Réponse succincte
Pour un groupe, la simple désignation d'un délégué à la protection des données compétent ne suffit pas. Il est nécessaire que la fonction de délégué à la protection des données soit organisée de manière solide.
Cela comprend notamment un champ d'application clairement défini, des effectifs suffisants, un système de remplacement bien organisé, des interlocuteurs locaux, des canaux de communication bien définis, un plan de contrôle et d’audit, des rapports de gestion réguliers, des recommandations documentées, des procédures d’escalade bien définies et un canal de communication fiable avec les autorités de contrôle compétentes.
La désignation détermine qui occupe la fonction. Le modèle opérationnel définit comment celle-ci peut être exercée efficacement au sein du groupe.
La désignation du délégué à la protection des données comme point de départ
La désignation ou la nomination d'un délégué à la protection des données est avant tout une démarche formelle et juridique. Elle permet de déterminer qui exerce la fonction prévue par la loi.
Cela ne précise toutefois pas encore comment cette fonction sera intégrée dans le fonctionnement courant d'un groupe d'entreprises. Il convient notamment de déterminer comment le délégué à la protection des données sera informé des nouveaux projets et des opérations de traitement critiques, quelles sociétés et quels sites sont concernés par ce mandat, et quels interlocuteurs locaux seront chargés de l'assister.
D'autres dispositions sont régulièrement nécessaires concernant la représentation, la hiérarchisation des analyses d'impact relatives à la protection des données, les réclamations, les audits et les incidents liés à la protection des données, ainsi que la communication d'informations à la direction. De même, il doit être possible de documenter de manière traçable si et à quel moment le délégué à la protection des données a été associé à un dossier.
En règle générale, l'acte de nomination ne traite pas de ces questions d'organisation. Celles-ci font l'objet d'un modèle de fonctionnement distinct.
Particularités d'un mandat de DSB au sein d'un groupe
Dans les petites entreprises, une seule personne peut avoir une vue d'ensemble directe d'une partie importante des opérations relevant de la protection des données. Dans un groupe, en revanche, il existe généralement plusieurs sociétés, pays, divisions et niveaux de direction, qui prennent chacun leurs propres décisions.
Les responsabilités sont réparties, les systèmes et les flux de données se recoupent, et les exigences locales se heurtent aux directives centrales. Les projets sont souvent planifiés et mis en œuvre en parallèle.
Il convient notamment de tenir compte des éléments suivants :
- différents modèles économiques,
- des profils de risque différents,
- transferts internationaux de données,
- les systèmes informatiques gérés de manière centralisée,
- les processus locaux dans le domaine des ressources humaines,
- prestataires communs,
- existantes Conformité- et les fonctions de sécurité de l'information,
- plusieurs autorités de contrôle compétentes,
- exigences réglementaires spécifiques au secteur.
Une fonction DSB doit être en mesure de refléter de manière adéquate cette complexité organisationnelle et technique.
Il ne suffit donc généralement pas de simplement étendre à un plus grand nombre de sociétés une prestation de conseil initialement prévue pour une seule entreprise. Il faut au contraire mettre en place des structures, des rôles, des capacités et des processus de travail récurrents clairement définis.
Délégué à la protection des données commun ou externe pour un groupe d'entreprises
Le site RGPD prévoit qu'un groupe d'entreprises peut désigner un délégué à la protection des données commun, à condition que celui-ci soit facilement joignable depuis chaque établissement.
Cette fonction peut être exercée en interne ou externalisée dans le cadre d'un contrat de prestation de services. Ainsi, le recours à un délégué à la protection des données externe ou intervenant à l'échelle du groupe est en principe envisageable, même pour les grands groupes d'entreprises.
Ce qui importe, c'est la manière dont cette fonction est organisée afin qu'elle reste accessible, indépendante et efficace malgré la taille du groupe.
Il convient de définir clairement à quelles sociétés s'applique cette désignation, quelles entités juridiques sont incluses dans le mandat et comment les spécificités locales sont prises en compte. Un organigramme à l'échelle du groupe ne saurait se substituer à une délimitation suffisamment précise du mandat.
Exigences dans les procédures de sélection et d'appel d'offres
Lorsqu'elles choisissent un délégué à la protection des données externe, les grandes entreprises ne se contentent généralement pas d'examiner sa formation, ses certifications et son expérience professionnelle. Il est également important de savoir si le prestataire est en mesure d'assurer cette fonction de manière durable, tant sur le plan organisationnel qu'en termes de personnel.
