- Les responsables externes de la protection des données fournissent une assistance indépendante et spécialisée pour se conformer aux réglementations en matière de protection des données
- Ils prennent en charge des tâches telles que la formation, les analyses d'impact relatives à la protection des données et l'élaboration de lignes directrices.
- Les DPO externes sont rentables et évitent les conflits d'intérêts au sein de l'entreprise
- Kertos soutient les entreprises en leur fournissant des connaissances spécialisées et des solutions sur mesure en leur fournissant un délégué à la protection des données externe
L'évolution du rôle du délégué à la protection des données en Europe
Même avant l'adoption d'une loi sur la protection des données à l'échelle de l'UE telle que la GDPR Les tâches de délégué à la protection des données prescrits dans les différents systèmes juridiques. En Allemagne, la loi fédérale sur la protection des données (BDSG), en France la loi sur la protection des données (Loi Informatique et Libertes) et en Espagne, la loi organique sur la protection des données (LODP) obligent les entreprises à désigner des responsables de la protection des données pour garantir le respect des lois sur la protection des données.
Cependant, ce n'est qu'après l'adoption du règlement général sur la protection des données dans l'UE et après que d'autres pays ont emboîté le pas que le rôle des responsables de la protection des données a été normalisé et défini de manière uniforme. Le RGPD a créé un cadre détaillé pour la nomination des responsables de la protection des données, qui comprend leurs devoirs, leurs responsabilités et leurs qualifications. Maintenant que les délégués à la protection des données sont devenus une exigence générale, les entreprises commencent à prendre conscience de leur importance en matière de conformité.
Conformément à l'article 37 En vertu du RGPD, toutes les autorités sont tenues de désigner un responsable de la protection des données. « Selon Article 38, paragraphe 1 Selon le RGPD, le DPO doit « être dûment et en temps utile impliqué dans toutes les questions relatives à la protection des données personnelles » afin de pouvoir s'acquitter pleinement des tâches de protection des données. En outre, les organisations privées doivent désigner un DPO dans les cas suivants :
- Leurs principales tâches comprennent le suivi régulier et systématique des personnes à grande échelle.
- Ils traitent des catégories spéciales de données personnelles à grande échelle, y compris des données qui révèlent l'origine raciale ou ethnique, les opinions politiques ou les convictions religieuses ou philosophiques.
Conformément aux réglementations légales, un responsable de la protection des données peut être mandaté en externe ou recruté en interne. Pour les entreprises aux ressources limitées, les coûts liés à l'embauche et au maintien d'un responsable interne de la protection des données peuvent être élevés. Ils font donc appel à des responsables externes de la protection des données dont les tâches correspondent à celles des responsables internes.
La différence entre un DPO interne et un DPO externe
La différence entre un délégué à la protection des données interne et externe réside dans les conditions d'emploi : alors qu'un délégué à la protection des données interne est un employé permanent, un délégué à la protection des données externe offre aux entreprises une marge de manœuvre pour signer des contrats à la demande.
Les délégués externes à la protection des données assurent également une supervision indépendante, ce qui exempte les entreprises des conflits d'intérêts internes. Bien qu'une solution interne puisse encore nécessiter une expertise certifiée (l'entreprise doit prendre en charge les coûts de formation), un responsable de la protection des données externe possède une expertise avérée dans ce domaine.
En outre, tous les membres d'une entreprise ne peuvent pas assumer le rôle de délégué à la protection des données. Les personnes susceptibles d'être en conflit d'intérêts entre leur poste habituel et le rôle de délégué à la protection des données, comme les membres du conseil d'administration, ne le sont certainement pas.
Les responsables informatiques, les responsables des ressources humaines et les responsables marketing sont des profils appropriés pour un responsable interne de la protection des données, mais ils ont également besoin d'une expertise dans le domaine du droit de la protection des données. En comparaison, un délégué à la protection des données externe est un responsable de la protection des données externalisé qui n'est pas directement employé par une entreprise et possède une expertise en matière de droit de la protection des données.
Principales tâches d'un DPO externe
Le large éventail des tâches d'un délégué à la protection des données comprend notamment le fait d'assumer un rôle de médiateur, d'agir en tant que point de contact pour l'autorité de contrôle et de fournir à l'autorité de contrôle les documents et informations nécessaires pour qu'elle puisse exercer ses pouvoirs d'enquête, de correction, d'approbation et de consultation.
En substance, un DPO externe a pour seule mission de veiller au respect des réglementations en matière de protection des données et n'a aucun autre pouvoir de décision. Les DPO veillent à ce que les données personnelles des clients, des employés, des fournisseurs ou d'autres personnes soient traitées conformément aux réglementations applicables en matière de protection des données.
