Ce que fait un DPO
C'est le référent « données personnelles » de l'organisation. Il conseille, vérifie que les règles sont suivies, tient les documents à jour, sert d'interlocuteur à la CNIL et aux personnes qui exercent leurs droits.
Ce n'est pas un poste à plein temps dans une PME. C'est une fonction, quelques heures par mois.
Quand c'est obligatoire
- Pour les organismes publics - mairies, écoles, établissements de santé.
- Quand l'activité implique un suivi régulier et systématique de personnes à grande échelle.
- Quand on traite à grande échelle des données sensibles - santé, opinions, condamnations.
Une entreprise classique - commerce, artisanat, services - n'est généralement pas concernée. Un cabinet médical, une association d'aide à la personne ou une collectivité, souvent si.
Pourquoi certains en prennent un sans obligation
Trois raisons reviennent. Parce qu'un client important l'exige dans son appel d'offres. Parce qu'on manipule des données de santé ou de mineurs et qu'on préfère être accompagné. Ou simplement parce que personne en interne n'a le temps ni l'envie de suivre le sujet.
Interne ou externe ?
Désigner un salarié pose deux problèmes. Il faut qu'il ait le temps et la compétence - c'est un sujet qui évolue. Et il faut qu'il puisse s'exprimer librement, y compris pour dire à la direction qu'une pratique n'est pas conforme. Difficile quand c'est la même direction qui gère sa carrière.
Un DPO externe résout les deux : la compétence est là, et l'indépendance est structurelle.
Concrètement, ça donne quoi
Un interlocuteur identifié, un point régulier, la mise à jour de vos documents, une réponse quand une question se pose, et quelqu'un qui prend le relais si un incident survient ou si la CNIL vous écrit.
Ce n'est pas un contrat lourd. C'est surtout la garantie que le sujet ne retombe pas dans l'oubli six mois après la mise en conformité initiale.