Les questions typiques posées dans les appels d'offres portent sur :
- le personnage principal, dont le nom est mentionné explicitement,
- Dispositions relatives à la suppléance et à la relève,
- capacités disponibles,
- délais d'intervention convenus,
- Connaissance du secteur,
- couverture internationale,
- Compétences linguistiques,
- Assistance lors des audits,
- Communication avec les autorités de contrôle,
- Suivi des incidents liés à la protection des données,
- Accompagnement dans le cadre des analyses d'impact relatives à la protection des données,
- réunions de coordination régulières,
- Rapports destinés à la direction,
- Procédures d'escalade,
- logiciels utilisés,
- Documentation et la gestion des justificatifs,
- Modèles tarifaires et de prestations.
Derrière ces questions se cache la question de savoir s'il s'agit simplement d'une personne compétente agissant à titre individuel ou d'une structure de protection des données capable de fonctionner de manière durable.
Exigences en matière de compétences professionnelles
Un modèle opérationnel ne saurait se substituer aux compétences requises du délégué à la protection des données.
Le délégué à la protection des données doit comprendre les aspects juridiques, techniques et organisationnels des traitements concernés. Il doit évaluer les risques, formuler des recommandations, effectuer des contrôles et servir d'interlocuteur pour Personnes concernées et mises à la disposition des autorités de contrôle.
Au sein d'un groupe d'entreprises, des connaissances générales en matière de protection des données ne suffisent toutefois pas dans tous les cas. En fonction du modèle économique et des activités de traitement, des connaissances supplémentaires peuvent s'avérer nécessaires, notamment dans les domaines suivants :
- Protection des données des salariés,
- Cloud- et les architectures de plateformes,
- transferts internationaux de données,
- Cybersécurité,
- Marketing et Suivi,
- Traitement de Données de santé,
- Processus financiers et d'assurance,
- Automobile,
- Logistique,
- production industrielle,
- intelligence artificielle,
- flux de données au sein du groupe.
Un modèle de DPD solide devrait donc associer les compétences techniques personnelles du délégué à la protection des données désigné à la possibilité de faire appel à d'autres spécialistes.
Le site responsable Le délégué à la protection des données n'est pas tenu de traiter seul toutes les questions techniques ou spécifiques à un secteur d'activité. Il doit toutefois être en mesure d'évaluer quelles compétences supplémentaires sont nécessaires et de faire appel à celles-ci en temps utile.
Les six piliers d'un modèle d'exploitation solide pour la DSB
1. Mandat et champ d'application
Au début du mandat, il convient de déterminer quelles entités juridiques, quels sites et quelles activités sont concernés.
Il convient notamment de tenir compte des éléments suivants :
- sociétés concernées,
- Pays et sites,
- Rôles en tant que responsable du traitement ou sous-traitant,
- les processus centraux et locaux,
- exigences réglementaires spécifiques,
- les fonctions locales existantes en matière de protection des données,
- Interfaces avec le service juridique, Conformité et la sécurité de l'information.
En l'absence d'une délimitation claire, des responsabilités floues ou qui se chevauchent peuvent apparaître au sein d'un groupe d'entreprises.
Ainsi, un service central chargé de la protection des données peut considérer qu'il est responsable d'une filiale, tandis que cette dernière désigne un interlocuteur local comme responsable poste au sein de l'organisation chargée de la protection des données. Il en résulte un risque que des opérations critiques ne soient pas traitées ou le soient avec retard.
Un mandat efficace doit donc être suffisamment précis sur le plan juridique et compréhensible sur le plan opérationnel pour les entités organisationnelles concernées.
Chaque unité concernée devrait notamment savoir :
- la personne désignée comme délégué à la protection des données,
- comment y parvenir,
- pour quelles opérations une intégration est nécessaire,
- quelles informations doivent être fournies pour l'examen,
- qui décide de la mise en œuvre de ses recommandations.
2. Modèle de capacités et de compétences
La portée du mandat doit se refléter dans les ressources humaines et techniques mises à disposition.
Un groupe d'entreprises comptant de nombreuses sociétés, plusieurs milliers de salariés et des processus de transformation complexes ne peut généralement pas être accompagné de manière adéquate avec un effort minimal forfaitaire.
La planification des capacités peut notamment s'appuyer sur les critères suivants :
- Nombre et taille des sociétés concernées,
- Nombre de salariés,
- Risques liés aux activités de traitement,
- Nombre et ampleur des projets en cours,
- Volume des demandes relatives à la protection des données,
- Nombre d'incidents liés à la protection des données,
- Étendue du paysage des prestataires de services,
- activité internationale,
- cadre réglementaire,
- Niveau de maturité de l'organisation actuelle en matière de protection des données.
