RGPD : Darine Fayed, Data Protection Officer, présente son rôle et ses missions

Parmi les grandes prérogatives qui accompagnent l’arrivée du RGPD, il y a la nomination du délégué à la protection des données (DPO). Si celle-ci n’est pas obligatoire pour toutes les entreprises, la CNIL et les autorités européennes encouragent fortement les sociétés à y faire appel dans la mesure du possible. Darine Fayed, DPO pour Mailjet, nous explique son rôle au sein de la société et délivre quelques conseils pour les retardataires.

 Des missions foncièrement différentes…

Si le métier de DPO n’est pas à proprement parler un nouveau métier depuis la mise en place du RGPD, ses missions ont radicalement changées depuis cette loi. « Le rôle du DPO est complètement nouveau, explique Darine Fayed. En France on avait auparavant le CIL (Correspondant Informatique et Libertés) mais sa présence n’était pas obligatoire ». Sous le RGPD, il est obligatoire de nommer un DPO selon 3 cas différents :

• Être une autorité ou un organisme public ;
• Avoir une activité nécessitant un suivi régulier et systématique des personnes à grande échelle…
• Traiter des données sensibles comme celles qui se rattachent à l’origine ethniques, les opinions politiques, philosophiques ou religieuses, à la santé, vie sexuelle…

Aujourd’hui, le DPO doit bien connaître les lois régissant le numérique et les données personnelles. Pour Darine Fayed, « le DPO a une double casquette, à la fois tech et juridique ». Il faut également que ce soit quelqu’un qui a une compréhension du business de l’organisme. Attention toutefois : « Il faut également trouver une personne qui ne sera pas en conflit d’intérêt dans cette fonction, comme des personnes à responsabilité qui prennent une grande partie des décisions pour l’entreprise, comme par exemple le CEO. »

… mais aussi très variées

En tant que référent de la protection des données personnelles dans l’entreprise, le DPO a donc plusieurs missions :

• En interne, il se doit de sensibiliser le personnel sur le sujet de protection des données, que ce soit sur les données clients ou bien les propres informations des salariés. La protection des données personnelles s’adresse à tous.
• Piloter la société dans sa mise en conformité, connaître les étapes pour répondre aux obligations du RGPD, repérer les ressources disponibles etc.
• Le DPO est aussi le principal interlocuteur avec la CNIL, il peut être en contact direct pour clarifier quelques lignes directrices par exemple.

« La première étape pour un DPO est d’établir un registre de données, explique Darine Fayed. Pour les micros et petites entreprises, ce n’est pas forcément une obligation. Ce registre permet d’avoir une vue globale pour voir quelles données sont collectées, comment elles sont traitées, de quelle façon elles sont transférées ou non. Il faut un responsable pour le traitement de ces données, capable de prendre des décisions sur ces problématiques. »

Le conseil en plus de Darine Fayed : organiser dès le début un planning de mise en conformité. « Sur notre site, nous avions mis notre roadmap pour le compliance, avec des schémas, des dates précises. On a identifié toutes les obligations qu’il fallait absolument suivre à la lettre. Toutes les 3 semaines nous avions un comité de préparation RGPD. Dans ce contexte, il faut donc avoir un project manager qui mettra tout ça en place. »

Comment recruter son DPO ?

Le DPO n’est pas forcément un poste à temps plein. Il ne nécessite pas forcément de créer un nouveau poste non plus. Le DPO peut être à temps partiel sur cette fonction, être un collaborateur interne ou être recruté en externe pour des missions d’audit et d’accompagnement de la société dans sa mise en conformité.

« J’étais déjà dans la société en tant que responsable juridique, précise Darine Fayed. Mon rôle a ainsi évolué vers un poste de DPO. J’ai pu prendre quelqu’un pour former une équipe et m’accompagner dans le processus de mise en conformité. Nous avons eu la chance de pouvoir mettre en chantier cette mise en conformité très en avance, puisque nous avons débuté en janvier/février 2017. Cela nous a pris un certain temps, parce que l’on n’avait pas beaucoup de ressources consacrées à ce moment-là. »

Elle poursuit : « Le fait que nous ayons obtenu notre certification ISO 27001 nous a beaucoup aidé. Les standards de cette certification sont proches des prérogatives de sécurité du RGPD. La personne qui était en charge de cette certification nous a ainsi accompagnés efficacement sur la mise en place du RGPD ».

Si le DPO a en charge le pilotage du projet de mise en conformité au RGPD, tous les acteurs dans l’entreprise sont également concernés par cette organisation. Cela n’implique pas non seulement le juridique, cela concerne aussi l’équipe technique. « C’était un véritable travail d’équipe » termine Darine Fayed.