DPO
Un délégué à la protection des données (DPO) est la personne qu’un organisme désigne pour informer et conseiller sur la protection des données, contrôler la conformité et servir de point de contact aux personnes concernées et à l’autorité de contrôle.Les articles 37 à 39 du RGPD rendent le DPO obligatoire pour les autorités publiques, pour les organismes dont les activités de base impliquent un suivi régulier et systématique de personnes à grande échelle, et pour ceux qui traitent à grande échelle des catégories particulières de données ou des données pénales. Le suivi en ligne à grande échelle et la publicité comportementale sont l’exemple type du suivi systématique : les éditeurs financés par la publicité et les entreprises d’adtech en ont généralement besoin ; le site d’une petite entreprise avec une mesure d’audience, non, même s’il peut en désigner un volontairement.
Le DPO doit être indépendant, rendre compte au plus haut niveau de la direction, disposer des ressources nécessaires et ne pas pouvoir être relevé de ses fonctions pour les avoir exercées. Ses coordonnées doivent être publiées et communiquées à l’autorité de contrôle, raison pour laquelle les politiques de confidentialité et certaines politiques de cookies nomment un DPO ou un contact vie privée. Plusieurs autres lois ont des équivalents : la LGPD brésilienne impose un encarregado à chaque responsable de traitement (la première amende de l’ANPD, en 2023, visait notamment son absence), la Loi 25 du Québec un responsable de la protection des renseignements personnels, la POPIA sud-africaine un information officer, et la KVKK turque une personne de contact inscrite dans VERBİS.
Un DPO n’a pas besoin d’être juriste ni salarié ; un DPO externe est permis. Le rôle est distinct de celui du responsable de traitement, qui reste responsable. Quand vous rédigez une politique de cookies, nommez le DPO ou le contact vie privée et indiquez comment le joindre.