Ce n'est pas uniquement le nombre de jours de consultation convenus qui est déterminant. Il convient également de préciser quelles compétences techniques sont effectivement mises à disposition dans le cadre du mandat.
Un modèle viable peut, par exemple, inclure les rôles suivants :
- Responsable principal de la protection des données,
- suppléant désigné,
- Juristes spécialisés dans la protection des données,
- experts techniques en protection des données,
- Audit-spécialistes,
- Les experts du secteur,
- conseillers opérationnels en protection des données,
- Assistance pour l'exploitation de la plateforme et le reporting.
Une telle structure permet d'éviter que l'ensemble du mandat ne soit pris en charge par la Disponibilité dépend d'une seule personne.
3. Disponibilité, remplacement et implication locale
Un groupe d'entreprises a besoin d'interlocuteurs clairement identifiés et joignables.
Le responsable principal de la protection des données doit être visible et joignable au sein de l'organisation. Il convient par ailleurs de prévoir un remplaçant fiable. Les congés, les arrêts maladie ou les événements critiques survenant simultanément ne doivent pas empêcher l'exercice temporaire de cette fonction.
Un modèle solide devrait donc notamment prévoir :
- la personne occupant le poste de responsable principal de la protection des données,
- au moins un représentant désigné de manière contraignante,
- Temps de réponse,
- Pouvoirs en cas de représentation,
- les coordinateurs locaux chargés de la protection des données,
- Canaux de communication,
- points de contact centralisés pour les demandes,
- Accessibilité pour les salariés et Personnes concernées.
Les coordinateurs locaux chargés de la protection des données ne remplacent pas le délégué à la protection des données. Ils peuvent toutefois contribuer de manière significative à ce que les informations provenant des services opérationnels lui soient transmises en temps utile.
Vous maîtrisez les processus, les projets et les interlocuteurs locaux, vous êtes capable de préparer des informations et d'assurer le suivi de la mise en œuvre des mesures convenues.
Cela suppose une délimitation claire des rôles. Le coordinateur local apporte son soutien à l'organisation chargée de la protection des données. Le délégué à la protection des données conseille et supervise. Les instances compétentes et la direction prennent les décisions nécessaires et assument la responsabilité de leur mise en œuvre.
4. Procédures opérationnelles et processus de service
Le mandat d'un DPD ne devrait pas se limiter à répondre à des demandes individuelles ponctuelles. Il nécessite des processus de travail récurrents et axés sur les risques.
Cela peut notamment inclure :
- réunions de coordination hebdomadaires ou mensuelles,
- coordination régulière avec les services juridiques et de sécurité de l'information,
- Examen de nouveaux projets,
- Accompagnement des analyses d'impact relatives à la protection des données,
- Vérification des activités de traitement critiques,
- Conseils en matière de sous-traitance,
- Assistance dans le traitement des demandes relatives aux droits des personnes concernées,
- Suivi des incidents liés à la protection des données,
- Contrôle des transferts internationaux de données,
- contrôles périodiques,
- Formation et Sensibilisation-Mesures.
La fréquence doit être déterminée en fonction du risque et de l'urgence. Un incident critique lié à la protection des données ne peut pas être reporté jusqu'à la réunion mensuelle habituelle. En revanche, un examen stratégique de l'organisation de la protection des données ne doit pas nécessairement avoir lieu à intervalles réguliers et rapprochés.
Le mandat devrait donc prévoir différents modes de traitement, par exemple pour :
- le fonctionnement normal,
- demandes de conseil prioritaires,
- escalades critiques,
- l'assistance en cas d'incidents liés à la protection des données,
- la communication avec les autorités de contrôle.
Une description suffisamment précise du service permet de comprendre quel circuit de traitement est prévu pour quel type de dossier.
5. Contrôle, audit et reporting
Outre la mission de conseil, le délégué à la protection des données est également chargé de veiller au respect des exigences en matière de protection des données et des directives internes en la matière.
À cette fin, il convient de prévoir un plan d'audit structuré et axé sur les risques.
Un plan d'audit peut notamment porter sur les domaines suivants :
- les activités de transformation présentant des risques particulièrement élevés,
- catégories particulières de données à caractère personnel,
- flux de données internationaux,
- systèmes informatiques centraux,
- Données relatives aux salariés,
- Processus marketing,
- Stratégies d'extinction,
- Sous-traitant,
- Stratégies d'autorisation,
- Applications de l'intelligence artificielle,
- faiblesses récurrentes.
