L’article 39 du RGPD énumère les missions du délégué à la protection des données : informer et conseiller le responsable, le sous-traitant et leurs salariés ; contrôler le respect du règlement et des règles internes, y compris par la répartition des responsabilités, la sensibilisation, la formation et les audits ; conseiller sur l’analyse d’impact et vérifier son exécution ; coopérer avec la CNIL ; être son point de contact. Le DPO exerce ces missions en tenant compte du risque de chaque traitement. Il conseille et contrôle ; il ne décide pas et n’exécute pas à la place de l’entreprise.
L’essentiel
- Cinq missions légales, qui se traduisent par une dizaine de tâches récurrentes dans une PME.
- Le DPO conseille et contrôle ; le responsable du traitement décide et reste responsable.
- Approche fondée sur le risque : le DPO priorise les traitements sensibles, il ne traite pas tout de la même manière.
- Point de contact de la CNIL : c’est lui qui reçoit les demandes d’information et accompagne les contrôles.
Ce que dit l’article 39
| Paragraphe | Ce que dit le texte |
|---|---|
| 39.1.a – Informer et conseiller | Informer et conseiller le responsable, le sous-traitant et les employés qui procèdent au traitement sur les obligations qui leur incombent. |
| 39.1.b – Contrôler | Contrôler le respect du règlement, des autres dispositions applicables et des règles internes, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel, et les audits. |
| 39.1.c – AIPD | Dispenser des conseils, sur demande, sur l’analyse d’impact et vérifier son exécution. |
| 39.1.d et e – CNIL | Coopérer avec l’autorité de contrôle et faire office de point de contact, y compris pour la consultation préalable. |
| 39.2 – Risque | Le DPO tient dûment compte, dans l’accomplissement de ses missions, du risque associé aux opérations de traitement, compte tenu de leur nature, portée, contexte et finalités. |
Ce que cela change pour une PME
Ce que le DPO fait concrètement
Dans une PME, les cinq missions se traduisent par : la tenue ou le contrôle du registre, la relecture des politiques et mentions, l’avis sur chaque nouveau traitement, le traitement ou la supervision des demandes de droits, la qualification et la notification des violations, les analyses d’impact, la sensibilisation annuelle des équipes, un audit de suivi, la veille réglementaire, et le point trimestriel avec la direction. Le déroulé de nos missions détaille cette répartition entre dirigeants, référents et collaborateurs.
Ce que le DPO ne fait pas
Il ne configure pas les sauvegardes, n’administre pas les droits d’accès, ne signe pas les contrats et ne décide pas de lancer ou non un traitement. Ces actions relèvent de la direction, de l’informatique et des métiers. Un DPO qui exécute à la place de l’entreprise se place en conflit d’intérêts avec sa mission de contrôle.
Documenter ses avis
Chaque avis du DPO (nouveau traitement, AIPD, violation, demande de droit complexe) est écrit et conservé, avec la décision prise par la direction. Ce dossier est la preuve de la fonction en cas de contrôle, et la protection du DPO comme de l’entreprise.
Prioriser par le risque
Le paragraphe 2 autorise, et même impose, de concentrer l’effort : données de santé, de mineurs, surveillance des salariés et prospection à grande échelle avant le formulaire de contact du site. Le plan d’action annuel du DPO reflète cette hiérarchie.
Préparer le rôle de point de contact
La CNIL écrit au DPO : demandes d’information, plaintes transmises, annonces de contrôle. Le DPO doit avoir le pouvoir de collecter rapidement les réponses dans l’entreprise, et la direction doit être prévenue de tout contact. La procédure en cas de contrôle CNIL décrit son rôle le jour J.
