité aux règles de préservation des informations au sein d’une organisation. Sa principale mission est de surveiller et de conseiller sur le respect des lois et des politiques de préservation de celles-ci. Il est le point de contact entre l’organisation, les autorités de contrôle et les individus concernés par le traitement des informations. Son rôle s’étend également à la sensibilisation et à la formation du personnel sur les bonnes pratiques en la matière. Outre le suivi de la conformité, il est chargé d’effectuer des audits internes, d’évaluer les risques liés au traitement des informations et de développer des politiques de sécurité appropriées. En cas de violation de confidentialité, il est responsable de notifier l’autorité de contrôle compétente et, le cas échéant, les individus concernés. Par ailleurs, sa présence garantit une approche proactive de cette sûreté au sein de l’organisation, réduisant ainsi les risques de non-conformité et les atteintes à la vie privée des individus.
Les avantages de la nomination
Tout d’abord, cette nomination démontre l’engagement de l’organisation envers la protection des données, renforçant ainsi la confiance des clients, des employés et des parties prenantes. Par ailleurs, ce délégué apporte une expertise dans le domaine pour aider l’organisation dans le monde juridique. Sa présence aide également à identifier et corriger rapidement les lacunes en matière de conformité, réduisant ainsi les risques juridiques et financiers pour l’organisation.
L’évolution de l’obligation de nommer un DPO
Cette évolution témoigne de la volonté croissante des autorités de renforcer la sécurité de renseignements sur les citoyens et de responsabiliser davantage les acteurs économiques.
Les dispositions initiales
En 2018, l’obligation de nommer un DPO était restreinte à certaines catégories d’entreprises, notamment celles qui traitent des données personnelles à grande échelle, celles dont les activités présentent un risque élevé pour les droits et libertés des individus et celles qui font l’objet d’un suivi régulier et systématique des personnes.
Le non-respect du RGPD par les entreprises entraîne des sanctions lourdes, dissuasives et proportionnées à la gravité des manquements constatés. En outre, l’autorité compétente prononce des amendes élevées ou 4% du chiffre d’affaires annuel mondial de l’entreprise, en plus d’autres mesures correctives comme des injonctions de mise en conformité ou des suspensions de traitements. Ces sanctions visent notamment à responsabiliser les entreprises et à les inciter à adopter des pratiques respectueuses des droits fondamentaux des individus dans le domaine.
Les changements prévus pour 2024
En 2024, le champ d’application de l’obligation est considérablement élargi. Désormais, toutes les entreprises qui traitent des données personnelles, quel que soit leur secteur d’activité ou la taille de l’organisation, seront tenues de désigner ce responsable en leur sein. Plusieurs facteurs expliquent cet élargissement, entre autres :
- l’augmentation du nombre de traitements de données personnelles ;
- la complexité croissante des réglementations ;
- la nécessité de renforcer la protection des droits des personnes.
Face à ces changements, les entreprises sont invitées à évaluer si elles répondent aux nouveaux critères. Le cas échéant, elles doivent désigner un responsable compétent et lui fournir les ressources nécessaires. Par ailleurs, elles ont à mettre en place les procédures adéquates pour assurer la collaboration entre le DPO et la direction. Enfin, elles doivent sensibiliser et former les collaborateurs aux différents enjeux.
Les entreprises concernées par l’obligation de nommer un DPO en 2024
Si certaines organisations étaient déjà soumises à cette obligation depuis l’entrée en vigueur du RGPD, les nouvelles dispositions du règlement visent à étendre son champ d’application de manière significative.
Les critères de base
En 2024, toutes les entreprises qui traitent des données personnelles sont tenues de nommer un DPO, dès lors qu’elles répondent à l’un des deux critères suivants :
- le volume et la sensibilité des données traitées : traitement à grande échelle de données personnelles, y compris celles des employés. Ainsi que le traitement de données sensibles, telles que la santé, financières ou biométriques ;
- la nature des activités de l’entreprise : les activités impliquant un suivi régulier et systématique des personnes et les activités de traitement présentant un risque élevé pour les droits et libertés des individus.
Les hôpitaux et les cliniques, les banques et les compagnies d’assurance, les sociétés de marketing et de publicité figurent parmi les entreprises concernées.
Les cas particuliers
Outre les critères de base, certaines situations spécifiques déclenchent également la nécessité de la nomination, même si l’entreprise ne répond pas à tous les critères principaux. Ce sont notamment les entreprises ayant fait l’objet d’une violation de confidentialité, celles qui ont été condamnées pour des manquements à la protection, ainsi que celles dont les activités font l’objet d’une surveillance particulière par les autorités de contrôle.