Les constatations d'audit ne doivent pas être consignées de manière isolée. Elles doivent donner lieu régulièrement à des mesures concrètes. Pour ces mesures, il convient de Responsable et de fixer des délais ainsi que de prévoir un suivi. Les écarts critiques doivent, le cas échéant, être signalés à la hiérarchie.
Il en va de même pour le système de reporting.
Un rapport de gestion ne doit pas se limiter à énumérer les demandes traitées. Il doit notamment permettre à la direction d'avoir une vue d'ensemble des points suivants :
- les principaux risques liés à la protection des données,
- mesures critiques en cours,
- décisions en retard,
- les analyses d'impact relatives à la protection des données en cours,
- les incidents liés à la protection des données,
- principales constatations de l'audit,
- faiblesses récurrentes,
- les escalades qui se sont produites,
- Évolution par rapport à la période précédente.
La direction n'a pas besoin, de manière régulière, d'un aperçu complet de tous les cas individuels. Ce qu'elle attend, c'est une vue d'ensemble fiable des risques, des décisions en suspens et des mesures à prendre.
6. Remontée des problèmes et communication avec les autorités de contrôle
Le délégué à la protection des données doit pouvoir exercer ses fonctions en toute indépendance. Cela implique notamment que les recommandations critiques ne soient pas ignorées dans le cadre des processus de coordination opérationnelle.
Un modèle d'exploitation résilient devrait notamment définir :
- à partir de quand une opération doit être considérée comme critique,
- quels services doivent être informés en premier lieu,
- dans quelles conditions une affaire est transmise à la direction,
- comment les recommandations du délégué à la protection des données sont consignées,
- comment les décisions divergentes sont consignées,
- comment les incidents urgents sont traités,
- qui coordonne la communication avec les autorités de surveillance.
Cela est particulièrement pertinent lorsque la responsable ne donne pas suite à une recommandation du délégué à la protection des données.
En règle générale, le délégué à la protection des données ne prend pas lui-même les décisions opérationnelles. Les responsables peuvent, après avoir procédé à leur propre examen, parvenir à une appréciation différente. Dans ce cas, il convient toutefois de consigner ces éléments de manière traçable :
- quelle recommandation a été formulée,
- sur quels faits elle reposait,
- quels risques ont été identifiés,
- qui a pris la décision divergente,
- quelles mesures alternatives ou complémentaires ont été prévues.
Une décision divergente consignée par écrit doit être considérée, d'un point de vue organisationnel, différemment d'une recommandation qui reste sans suite sans qu'aucun examen apparent n'ait été effectué.
Lien entre le reporting et les outils logiciels
Un modèle opérationnel DSB couvrant un champ d'application étendu ne peut généralement pas reposer durablement uniquement sur des e-mails, des tableaux et des notes personnelles.
Plus le mandat est important, plus le risque est grand que les informations soient réparties sur différents systèmes, qu'elles ne soient pas mises à jour de manière uniforme ou qu'il ne soit plus possible, par la suite, d'en retracer l'intégralité.
Une plateforme adaptée devrait donc aller au-delà de la simple tenue d'un registre des activités de traitement et soutenir l'activité courante de la fonction de délégué à la protection des données.
Cela peut notamment inclure les fonctions suivantes :
- enregistrement structuré des demandes,
- Affectation aux sociétés et aux responsables,
- Documentation des évaluations de la protection des données,
- Gestion des risques et des mesures,
- Présentation des analyses d'impact relatives à la protection des données,
- Délais et relances,
- Documentation des recommandations du délégué à la protection des données,
- Enregistrement des décisions prises,
- Gestion des constatations d'audit,
- Conservation des pièces justificatives,
- Élaboration de rapports de gestion,
- Documentation des escalades.
La mise en relation des différentes informations revêt une importance particulière.
Une activité de traitement peut, par exemple, concerner un système, un prestataire de services, un Analyse d'impact relative à la protection des données, à un risque et à une mesure qui en découle. Une recommandation du délégué à la protection des données n'est donc pas uniquement consignée dans un e-mail, mais reste associée à l'opération à l'origine de celle-ci.
Cela peut faciliter le traitement des dossiers tout en renforçant la traçabilité de l'organisation chargée de la protection des données.
Indicateurs pertinents pour un mandat DSB
Lors de la définition d'indicateurs pour une fonction de délégué à la protection des données, il convient de tenir compte du fait que tous les paramètres facilement mesurables ne permettent pas de tirer des conclusions fiables quant à l'efficacité de cette fonction.