Un DPO participe à des discussions internes lorsque des conseils sur les meilleures pratiques de protection des données sont nécessaires pour développer des politiques et des procédures conformément aux lois et réglementations applicables en matière de protection des données. En collaboration avec d'autres départements, notamment les services informatiques, de conformité, juridiques et commerciaux, ils abordent les problèmes de protection des données, mettent en œuvre des mesures de protection des données pour éliminer les risques et partagent les principes et les meilleures pratiques en matière de protection des données.
Le DPO conseille les responsables du traitement des données sur l'opportunité de réaliser une analyse d'impact sur la protection des données (DPIA), sur les méthodes à utiliser et sur les cas où il est nécessaire de faire appel à des ressources externes pour réaliser l'EPIA. Sur la base des résultats de l'analyse d'impact sur la protection des données, le DPO indique aux responsables du traitement s'il est optimal d'abandonner complètement le processus ou si la mise en œuvre de mesures de protection peut garantir le respect de la réglementation. Vos informations sont précieuses lorsque vous démarrez un nouveau projet ou une nouvelle initiative et lorsque vous apportez des modifications aux processus opérationnels susceptibles d'avoir une incidence sur le droit à la vie privée des individus ou de l'entreprise elle-même.
Pourquoi les entreprises ont-elles besoin d'un responsable externe de la protection des données ?
1. Compétence et connaissances actuelles
Les responsables de la protection des données sont des personnes multidisciplinaires. Afin de pouvoir accomplir leurs tâches efficacement, ils doivent connaître non seulement les réglementations en matière de protection des données, mais également l'informatique, les risques, la gestion des données et les processus commerciaux. Votre expertise dans le domaine du droit de la protection des données et de la pratique en matière de protection des données est indispensable (en particulier, un haut niveau de compétence et des connaissances informatiques distinctives).
Les exigences d'un tel niveau de connaissances et d'expertise font qu'il est difficile pour les organisations de pourvoir le poste de manière adéquate. Un responsable externe de la protection des données n'est pas composé d'une seule personne, mais d'une équipe de spécialistes. Votre connaissance des dernières lois, directives, jurisprudence et meilleures pratiques en matière de protection des données, en plus de garantir la conformité, est très bénéfique pour une entreprise et ses employés à de multiples points de contact.
En cas de violation de données ou pour les entreprises confrontées à une atteinte à leur réputation, leur expertise est particulièrement importante lorsqu'il s'agit de traverser la crise et d'en atténuer les effets. Les responsables externes de la protection des données peuvent les aider à prendre les mesures et les remèdes nécessaires pour protéger leur réputation et la confiance de leurs clients. Grâce à une équipe de professionnels qui s'occupent des questions de protection des données, les entreprises peuvent s'assurer qu'elles sont à la hauteur des défis.
2. Rentabilité
Les coûts d'un DPO interne vont au-delà de l'embauche et du salaire normal et comprennent les coûts supplémentaires liés à la formation, aux temps d'arrêt des employés et à la documentation spécialisée. Les organisations ne peuvent pas estimer le montant total de ces coûts à l'avance et les regretter plus tard. En comparaison, les coûts d'un responsable externe de la protection des données peuvent être calculés à l'avance en fonction des exigences spécifiques de l'entreprise. La plupart des responsables externes de la protection des données disposent d'un modèle de tarification transparent, que les organisations peuvent définir dans le contrat de service. Cette approche personnalisée permet de réaliser d'importantes économies de coûts.
3. Indépendance et neutralité
Il a été observé de près que le DPO représente les tâches et les fonctions de l'autorité de surveillance (par exemple, une autorité nationale de protection des données) au sein d'une organisation. En termes simples, le DPO fonctionne comme un régulateur intégré qui supervise les pratiques de protection des données. Il devrait donc exercer une fonction neutre et indépendante et ne devrait pas être soumis à des instructions de gestion ou à des pouvoirs directeurs.
Le règlement général sur la protection des données impose au DPO de mener à bien son travail de manière indépendante. Selon Article 38, paragraphe 3 est le DPO qui n'est pas lié par des instructions et relève directement du plus haut niveau de la direction. » Cela signifie que les responsables du traitement des données ne sont pas autorisés à demander au DPO d'agir conformément à ses instructions. Par exemple, les responsables du traitement des données ne peuvent pas intervenir dans la décision du DPO de tirer une conclusion spécifique ou de modifier les résultats de l'enquête relative à une plainte.
Le responsable réglementaire de la protection des données doit rendre compte au plus haut niveau de la direction d'une organisation, tel que le conseil d'administration. Cela garantit que la direction est immédiatement informée des problèmes de protection des données. L'autonomie des délégués réglementaires externes à la protection des données n'est pas affectée, comme c'est le cas pour les délégués réglementaires internes à la protection des données lorsqu'ils sont nommés à des postes présentant des conflits d'intérêts.
4. Flexibilité
Les DPO externes sont des équipes prêtes à l'emploi qui peuvent s'adapter rapidement aux besoins individuels des entreprises. Ils sont particulièrement adaptés aux entreprises dont les besoins en matière de supervision de la protection des données augmentent ou diminuent au fil du temps. Par exemple, pour les entreprises dont la charge de travail fluctue ou qui connaît des pics saisonniers dans le traitement des données.
