Depuis le 25 mai 2018, date d’entrée en vigueur du Règlement général sur la protection des données (RGPD), un délégué à la protection des données, ou DPO (Data Protection Officer en anglais), doit être nommé au sein de tout organisme public, et au sein de toute entreprise :

• dont l’activité nécessite un suivi régulier et systématique de personnes à grande échelle (par exemple, une base de données de clients et prospects comportant des données personnelles comme des numéros de téléphone et des adresses email)
• amenée à traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations pénales et infractions.

La mise en conformité au RGPD concerne les structures établies sur le territoire de l’Union européenne ou dont l’activité cible directement des résidents européens.

Qu’est-ce qu’un délégué à la protection des données ?

Le délégué à la protection des données a pour mission d’accompagner la mise en conformité d’une entreprise au RGPD et de veiller au respect de la réglementation applicable en matière. Il est désigné par l'employeur au sein de l’entreprise, ou recruté à l’extérieur quand l'employeur ne dispose pas de ce profil spécifique en interne. Cette mission peut également être externalisée à un tiers.
 

Principales missions d’un délégué à la protection des données

Le délégué à la protection des données est chargé de vérifier, au sein d’une entreprise ou d’une administration, que l’ensemble des données à caractère personnel traitées est conforme au RGPD. Il lui revient la responsabilité de déployer une véritable culture de la protection des données et de mettre en place des actions visant à sensibiliser, informer et conseiller la direction et les salariés. Il anime les formations et accompagne les collaborateurs et managers concernés par les opérations de traitement des données.

Sa mission l’amène à définir les rôles et les responsabilités de chacun et à apporter son expertise sur la cartographie des traitements et des flux de données. Il doit se tenir informé des projets déployés, afin d’apporter des préconisations en amont si nécessaire. Il accompagne les acteurs concernés tout au long de la démarche. De plus, il contrôle l’établissement et la mise en œuvre de la politique de gestion des risques, la cartographie des risques des données personnelles traitées au sein de l'entreprise. Il peut être amené, si nécessaire, à mettre en place les analyses d'impact relatives à la protection des données personnelles. Il est le point de contact pour le traitement des réclamations et toutes questions relatives à la protection des données, avec impartialité. Il s’assure que la documentation liée aux traitements de données soit accessible aux autorités de contrôle, la CNIL en particulier, avec lesquelles il coopère étroitement.

Qualités requises pour exercer la fonction de délégué à la protection des données

Pour exercer la fonction de DPO, connaître le RGPD est un prérequis incontournable. De même, des connaissances juridiques et en droit numérique sont indispensables, ainsi qu’une expertise sur les lois nationales et européennes liées à la protection des données. En parallèle, l’évaluation de la sécurité des données requiert des compétences en systèmes d’information et en système de management de la sécurité de l’information (SMSI). Par ailleurs, un DPO étant garant de la conformité dans son domaine, un savoir-faire en surveillance, mesure, audit, contrôle peut être utile.

L’analyse des impacts et la maîtrise des risques, la gestion de la veille et des procédures, la priorisation des actions et la gestion de projets sont des aspects qu’il doit maîtriser, et sur lesquels il sera amené à apporter son conseil. Enfin, une aisance relationnelle, une approche pédagogique affinée et un esprit de synthèse pour expliquer les enjeux liés à la protection des données à caractère personnel sont nécessaires pour exercer cette fonction.

Salaire d’un délégué à la protection des données

Le métier de délégué à la protection des données est un métier récent. Il est donc prématuré de déterminer une rémunération de référence. Cette fonction pouvant être attribuée à une autre fonction existante dans l’entreprise, le salaire dépendra du salaire habituel de la dite fonction. S’agissant d’un profil de type cadre, le salaire annuel moyen varie entre 30 k€ et 80 k€ selon la taille de l’entreprise et l’expérience du salarié.

Délégué à la protection des données                  
- Salaire brut annuel moyen en début de carrière : entre 30 k€ et 50 k€
- Pour un DPO experimenté : entre 60 K€ et 80 k€

 

Comment devenir délégué à la protection des données ?

Le délégué à la protection des données a généralement un niveau bac + 5. Il reste possible de suivre un cursus BTS, DUT ou licence professionnelle, cependant un cursus universitaire débouchant sur le grade de master informatique ou un master sécurité des systèmes informatiques est recommandé. Une expertise en matière de législation sur la protection des données peut être acquise en formation continue.

L’université Dauphine PSL délivre une formation de délégué à la protection des données, avec les compétences nécessaires en matière juridique, informatique et de management du changement. Paris II Panthéon-Assas propose une formation permettant d'acquérir toutes les compétences nécessaires à l'exercice du métier, depuis les fondamentaux du RGPD jusqu'à ses difficultés d'application dans des secteurs particuliers.

Se former avec AFNOR Compétences

L’exercice de la fonction de délégué à la protection des données requiert une expérience qu’il peut être utile de compléter par une formation continue. La formation d’AFNOR Compétences vous permettra de préparer l’examen de certification à la fonction de DPO, un signe de reconnaissance utile pour crédibiliser votre fonction et vos compétences. Cette formation nécessite au préalable de bien connaître le RGPD et la documentation CNIL afférente. A l’issue de cette formation, vous pourrez valider vos connaissances à l’aide d’un QCM, afin de vous préparer à l'examen de certification.

La formation DPO d’AFNOR Compétences est conçue et animée par des formateurs certifiés DPO qui disposent d'une expérience d'au minimum cinq ans en matière de sécurité de l’information sensible et de protection des données personnelles.
 

Les métiers connexes

La fonction de DPO peut être externalisée ou attribuée à une personne ayant déjà une autre fonction dans l'entreprise : un juriste, le responsable de la sécurité de l’information, le responsable de la conformité, le chargé de la bonne gouvernance, le responsable qualité, le responsable développement durable, peuvent remplir cette mission. Le dirigeant d’une TPE s’en attribuera la responsabilité. Le choix d’un DPO en interne ne doit pas causer de conflit d’intérêts avec ses autres missions. Ainsi, un DPO ne peut occuper des fonctions qui le conduisent à déterminer les finalités et les moyens d’un traitement. Certaines fonctions sont susceptibles de donner lieu à un conflit d’intérêts qui doit être apprécié au cas par cas.