Le nombre d'e-mails traités ne permet généralement pas d'évaluer de manière fiable la qualité des services de conseil et de contrôle. De même, un faible nombre d'incidents liés à la protection des données signalés ne doit pas être considéré d'emblée comme un signe positif, car cela peut également indiquer que les procédures de signalement sont insuffisantes.
Il est préférable d'utiliser des indicateurs qui mettent en évidence les risques, l'état d'avancement des dossiers et les besoins en matière de pilotage.
On peut citer par exemple :
- Nombre de mesures critiques en cours,
- Nombre de mesures en retard,
- durée moyenne de traitement par niveau de priorité,
- Nombre d'analyses d'impact relatives à la protection des données en cours,
- Période précédant la mise en place du délégué à la protection des données,
- Pourcentage de traitements à haut risque vérifiés dans les délais,
- constatations récurrentes issues des audits,
- État d'avancement des recommandations critiques,
- Nombre et nature des escalades survenues,
- demandes en attente des personnes concernées,
- Exhaustivité de la documentation relative à la protection des données.
Les indicateurs de performance ne doivent pas réduire l'activité indépendante du délégué à la protection des données à la productivité d'un système de tickets. Ce qui importe, ce n'est pas de clôturer le plus grand nombre possible de dossiers dans les délais les plus courts possibles.
Ces indicateurs devraient plutôt permettre de déterminer si l'organisation chargée de la protection des données identifie les risques majeurs, les hiérarchise et les traite de manière appropriée.
Importance de la connaissance du secteur
Les exigences en matière de protection des données s'appliquent à tous les secteurs d'activité. Leur mise en œuvre concrète peut toutefois varier considérablement en fonction du modèle économique, de la finalité du traitement et du contexte réglementaire.
Le délégué à la protection des données d'une entreprise industrielle doit avoir une compréhension des processus et des risques différente de celle d'un délégué à la protection des données travaillant dans une banque, un établissement de santé ou une boutique en ligne.
La connaissance du secteur peut notamment s'avérer pertinente pour :
- l'évaluation des risques typiques liés à la transformation,
- la hiérarchisation des contrôles,
- la classification des processus métier établis,
- la compréhension des systèmes techniques,
- la communication avec les services spécialisés,
- la prise en compte des chevauchements réglementaires,
- l'élaboration de mesures concrètes et applicables.
Si le délégué à la protection des données ne maîtrise pas suffisamment le modèle économique, il existe un risque que des recommandations juridiquement fondées ne puissent pas être mises en œuvre dans le contexte concret de l'entreprise, ou ne puissent l'être qu'au prix d'efforts disproportionnés.
La compétence technique se manifeste donc également par la capacité à expliquer les risques avec précision et à proposer des solutions concrètes, tenant compte des processus opérationnels spécifiques, pour garantir une activité conforme à la protection des données.
Intégration du délégué à la protection des données externe dans la gestion des incidents
En cas d'incident lié à la protection des données, il convient généralement de respecter des délais courts de traitement et de prise de décision. Un délégué à la protection des données externe devrait donc être intégré dès le départ au modèle de gestion des incidents de l'entreprise.
Il convient notamment de clarifier les points suivants :
- comment le délégué à la protection des données est alerté,
- quelles informations lui sont communiquées,
- qui coordonne l'enquête sur les faits,
- quiconque évalue l'éventuelle obligation de déclaration,
- qui consigne la décision prise,
- quiconque utilise la autorité de contrôle communique,
- qui, le cas échéant, concernés personnes informées,
- qui mesures techniques et organisationnelles coordonné.
Le délégué à la protection des données conseille et contrôle les autorités compétentes.
En l'absence d'une répartition claire des tâches, il ne devrait pas assumer à la fois la gestion opérationnelle de l'incident, la prise de décision juridique, l'enquête technique et le contrôle indépendant. C'est précisément dans le cadre du traitement des incidents liés à la protection des données que les rôles et responsabilités respectifs doivent être clairement délimités les uns par rapport aux autres.
Un mandat solide définit ces interfaces avant même que le premier incident ne se produise.
Critères d'évaluation pour la sélection d'un délégué à la protection des données externe
Lors du choix d'un délégué à la protection des données externe, un groupe d'entreprises devrait examiner non seulement les CV et les barèmes de rémunération, mais aussi le modèle de fonctionnement prévu.
Mandat
- Quelles sociétés, quels pays et quels sites peuvent être pris en compte ?
- Comment le champ d'application est-il documenté ?