Il aide également les entreprises dans les scénarios où des changements sont introduits dans le paysage réglementaire qui pourraient nécessiter une restructuration interne importante. L'embauche d'un DPO externe permet aux entreprises d'utiliser efficacement leurs ressources internes. Dans le même temps, le personnel interne peut se concentrer sur ses activités principales, tandis que les DPO externes veillent au respect des réglementations.
Que fait un responsable externe de la protection des données ?
1. Formation du personnel
Le transfert de connaissances et la sensibilisation des employés à la protection des données constituent l'un des éléments les plus importants pour maintenir une entreprise sur la bonne voie. Grâce à une interaction étroite avec les membres de l'équipe, un DPO externe développe des programmes de formation sur mesure afin de s'assurer qu'ils sont suffisamment sensibilisés à la protection des données. Cela inclut également la formation des employés sur les réglementations, les directives et les meilleures pratiques en matière de protection des données.
Lorsque des modifications sont apportées aux lois et réglementations existantes en matière de protection des données, le DPO propose des formations pour mettre à jour les connaissances des employés. Grâce à une formation ciblée, le DPO externe sensibilise à la gestion prudente et conforme à la loi des données sensibles et soutient une culture de conformité.
2. Élaboration de politiques et de procédures
Les DPO sont chargés de créer et de mettre en œuvre des politiques et des procédures visant à promouvoir les meilleures pratiques en matière de traitement des données personnelles sensibles.
- L'élaboration de directives comprend la mise en place d'un cadre pour la collecte, le traitement, le stockage et la suppression légaux des données. En cas de modification des processus commerciaux, des technologies ou des lois applicables, les responsables externes de la protection des données examinent les documents de l'entreprise relatifs à la protection des données et, si nécessaire, procèdent aux mises à jour appropriées.
- L'établissement de procédures de traitement des données comprend la documentation des activités de traitement des données, la mise en place de contrôles d'accès pour garantir que seules les personnes autorisées ont accès aux informations sensibles et la limitation de la collecte et du traitement des données à ce qui est nécessaire aux fins spécifiques de l'entreprise.
- Création de plans d'urgence décrivant les étapes à suivre en cas de violation de données ou d'incident de sécurité, y compris l'élaboration de stratégies visant à atténuer les effets des violations de données. Cela inclut, comme l'exige le RGPD, la notification aux autorités réglementaires et aux personnes concernées de l'ampleur et de la nature de l'incident.
3. Contact avec les autorités de contrôle et les personnes concernées
Le DPO est le point de contact central entre l'organisation, les personnes concernées et les autorités de contrôle. Il fait office de lien entre ces parties et répond aux questions, préoccupations ou demandes liées à la protection des données.
La principale tâche d'un DPO est de s'assurer que les droits des personnes concernées sont respectés (Article 15 du RGPD) et que leurs demandes d'information, de suppression, de portabilité, de correction et de restriction du traitement sont traitées conformément aux lois et réglementations applicables.
Afin de se tenir au courant de l'évolution de la réglementation, les DPO externes fournissent des informations sur les questions relatives au traitement des données personnelles et rédigent des réponses aux demandes des autorités de contrôle. Les DPO donnent également des conseils sur les questions de coopération avec les autorités de surveillance, notamment en matière de signalement des violations de données. Kertos comme solution potentielle pour les services externes de DPO.
Kertos comme solution possible pour les services externes de DPO
Kertos propose des solutions pour les responsables externes de la protection des données (DPO) et, si nécessaire, soutient également votre responsable de la protection des données interne dans ses tâches quotidiennes. Notre équipe multidisciplinaire de spécialistes possède une connaissance et une expérience approfondies des dernières lois, directives, jurisprudence et meilleures pratiques en matière de protection des données.
En nous externalisant votre fonction de DPO, tout conflit d'intérêts est éliminé, tout en nous offrant les avantages suivants :
- des connaissances approfondies et des qualifications professionnelles dans le domaine du droit de la protection des données et des pratiques en matière de protection des données,
- La possibilité de réaliser un audit de protection des données, au cours duquel nous examinons conjointement vos processus et procédures
- familiarité avec les défis et les obstacles, et
- l'accès aux meilleures pratiques pour atteindre et maintenir la conformité réglementaire,
- Programmes de sensibilisation et de formation pour les employés.
Assistez à une démonstration de notre logiciel. Nos experts vous guideront à travers nos services et répondront à toutes vos questions afin de créer une offre adaptée à vos besoins. Si vous choisissez de travailler avec nous, nous présenterons notre plateforme à votre équipe et vous expliquerons toutes les informations et mesures nécessaires pour vous conformer aux lois et réglementations pertinentes en matière de protection des données.
