La désignation d’un DPO est vivement recommandée par la CNIL et le Comité européen à la protection des données (CEPD). Elle permet en effet de confier à un expert l’identification et la coordination des actions à conduire en matière de protection des données personnelles.
Néanmoins, la désignation d’un DPO est obligatoire dans trois cas :
- le traitement de données est réalisé par une autorité ou un organisme public, sauf juridictions agissant dans l’exercice de leur fonction juridictionnelle
- ex. les communes, les conseils départementaux, les régions
- les activités de base de l’entité consistent en des opérations de traitement qui exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
- ex. traitement de données d’une biotech réalisant des essais cliniques
- les activités de base de l’entité consistent en un traitement à grande échelle de données sensibles ou de données à caractère personnel relatives à des condamnations pénales et à des infractions.
- ex. traitement de données de patients par hôpital dans le cadre du déroulement normal de ses activités.
Il n’est pas nécessaire pour un médecin exerçant en libéral à titre individuel de désigner un DPO.
Tout organisme qui décide de ne pas nommer un DPO doit prendre soin de documenter cette décision afin de prouver qu’il se trouve dans un cas où la désignation d’un DPO n’est pas obligatoire.
Le choix du DPO est libre. Les organismes peuvent désigner une personne en interne chargée de cette fonction ou décider d’externaliser la fonction de DPO sur la base d’un contrat de service. Le DPO peut être mutualisé entre plusieurs organismes du même groupe ou autorités selon la structure organisationnelle et taille.
Pour en savoir plus, la CNIL a émis en 2022 un guide pratique à l’attention des délégués à la protection des données.
guide_pratique_rgpd_-_delegues_a_la_protection_des_donnees