- Comment les spécificités locales sont-elles prises en compte ?
Personnes et compétences
- Qui est désigné personnellement comme délégué à la protection des données ?
- Qui assure la suppléance ?
- Quels sont les spécialistes disponibles ?
- Comment assure-t-on la continuité en cas de changement de personnel ?
Capacités
- Quelles sont les ressources en personnel prévues de manière définitive ?
- Comment gère-t-on les pics de charge temporaires ?
- Quels sont les délais de réponse ?
- Comment les charges réellement engagées sont-elles présentées ?
Exploitation opérationnelle
- Quelles sont les réunions de coordination régulières prévues ?
- Comment les demandes sont-elles soumises, évaluées et classées par ordre de priorité ?
- Comment sont traités les analyses d'impact relatives à la protection des données, les audits et les incidents liés à la protection des données ?
- Quelles sont les voies de recours disponibles ?
Système de reporting
- Quels rapports la direction reçoit-elle ?
- Comment les risques et les mesures sont-ils présentés ?
- Comment les recommandations et les décisions divergentes sont-elles consignées ?
Technologie
- Quel logiciel est utilisé ?
- Est-il possible de représenter séparément les sociétés, les rôles et les processus ?
- Sont Audit Trail, gestion des tâches, délais et options d'exportation disponibles ?
- Le client conserve-t-il l'accès à ses données et à sa documentation ?
Communication avec les autorités de contrôle
- Quelles sont les expériences acquises dans le cadre des relations avec les autorités de contrôle ?
- Qui se charge de quels aspects de la communication ?
- Comment les demandes et les prises de position sont-elles coordonnées ?
- Dans quelles conditions la direction est-elle impliquée ?
Prix et prestations incluses
- Quelles sont les prestations incluses dans le mandat de base ?
- Quelles prestations font l'objet d'une facturation distincte ?
- Comment sont traités les projets et les examens spéciaux ?
- Quelles capacités sont garanties de manière ferme ?
- Comment adapter l'étendue des prestations en cas d'évolution des besoins ?
Critères d'évaluation critique de l'offre
Une offre doit être examinée de plus près lorsque :
- aucune personne en particulier n'est désignée comme responsable principal de la protection des données,
- les règles de remplacement ne sont décrites qu'à titre indicatif,
- l'étendue des prestations est définie exclusivement en fonction d'un nombre d'heures,
- aucune logique d'escalade n'est prévue,
- il n'existe pas de reporting de gestion régulier,
- les audits ne sont réalisés que sur demande expresse,
- pas de structure Documentation ou si un logiciel adapté est prévu,
- les délais de réaction ne sont pas fixés,
- aucun spécialiste n'est disponible,
- la communication avec les autorités de contrôle n'est pas réglementée,
- si les prestations supplémentaires essentielles ne sont pas décrites de manière claire,
- des mandats de grande envergure sont proposés alors que les capacités sont manifestement limitées.
Un prix bas peut être pris en compte lors du choix. Il n'est toutefois pertinent que si les prestations, les capacités et les possibilités de réaction requises pour la mission sont effectivement assurées.
Soutien au modèle d'exploitation par Ailance, DPD externe
Ailance Externer DSB permet de combiner les activités techniques du délégué à la protection des données avec une plateforme structurée de gestion du travail et de suivi.
Ce logiciel ne remplace ni l'exercice des fonctions ni la responsabilité personnelle du délégué à la protection des données. Il peut toutefois contribuer à rendre compte de son implication, de ses recommandations, de ses contrôles et des mesures qui en découlent au sein de l'organisation de l'entreprise.
La plateforme permet notamment de gérer les informations et les processus suivants :
- Sociétés et champs d'application,
- Interlocuteurs et coordinateurs de la protection des données,
- Demandes adressées au délégué à la protection des données,
- Activités de traitement,
- Analyses d'impact relatives à la protection des données,
- Risques et mesures,
- Contrôles et plans d'audit,
- Incidents liés à la protection des données,
- Prises de position,
- Autorisations et décisions,
- Délais et relances,
- Rapports de gestion,
- Escalades.
Le délégué à la protection des données externe peut ainsi collaborer avec la direction, les services opérationnels et les interlocuteurs locaux dans le cadre d'un processus de gouvernance documenté.
Une vue d'ensemble centralisée peut être mise à la disposition du groupe, indiquant notamment :
- quelles opérations sont en cours,
- lorsqu'il existe des risques critiques,
- quelles mesures sont en retard,
- quelles sont les entreprises qui ont besoin d'un soutien supplémentaire,
- quelles recommandations ont été formulées,
- quelles décisions restent à prendre,
- dans quels cas une intervention de la direction est nécessaire.
