Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448 - 242

I N T E R V I E W
Sylvie Rozenfeld  : Avec le RGPD, le CIL
(correspond Informatique et libertés) est
devenu DPO, sigle tiré de l'anglais DPO (Data
Protection Officer) qui semble s'imposer pour
désigner le délégué à la protection des données.
Par rapport au CIL, la fonction s'est étoffée
en termes de missions et de responsabilités.
Que de chemin parcouru depuis 2004, date
de l'introduction des correspondants à la
protection des données et date de création
de l'association que vous présidez, l'AFCDP
(L'Association française des correspondants
à la protection des données à caractère
Personnel). Aujourd'hui, vous avez plus de
5 000 membres quand la Cnil compte plus de
19 000 délégués à la protection des données
(personnes physiques ou morales) désignés
par plus de 53 000 organismes et 700 structures
(des cabinets d'avocats, de conseils, etc.)
exerçant les fonctions de DPO pour le compte
des entreprises. Par ailleurs, votre association
a organisé une conférence, le 26 juin dernier,
intitulée «  vive le DPO  ». Je vous propose de
faire le bilan d'une année d'exercice de cette
nouvelle fonction avec les retours d'expérience
de vos membres. Commençons par les chiffres :
le nombre de DPO désigné correspond-il à celui
que vous aviez escompté ?

de précaution pour être sûres d'être dans les clous.
D'autres ont opté pour un DPO par opportunité
afin d'avoir une personne identifiée pour porter
le message lié à aux données personnelles, quand
la protection est importante pour l'activité de
l'organisation. D'après le retour que nous avons de
nos membres, il s'agit de s'assurer qu'elle respecte
la réglementation. D'autres facteurs peuvent jouer,
comme s'inscrire dans une démarche citoyenne
et de responsabilité sociale de l'entreprise.
Et les raisons « marketing » ?
Pratiquement aucune entreprise ou organisation
n'a fait de sa conformité au RGPD un élément
important de sa communication de façon durable.
Les directions générales n'ont sans doute pas
voulu prendre le risque d'être prises en porte à
faux en cas de data breach.

Le DPO n'est évidemment pas une profession
homogène, que le délégué soit externe ou
interne, d'une collectivité territoriale, de
l'Etat, d'une PME ou d'un groupe national
ou d'une multinationale. Quelles sont les
différents types de DPO ? Quels sont les
différents profils ? Une enquête du ministère
du Travail sur le profil des DPO a été réalisée en
association avec l'AFCDP.
C'est une fonction très hétérogène effectivement
qui est définie par un seul article et qui s'applique
Paul-Olivier Gibert  : Je n'avais pas fait de
aux entreprises de 50 ou de 500 000 salariés et
pronostics sur un nombre de DPO. Nous
au secteur public. Il est évident que les modalités
constatons qu'il y a plus de DPO désignés qu'il y
d'exercice de cette profession ne peuvent pas
avait de CIL, ce qui est tout à fait normal dans la
être les mêmes suivant les cas. C'est pourquoi il
mesure où la fonction devient obligatoire pour
est difficile de répondre de manière normative
un certain nombre d'acteurs. Et pour ceux pour
et affirmative car ce qui
lesquels la désignation d'un
caractérise le DPO est
DPO n'est pas obligatoire,
son hétérogénéité, du fait
les enjeux du RGPD les ont
« Ce métier restera très hétérogène
que les responsables de
incités à le faire. L'AFCDP
car la problématique des données
traitement le sont.
s'attendait à une évolution
personnelles est présente dans de
Nous
avons
constaté
du nombre de ses membres
très nombreuses entreprises et
différentes typologies de
et elle a été très forte. Début
organisations mais pas forcément
désignation. Nous avons
2019 nous étions le double
avec le même degré de sensibilité. »
l'exemple d'un DPO d'une
de ce que nous étions en
collectivité locale qui s'est
2017.
décrit comme un couteau
suisse, avec l'ajout d'une fonction nouvelle. Il
La désignation d'un DPO est obligatoire
est directeur général des services qui, à ce titre,
dans certains cas, ce qui correspondrait à
avait été désigné dans le cadre d'un portefeuille
80  000 organisations selon la Cnil. Y en-a-t-il
global d'activités. Dans ce cas, les DPO n'ont pas
beaucoup qui ont désigné un DPO alors qu'elles
nécessairement un niveau d'expertise très élevé.
n'y étaient pas obligées ?
D'un autre côté, nous rencontrons des DPO qui
Elles l'ont fait avec deux objectifs. Pour un
sont au contraire des experts de la protection des
certain nombre de cas, l'obligation était claire,
données personnelles. On les retrouve plutôt dans
comme pour les organisations publiques. Pour
les grosses structures ou celles qui ont un enjeu
d'autres, c'était davantage sujet à interprétation
fort sur les données personnelles.
et à une analyse de l'activité du responsable pour
Le DPO est une fonction très récente. Beaucoup
déterminer si celles-ci exigent un suivi régulier
de désignation datent de moins d'un an. Mais
et à grande échelle des personnes concernées.
nous pouvons d'ores et déjà affirmer que ce métier
Donc, certaines entreprises l'ont fait à titre

242

EXPERTISES Juillet-Août 2019
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448