Ce que la CNIL contrôle sur ce fondement
| Texte ou pratique | Nature | Ce qu’il faut retenir |
|---|---|---|
| Contrôles sur la fonction de DPO (depuis 2023, dans le cadre de l’action coordonnée du CEPD) | Pratique | La CNIL vérifie que le DPO exerce effectivement ses missions : existence d’avis écrits, participation aux projets, audits réalisés, plan de sensibilisation, traitement des demandes de droits. |
| Lignes directrices du CEPD sur les DPO (WP 243) | Doctrine | Précisent chaque mission et rappellent que le DPO n’est pas personnellement responsable de la non-conformité, qui incombe au responsable du traitement. |
| Référentiel de certification des compétences du DPO (CNIL) | Référence | Liste les 17 compétences attendues pour exercer les missions de l’article 39 ; sert de base aux organismes certificateurs. |
Aucune sanction nominative ne repose sur le seul article 39 ; les manquements apparaissent sous la forme d’un DPO désigné mais inactif, ce qui aggrave les autres griefs retenus contre l’entreprise.
Les questions que je pose en audit
- Quel est le dernier avis écrit rendu par votre DPO, et sur quel sujet ?
- Qui a rendu compte à la direction de l’état de la conformité au cours des douze derniers mois ?
- Qui a sensibilisé les équipes, quand, et où est la trace ?
- Les demandes de droits et les violations passent-elles par le DPO ?
- Existe-t-il un plan d’action annuel priorisé par le risque ?
- Le DPO a-t-il réalisé ou supervisé un audit de suivi depuis sa désignation ?
- La CNIL sait-elle à qui écrire, et cette personne saurait-elle quoi faire ?
Prêt à l’emploi : le plan d’action annuel d’un DPO de PME
| Période | Actions |
|---|---|
| Trimestre 1 | Revue du registre et des durées de conservation ; comité de direction ; plan de sensibilisation |
| Trimestre 2 | Audit d’un service ou d’un traitement à risque ; relecture des contrats de sous-traitance critiques ; sensibilisation des équipes |
| Trimestre 3 | Analyse d’impact des traitements identifiés ; vérification des mesures de sécurité organisationnelles ; comité de direction |
| Trimestre 4 | Revue des demandes de droits et des violations de l’année ; mise à jour de la politique de confidentialité ; bilan annuel et plan de l’année suivante |
| En continu | Avis sur les nouveaux traitements et outils ; demandes de droits ; violations ; veille réglementaire ; réponses à la CNIL |
Et en Suisse ?
Les missions du conseiller à la protection des données sous la nLPD sont décrites à l’article 10 : former et conseiller le responsable, concourir à l’application des prescriptions, et servir de point de contact pour les personnes et le PFPDT. Elles recoupent celles de l’article 39, sans la mission formelle de contrôle. Voir la fiche article 10 nLPD.
Ce que je constate en mission. La mission qui manque le plus souvent est la sensibilisation : les entreprises pensent conformité en termes de documents, alors que la plupart des violations viennent d’un geste de collaborateur. Une session d’une heure par an, avec des cas tirés de l’entreprise elle-même, fait plus pour la conformité que dix pages de politique ; c’est pour cela que la formation est incluse dans mes abonnements plutôt que facturée à part.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Le DPO doit-il tenir lui-même le registre ?
Le règlement confie le registre au responsable du traitement ; le DPO le contrôle et peut l’animer. Dans les PME, c’est souvent lui qui le construit, ce qui est admis tant que la direction le valide et en reste responsable.
Le DPO peut-il répondre directement aux demandes de droits ?
Oui, c’est une pratique courante et conforme : il est le point de contact des personnes (article 38.4) et contrôle le respect des délais.
Que fait le DPO lors d’un contrôle de la CNIL ?
Il accueille les contrôleurs, fournit les documents demandés (registre, politiques, AIPD, contrats), répond aux questions de procédure et coordonne les réponses de l’entreprise, sans se substituer à la direction pour les décisions.
Confier ces missions à un DPO externalisé
Notre abonnement DPO externalisé couvre les cinq missions de l’article 39 avec un plan d’action annuel, un comité trimestriel et la sensibilisation des équipes incluse ; le guide tarif détaille ce qui est inclus.
Évaluez la maturité RGPD de votre organisation
Sources
- Règlement (UE) 2016/679
- CNIL – Le délégué à la protection des données (DPO)
- CEPD – Lignes directrices sur les délégués à la protection des données (WP 243)