La plateforme peut ainsi Transparence et favoriser la transparence des activités du DPD, sans porter atteinte à l'indépendance du délégué à la protection des données prévue par la loi.
Distinction entre le contrat et le concept d'exploitation
Un contrat de prestation de services définit si et dans quelles conditions un prestataire fournit certaines prestations. Le concept d'exploitation décrit quant à lui la manière dont la fonction DSB est effectivement exercée au sein du groupe.
Un contrat contient généralement des dispositions concernant :
- Description des prestations,
- Rémunération,
- Durée,
- Responsabilité civile,
- Résiliation,
- Confidentialité.
Le concept d'exploitation précise notamment les exigences relatives à :
- Rôles et responsabilités,
- Champ d'application,
- Capacités,
- Remplacement,
- moyens de communication,
- des concertations régulières,
- Planification des audits,
- Chiffres clés,
- Rapports,
- voies d'escalade,
- Processus de gestion des incidents,
- Communication des autorités,
- Assistance technique.
Ces deux niveaux de réglementation sont essentiels pour garantir un mandat solide.
En l'absence d'un modèle opérationnel suffisamment concret, des divergences d'attentes peuvent apparaître entre le donneur d'ordre et le prestataire. Le donneur d'ordre peut considérer qu'il a confié une mission complète de délégué à la protection des données, tandis que le prestataire interprète le mandat comme une prestation de conseil d'une durée limitée.
Ces différences n'apparaissent souvent qu'en cours de fonctionnement ou lors d'une opération critique.
Éléments clés d'un mandat de groupe
Un mandat de groupe solide devrait comporter au moins les éléments suivants :
Responsable de la protection des données (DSB)
Personnage principal désigné personnellement, chargé d'assumer cette fonction.
Représentation
Représentant agréé ayant accès aux informations nécessaires à l'exécution du mandat.
Équipe spécialisée
Assistance juridique, technique et sectorielle disponible.
Coordination régulière
Des rendez-vous fixés, avec un ordre du jour précis et un suivi des mesures convenues.
Plan d'audit
Audits axés sur les risques, couvrant l'ensemble des sociétés, des sites et des domaines d'activité.
Indicateurs clés de performance (KPI) et rapports de gestion
Présentation synthétique des principaux risques, mesures, échéances et évolutions.
Escalade des incidents
Processus défini pour les incidents liés à la protection des données urgents ou présentant un risque particulièrement élevé.
Communication des autorités
Une collaboration structurée avec les autorités de contrôle compétentes.
Si l'un de ces éléments fait défaut, il convient de vérifier par quelle autre mesure organisationnelle la fonction en question est assurée.
Questions de vérification concernant les mandats DSB existants
Lors de l'examen d'un contrat ou d'un concept d'exploitation existant, on peut notamment se poser les questions suivantes :
- Qui remplace le délégué à la protection des données ?
- Quelles sont, concrètement, les sociétés concernées par ce mandat ?
- Quel est le délai de réaction en cas d'incident grave lié à la protection des données ?
- Quels audits sont prévus pour l'année en cours ?
- Quels risques liés à la protection des données sont signalés à la direction ?
- Comment les recommandations et les décisions divergentes sont-elles consignées ?
- Quelle plateforme permet de gérer les actions en cours, les délais et les escalades ?
Si les documents existants ne permettent pas de répondre à ces questions, il convient de vérifier s'il existe, outre le contrat, un concept d'exploitation suffisamment concret.
Conclusion
La désignation d'un délégué à la protection des données au niveau du groupe crée la fonction prévue par la loi. Elle ne garantit toutefois pas à elle seule que cette fonction puisse être exercée efficacement au sein d'un groupe d'entreprises complexe.
Pour cela, il faut notamment :
- un champ d'application clairement défini,
- des effectifs suffisants,
- Compétences techniques et sectorielles,
- un règlement contraignant en matière de remplacement,
- implication locale,
- les processus opérationnels courants,
- un plan d'audit axé sur les risques,
- Reporting de gestion,
- des recommandations consignées par écrit,
- des procédures d'escalade bien définies,
- une communication officielle bien définie,
- un soutien technique adapté.
Lors du choix d'un délégué à la protection des données externe, les grandes entreprises devraient donc tenir compte, outre ses compétences professionnelles, également de la Disponibilité, vérifier la continuité, la traçabilité et l'organisation du concept de service prévu.
