Le DPO peut-il être externe ?

Selon l’article 37(1) du RGPD, un responsable du traitement ou un sous-traitant doit désigner un DPO s’il est une autorité ou un organisme public, si ses activités de base exigent un suivi régulier et systématique à grande échelle des personnes, ou si elles portent sur un traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales. Les autres peuvent en désigner un volontairement. Un groupe peut nommer un DPO unique si chaque établissement peut facilement le joindre.

• Une expertise du droit et des pratiques en matière de protection des données (article 37(5)).
• L’indépendance : aucune instruction sur l’exercice de ses missions, ni sanction ou licenciement pour les avoir exercées (article 38(3)).
• Un rattachement direct au plus haut niveau de la direction.
• Une association en temps utile à toutes les questions de protection des données, avec les ressources nécessaires (article 38(1) et (2)).
• Des coordonnées publiées et communiquées à l’autorité de contrôle (article 37(7)).

Le contrat doit préciser les missions, le temps disponible, l’accès à la direction et les règles de confidentialité.

L’article 38(6) n’autorise le DPO à exercer d’autres missions que si elles n’entraînent pas de conflit d’intérêts. Un rôle qui décide des finalités ou des moyens d’un traitement de données personnelles ne peut pas aussi contrôler ce traitement. Les autorités de contrôle citent les responsables informatiques parmi les fonctions qui posent en général un conflit, et la Cour de justice a confirmé dans l’affaire C-453/21 (X-FAB) que la question s’apprécie au cas par cas. Beaucoup d’organisations séparent donc les deux rôles.

Les entreprises privées en Suisse n’ont pas l’obligation de nommer un conseiller à la protection des données (article 10 LPD), et le conseiller peut être un employé ou une personne externe. S’il exerce sa fonction de manière indépendante, n’a pas de tâches incompatibles et dispose des connaissances nécessaires, et que l’entreprise publie ses coordonnées et les communique au PFPDT, l’entreprise peut le consulter au lieu du PFPDT après une analyse d’impact qui révèle un risque élevé (article 23).

Avec le service DPO externalisé, des experts suisses tiennent avec votre équipe le registre des activités de traitement, les AIPD, les demandes des personnes concernées et la réponse aux violations, dans Data Privacy d’Acuna GRC. Une même activité de traitement peut porter une base légale pour le RGPD et pour la nLPD. Vos équipes gardent les décisions. Voir le DPO externalisé.