Comprendre
Le délégué à la protection des données
Le DPO pilote la conformité de votre organisme, conseille la direction et sert d’interlocuteur à la CNIL et aux personnes concernées. Asklépian met à votre disposition des délégués certifiés, désignés officiellement auprès de la CNIL.
Ses missions
Les articles 37 à 39 du RGPD définissent le rôle du délégué. Il n’est pas responsable de la conformité à la place du dirigeant, mais il en est le garant opérationnel.
- Informer et conseiller le responsable de traitement, les sous-traitants et les collaborateurs sur leurs obligations.
- Contrôler le respect du règlement : audits, revues des traitements, suivi des plans d’actions.
- Accompagner les analyses d’impact et en vérifier l’exécution.
- Coopérer avec la CNIL et être son point de contact, notamment lors d’un contrôle ou d’une notification de violation.
- Répondre aux personnes qui exercent leurs droits ou posent une question sur l’usage de leurs données.
Ai-je besoin d’un DPO ?
La désignation est obligatoire dans trois situations :
- Vous êtes une autorité ou un organisme public : mairie, intercommunalité, établissement public, y compris de santé.
- Votre activité de base implique un suivi régulier et systématique de personnes à grande échelle : géolocalisation, profilage, vidéosurveillance étendue, plateformes en ligne.
- Votre activité de base consiste à traiter à grande échelle des données sensibles (santé, opinions, biométrie…) ou relatives à des condamnations : cliniques, laboratoires, centres de radiologie, mutuelles, cabinets regroupant de nombreux praticiens.
Hors de ces cas, la désignation est volontaire. Elle est fortement recommandée dès que l’organisme manipule des données de santé, emploie plusieurs dizaines de personnes, ou répond à des appels d’offres qui l’exigent. Un DPO désigné volontairement a les mêmes missions et la même protection qu’un DPO obligatoire.
DPO interne ou externalisé ?
Le règlement autorise explicitement la désignation d’un délégué externe, sur la base d’un contrat de service. Pour la plupart des TPE, PME et établissements de taille intermédiaire, c’est la solution la plus solide.
| Critère | DPO interne | DPO externalisé Asklépian |
|---|---|---|
| Compétences | À acquérir et à entretenir, juridiques et techniques | Délégués certifiés selon le référentiel CNIL, équipe pluridisciplinaire |
| Indépendance | Conflit d’intérêts fréquent (DSI, RH, direction) | Indépendance garantie par le statut de prestataire |
| Disponibilité | Une personne, des absences, un poste souvent à temps partiel | Continuité de service, astreinte clients 7 j/7 |
| Coût | Salaire, formation continue, outils | Abonnement mensuel connu à l’avance |
| Outils | À choisir et à financer | Logiciel de documentation et registres inclus |
Des compétences certifiées
La CNIL a défini un référentiel de certification des compétences du délégué à la protection des données (délibération n° 2018-318 du 20 septembre 2018) et agréé des organismes certificateurs, dont AFNOR Certification (délibération n° 2019-092 du 4 juillet 2019). Les délégués d’Asklépian sont certifiés selon ce référentiel.
La marque collective « DPO » de la CNIL, utilisable par toute personne désignée, atteste de cette désignation.
Comment ça se passe
Quatre étapes pour désigner Asklépian comme DPO
Diagnostic
Un échange d’une heure pour cartographier vos activités, vos traitements et vos outils, et choisir la formule adaptée.
Désignation
Contrat de service, puis désignation officielle du délégué auprès de la CNIL via son téléservice. Vous recevez la confirmation.
Mise en route
Ouverture de votre espace de documentation, création ou reprise des registres, sensibilisation des équipes, premier plan d’actions.
Suivi continu
Revues périodiques, veille hebdomadaire commentée, réponse aux exercices de droits, astreinte en cas d’incident.