Ce qui est déterminant, c'est de savoir si, au-delà du contrat, le mandat repose sur un modèle d'exploitation clair et solide.
Questions et réponses
Les groupes peuvent-ils désigner un délégué à la protection des données commun ?
Un groupe d'entreprises peut, selon la RGPD désigner un délégué à la protection des données commun, à condition que celui-ci soit facilement joignable depuis chaque établissement. À cet égard, il convient de définir clairement son champ d'application, son accessibilité et la prise en compte des exigences locales.
Un groupe peut-il désigner un délégué à la protection des données externe ?
Oui. Les missions du délégué à la protection des données peuvent être confiées à un prestataire externe dans le cadre d'un contrat de prestation de services. La taille du groupe d'entreprises ne s'y oppose pas en principe, mais nécessite toutefois un modèle opérationnel qui tienne compte de manière appropriée de l'ampleur et de la complexité de la mission.
Quelles sont les exigences d'un groupe à l'égard d'un délégué à la protection des données externe ?
Outre les compétences techniques requises, il faut notamment disposer de capacités suffisantes, d'un système de remplacement, d'une bonne disponibilité, d'une bonne connaissance du secteur, de processus de service bien définis, Audit- l'assistance, le reporting de gestion, la gestion des incidents liés à la protection des données et la communication réglementée avec les autorités.
Pourquoi la désignation d'un délégué à la protection des données ne suffit-elle pas ?
La désignation définit qui exerce cette fonction. Cependant, elle ne précise généralement pas comment les demandes, les contrôles, les audits, les incidents liés à la protection des données, les escalades et les rapports doivent être traités dans le cadre de l'exploitation courante.
Que doit contenir une maquette d'exploitation DSB ?
Un modèle opérationnel de DPD comprend notamment le mandat et le champ d'application, le DPD principal, la suppléance, l'équipe spécialisée, les interlocuteurs locaux, les capacités, les concertations régulières, le plan d'audit, les indicateurs clés, le reporting, les procédures en cas d'incident, les voies d'escalade et la communication avec les autorités.
Un délégué à la protection des données externe doit-il être disponible en permanence ?
Le délégué à la protection des données doit, pour l'organisation, les salariés, concernés Les personnes concernées et les autorités de contrôle doivent pouvoir être jointes de manière appropriée. Pour les situations critiques, il convient de convenir de délais de réaction précis et de règles de remplacement fiables.
Quelles sont les missions des coordinateurs locaux chargés de la protection des données ?
Les coordinateurs locaux chargés de la protection des données peuvent apporter leur soutien au délégué à la protection des données en rassemblant des informations, en mettant en relation les différents interlocuteurs et en assurant le suivi de la mise en œuvre des mesures. Ils ne se substituent pas au délégué à la protection des données.
Quels indicateurs sont adaptés à un mandat de responsable de la protection des données ?
Il peut s'agir, par exemple, des mesures critiques en cours, des tâches en retard, des délais de traitement par niveau de priorité, des analyses d'impact relatives à la protection des données en cours, des constatations récurrentes issues d'audits et de l'état d'avancement des recommandations critiques.
De quelle manière le délégué à la protection des données devrait-il rendre compte à la direction ?
Le rapport doit notamment résumer les risques majeurs, les mesures critiques, les incidents pertinents en matière de protection des données, les constatations d'audit, les escalades et les changements par rapport aux périodes de référence précédentes.
Pourquoi une plateforme logicielle peut-elle être utile pour les délégués à la protection des données externes ?
Une plateforme permet de relier entre eux les demandes, les opérations de traitement, les risques, les contrôles, les recommandations, les mesures, les délais et les justificatifs. Cela permet de documenter et de piloter de manière transparente l'activité de la fonction de délégué à la protection des données au sein du groupe.
Quel rôle Ailance joue-t-elle dans le cadre de la fonction de délégué à la protection des données externe ?
Ailance permet de faciliter la collaboration structurée entre le délégué à la protection des données, la direction, les services fonctionnels et les interlocuteurs locaux. La plateforme permet de centraliser la documentation relative aux processus, aux recommandations, aux mesures, aux délais et aux rapports.
À quoi reconnaît-on une offre de transport public de proximité insuffisante ?
Un examen s'impose notamment en cas de règles de remplacement peu claires, d'interlocuteurs non désignés, d'absence de délais de réponse, d'absence de plan d'audit, d'absence de rapports de gestion prévus, de procédures d'escalade peu claires et de capacités manifestement insuffisantes au regard de l'étendue du mandat.
German 
English 
Italian 
French