L’article 38 du RGPD définit la position du délégué à la protection des données : associé en temps utile à toutes les questions de protection des données, doté des ressources nécessaires, indépendant dans l’exercice de ses missions, sans instruction ni sanction liée à celles-ci, rattaché au plus haut niveau de la direction, joignable par les personnes concernées, tenu au secret, et exempt de tout conflit d’intérêts s’il exerce d’autres fonctions. C’est l’article qui fait la différence entre un DPO de façade et un DPO qui protège l’entreprise.
L’essentiel
- Associé en amont : le DPO est consulté avant les projets, pas informé après.
- Ressources : temps, accès aux traitements, formation continue, budget.
- Indépendance : pas d’instruction sur la façon de traiter un dossier, pas de pénalisation, rapport direct à la direction.
- Conflit d’intérêts : le DPO ne peut pas déterminer les finalités et moyens des traitements qu’il contrôle.
Ce que dit l’article 38
| Paragraphe | Ce que dit le texte |
|---|---|
| 38.1 – Association | Le responsable et le sous-traitant veillent à ce que le DPO soit associé, d’une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données. |
| 38.2 – Ressources | Ils aident le DPO à exercer ses missions en lui fournissant les ressources nécessaires, l’accès aux données et aux opérations de traitement, et en lui permettant d’entretenir ses connaissances spécialisées. |
| 38.3 – Indépendance | Ils veillent à ce que le DPO ne reçoive aucune instruction en ce qui concerne l’exercice de ses missions ; il ne peut être relevé de ses fonctions ou pénalisé pour l’exercice de ses missions ; il fait directement rapport au niveau le plus élevé de la direction. |
| 38.4 – Contact | Les personnes concernées peuvent prendre contact avec le DPO au sujet de toutes les questions relatives au traitement de leurs données et à l’exercice de leurs droits. |
| 38.5 – Secret | Le DPO est soumis au secret professionnel ou à une obligation de confidentialité. |
| 38.6 – Autres fonctions | Le DPO peut exécuter d’autres missions ; le responsable veille à ce qu’elles n’entraînent pas de conflit d’intérêts. |
Ce que cela change pour une PME
Inscrire le DPO dans les circuits de décision
Un nouveau logiciel, une campagne marketing, un projet de vidéosurveillance, un recrutement avec un outil de tri : le DPO est consulté avant la décision. Concrètement, une règle écrite (« tout nouveau traitement est soumis au DPO ») et un point régulier avec la direction, trimestriel pour une PME.
Lui donner du temps et des accès
Un DPO interne qui dispose de deux heures par mois ne peut pas exercer ses missions ; la lettre de mission fixe un temps minimal et des accès aux outils. Pour un DPO externe, le contrat fixe les jours, les interlocuteurs et l’astreinte.
Garantir l’indépendance
La direction ne dicte pas au DPO ses conclusions ; elle peut ne pas les suivre, et dans ce cas le DPO documente son avis et la décision contraire. Un DPO interne ne doit pas être évalué, sanctionné ni licencié en raison de ses avis.
Éviter le conflit d’intérêts
Le DPO ne peut pas être celui qui décide des traitements qu’il contrôle : DSI, DRH, directeur marketing, dirigeant lui-même. Les fonctions incompatibles et le cas particulier du responsable qualité sont détaillés dans deux articles ; l’externalisation (DPO externalisé) règle structurellement la question.
Rendre le DPO joignable
Une adresse dédiée, publiée dans la politique de confidentialité et sur les mentions d’information, lue au moins chaque jour ouvré ; les salariés doivent pouvoir le contacter sans passer par leur hiérarchie.
Ce que la CNIL a sanctionné sur ce fondement
| Décision ou texte | Montant / nature | Ce qu’il faut retenir |
|---|---|---|
| Autorité belge de protection des données, 28 avril 2020 | 50 000 euros | Première sanction européenne fondée sur l’article 38.6 : le DPO d’une entreprise de télécommunications était aussi responsable de la conformité, de l’audit interne et des risques, ce qui lui faisait déterminer les finalités des traitements qu’il devait contrôler. |
| Lignes directrices du CEPD sur les DPO (WP 243) et rapport coordonné du CEPD sur la désignation et la position des DPO (janvier 2024) | Doctrine | Précisent les ressources attendues, les exemples de conflits d’intérêts et les points faibles constatés dans toute l’Europe : manque de temps, absence de rapport à la direction, cumul de fonctions. |
En France, aucune sanction nominative ne repose sur le seul article 38 à ce jour, mais le rapport coordonné du CEPD de 2024 a fait de la position du DPO un thème de contrôle dans toute l’Union, et la CNIL y participe.
