[Fiche métier] Le data protection officer

À l'heure où les données constituent un enjeu économique majeur pour les entreprises, bien utiliser et protéger ces datas est capital. En témoignent les récentes condamnations de Meetic et Attractive World à ce sujet. Le Parlement européen s'est saisi du sujet et a décidé de durcir la réglementation en la matière.

Ainsi, le Règlement sur les données personnelles, définitivement adopté par le Parlement européen le 26 avril 2016, rend obligatoire le métier de data protection officier, ou délégué à la protection des données, dans toutes les administrations et les entreprises qui traitent des données sensibles à grande échelle.

Les entreprises ont désormais jusqu'au 25 mai 2018 pour mettre en conformité le traitement de leurs données et nommer un DPO.

Sa mission

Le data protection officier a avant tout un rôle de conseil. En clair, c'est le chef d'orchestre de la mise en conformité. Sa mission consiste à s'assurer que l'entreprise est en conformité avec la loi lorsqu'elle fait usage des données. À ce titre, il a un rôle d'évangélisateur au sein de l'entreprise. Il est donc amené à travailler avec les différentes directions métier. Il les accompagne et les conseille dans l'usage qu'elles font des datas et émet des préconisations, voire propose des solutions alternatives respectueuses de la loi. Enfin, il a un devoir d'alerte auprès de la direction générale en cas de manquement constaté.

Le data protection officer peut être soit intégré dans l'entreprise, soit travailler à temps partagé pour plusieurs entités, soit faire l'objet d'un contrat de service.

Pour mener à bien sa mission, il doit savoir convaincre, diffuser une culture du bon usage de la donnée et surtout changer les habitudes. Doté d'une solide culture juridique et informatique, il ne doit pas avoir peur de gérer des situations tendues, quand ses préconisations vont à l'encontre des pratiques de l'entreprise.

Sur le plan hiérarchique, il rapporte directement à la direction générale de l'entreprise. Enfin, de par le caractère sensible et stratégique de sa mission, le règlement européen prévoit que "le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions".

À noter, l'AFCDP demande que soit ménagée une "clause du grand-père" qui permettrait aux CIL qui répondent aux nouvelles exigences d'être confirmés dans leur fonction en tant que DPO.

Pour quelles entreprises?

Le règlement européen rend obligatoire la désignation d'un DPO pour les entreprises dont l'activité de base est le traitement des données personnelles à grande échelle, tant au niveau des donneurs d'ordres que des sous-traitants. Tous les organismes publics sont également obligés de désigner un DPO, ainsi que les sociétés qui traitent à grande échelle des données sensibles. Le règlement prévoit également des sanctions beaucoup plus lourdes en cas de non respect par l'entreprise de la réglementation relative à la protection des données personnelles. Les amendes pourront aller jusqu'à 4% du chiffre d'affaires mondial de l'entreprise concernée.

Sa formation

Il existe un certain nombre de formations diplômantes, parmi lesquelles :

- Le Mastère "Management et protection des données à caractère personnel" de l'Isep

- La formation "Administration de bases de données", dispensée par le Cnam

- Le Mastère "Sécurité de l'information et des systèmes" de l'ESIEA

- Le diplôme universitaire "DPO/CIL", de l'Université de Franche-Comté

- Le diplôme "Correspondant informatique et libertés", de l'Université de paris-Nanterre

Sa rémunération

Le métier étant récent en France, il est difficile de donner une grille de rémunération. Toutefois, selon l'Association française des correspondants aux données personnelles (AFCDP), les DPO gagnent, en moyenne, entre 2500 euros et 4000 euros bruts par mois.