Les questions que je pose en audit
- Le DPO a-t-il été consulté sur le dernier outil ou projet déployé, et à quel moment ?
- Combien de temps par mois consacre-t-il réellement à ses missions, et est-ce écrit ?
- À qui rend-il compte, et à quelle fréquence rencontre-t-il la direction ?
- Exerce-t-il une autre fonction, laquelle, et a-t-on examiné le conflit d’intérêts ?
- Les salariés et les clients peuvent-ils le contacter directement, et l’adresse est-elle publiée ?
- Ses avis sont-ils conservés, y compris lorsque la direction ne les suit pas ?
- A-t-il suivi une formation au cours des douze derniers mois ?
Prêt à l’emploi : les clauses d’une lettre de mission de DPO
| Clause | Contenu |
|---|---|
| Missions | Référence aux articles 38 et 39 ; liste des missions concrètes (registre, information, droits, violations, AIPD, formation, veille) |
| Association | Consultation préalable sur tout nouveau traitement, outil ou projet ; participation au comité [fréquence] |
| Ressources | Temps alloué : [jours ou heures par mois] ; accès aux outils et aux locaux ; budget de formation annuel |
| Indépendance | Absence d’instruction sur l’exercice des missions ; rapport direct à [dirigeant] ; protection contre toute mesure liée aux missions |
| Conflit d’intérêts | Déclaration des autres fonctions ; engagement de ne pas déterminer les finalités et moyens des traitements contrôlés |
| Contact | Adresse dédiée [adresse] ; délai de réponse ; publication des coordonnées |
| Confidentialité | Obligation de secret sur les informations connues dans l’exercice des missions |
| Suppléance et fin de mission | Suppléant désigné ; modalités de remplacement sans vacance |
Et en Suisse ?
La nLPD exige du conseiller à la protection des données, lorsqu’il est désigné, qu’il exerce sa fonction de manière indépendante, sans instruction, sans activité incompatible, avec les ressources nécessaires et un accès aux informations, et que ses coordonnées soient publiées (article 10 et ordonnance). Les exigences sont donc très proches de l’article 38. Voir la fiche article 10 nLPD.
Ce que je constate en mission. Quand je reprends un dossier, le signe le plus fiable d’un DPO de façade est l’absence d’avis écrits : la personne a été nommée, parfois déclarée à la CNIL, mais personne ne lui a jamais rien demandé. L’article 38 ne demande pas un DPO brillant, il demande un DPO consulté. Le point trimestriel avec la direction, inscrit au calendrier, est la mesure la plus simple pour y parvenir.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Le dirigeant d’une PME peut-il être son propre DPO ?
Non : il détermine les finalités et les moyens de tous les traitements, ce qui est le conflit d’intérêts type. Il peut nommer un référent, un salarié sans fonction décisionnelle sur les traitements, ou un DPO externe.
Le DPO est-il responsable en cas de sanction ?
Non, la responsabilité pèse sur le responsable du traitement. Le DPO répond de l’exercice de ses missions, mais pas de la conformité de l’entreprise, qui reste une décision de la direction.
Un DPO externe est-il forcément indépendant ?
Il l’est structurellement vis-à-vis de l’organigramme, mais il doit aussi éviter les conflits commerciaux : revendre des logiciels qu’il recommande ou réaliser l’informatique qu’il contrôle, par exemple.
Donner à votre DPO les moyens d’exercer
Notre mission de DPO externalisé inclut la lettre de mission, le comité trimestriel avec la direction, l’adresse de contact et un suppléant désigné, conformément à l’article 38.
Sources
- Règlement (UE) 2016/679
- CNIL – Le délégué à la protection des données (DPO)
- CEPD – Rapport coordonné sur la désignation et la position des DPO (2024)
