DPO externalisé : confiez votre conformité RGPD à un expert dédié
Le RGPD, ce n'est pas un dossier sur lequel on va passer 2 ou 3 jours et qu'on va ensuite classer.
C'est un sujet qui vit, en continu, au rythme de votre activité et de l'évolution de la société (changement de réglementation, piratage, IA, ...).
Un DPO externalisé (délégué à la protection des données), c'est un expert sur le RGPD qui porte ce sujet pour vous, en collaboration avec vos équipes, dans la durée et sans porter le coût d'un recrutement à temps plein.
« Le RGPD ? On a désigné quelqu'un mais il n'a pas le temps. »
Beaucoup de dirigeants s'occupent du RGPD une fois (un audit, réaliser le registre des traitements, ...) puis passent à autre chose.
C'est normal : vous avez une structure à diriger et pas forcément les connaissances nécessaires en termes de RGPD et de protection des données (personnelles ou non).
Sauf que le RGPD (obligatoire) vit au rythme de votre structure et de la société.
Vous changez de logiciel - Vous lancez une newsletter - Vous installez une caméra - Un client vous envoie un contrat de sous-traitance - Un candidat demande à voir ses données - La réglementation évolue - Vous mettez en place l'IA.
À chaque fois, il va falloir vérifier si ce que vous faites est conforme au RGPD, si les règles sont claires pour vos collaborateurs, si vous protégez bien les données, s'il n'y a pas de risques pour les données de vos clients. Et vous n'avez ni le temps, ni l'envie.
C'est à ça que sert un DPO externalisé (ou DPO externe). Quelqu'un s'en occupe pour vous, en continu, pendant que vous gérez votre métier.
☎️ Un premier appel de 30 minutes, sans engagement
En 30 minutes au téléphone, on échange et on fait le point sur vos besoins en termes de RGPD et ce qu'un DPO externalisé peut vous apporter.
« Le RGPD, j'ai quelqu'un qui s'en occupe.
Il a déjà avancé mais il manque de temps, il n'est pas sûr que ce qu'il a fait est OK et a besoin de soutien et d'un accompagnement.
En plus on intègre l'IA et on voudrait faire ça bien.
On veut être efficace mais dans les règle. »
Le constat est souvent le même : la conformité a été initiée et le projet « RGPD » n'a pas beaucoup avancé.
La vie de l'entreprise est prioritaire (et c'est normal) et les risques liés à la protection des données personnelles (des clients, des personnels, des usagers, ...) sont toujours là.
Mon rôle, c'est de porter le sujet avec vous dans la durée : je mets en place les registres, je les documente, je sensibilise vos équipes, je réponds à vos questions et je fais le point avec vous régulièrement. Vous n'avez plus à y penser et le RGPD est intégré progressivement à votre structure.
Les avantages d'un DPO externalisé ?
Un DPO (Délégué à la Protection des Données) est la personne chargée de veiller à votre conformité RGPD et de veiller à ce que les données à caractère personnel soient bien protégées.
Le RGPD permet qu'un DPO puisse être interne ou externe.
Pour une petite structure de 5 à 50 salariés (PME / TPE, associations ou collectivités), c'est souvent la solution la plus simple et la plus économique.
Les avantages d'un DPO externalisé :
- Pas de recrutement : vous accédez à une compétence experte sans embaucher un salarié à plein temps.
- Un coût maîtrisé : vous réservez un volume d'heures adapté à votre besoin réel, ni plus, ni moins.
- Une vraie indépendance : un DPO externe n'a aucun conflit d'intérêts (contrairement à un dirigeant ou un salarié qui peut être juge et partie). C'est précisément ce que valorise la CNIL.
- Une compétence à jour et dédiée : le RGPD évolue. C'est mon métier de suivre ces évolutions, pas le vôtre.
- Un regard extérieur et une vue d'ensemble.
- De la sérénité : vous savez que le sujet est suivi et avance.
- …
Ce que je fais concrètement, en tant que DPO externalisé
Mon rôle s'adapte à votre structure (taille, besoins, enjeux). On détermine ensemble le périmètre d'action.
Selon votre situation, mon accompagnement peut couvrir les points suivants :
- La mise en place et le suivi de votre registre des traitements au fil des évolutions de votre structure et de vos enjeux.
- Le rôle de point de contact : pour la CNIL comme pour les personnes (clients, salariés) qui exercent leurs droits
- Le traitement des demandes (accès, suppression, rectification…) quand elles arrivent.
- Les conseils sur vos nouveaux projets : Un nouvel outil, un nouveau service ? On regarde ensemble l'impact sur données personnelles avant de vous lancer.
- La sensibilisation de vos équipes au RGPD et aux bonnes pratiques.
- La veille sur les évolutions réglementaires qui vous concernent.
- Un point régulier avec vous.
- …
Point d'attention : Je ne me substitue pas à vous dans vos décisions. Un DPO conseille, alerte et veille, mais c'est vous qui restez responsable de vos traitements. Mon travail, c'est de vous donner tous les éléments pour décider en connaissance de cause et en toute confiance, et d'assurer le suivi de ces décisions.
En pratique :
- Un premier appel rapide par téléphone (30 min) pour comprendre votre activité, vos données et vos enjeux.
- Un état des lieux de votre conformité (si vous n'avez pas encore fait d'audit RGPD.
- La mise en place : je suis désigné comme votre DPO et déclaré auprès de la CNIL, ce qui officialise le rôle.
- Un accompagnement régulier : On définit ensemble les missions, le calendrier, le volume d'heures (au mois ou à l'année), les outils ou documents, les points réguliers, et les modalités de communication.
Sur le volume d'heures :
On définit ensemble le temps réellement utile à votre structure (de quelques heures à plusieurs jours par mois).
Les heures sont comptabilisées et le volume peut être ajusté si vos besoins évoluent.
Les questions que vous vous posez...
Suis-je obligé de désigner un DPO ?
Un DPO n'est obligatoire que dans certains cas déterminés par l'article 37 du RGPD :
https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4#Article37
Cela correspond globalement aux cas suivants :
- Organisme public ou autorité publique : Collectivité territoriale, établissement scolaire, ministère, hôpital, …
- Traitement de suivi à grande échelle et de manière régulière de données à caractère personnel.
Exemple : une plateforme e-commerce qui analyse le comportement de ses utilisateurs, un réseau social, un organisme de crédit qui suit les opérations de ses clients, ... - Traitement de données dites sensibles à grande échelle : données de santé, données biométriques, opinions politiques, origine raciale ou ethnique, orientation sexuelle, convictions religieuses ou philosophiques, appartenance syndicale, ...
Exemples : un laboratoire d'analyses, une compagnie d’assurance santé, un établissement médical, une société qui fait de la reconnaissance biométrique, un gros parti politique, ...
Dans les autres cas (la majorité des TPE et PME) désigner un DPO n'est pas obligatoire. Mais cela reste un moyen simple de mettre en place votre conformité, de la documenter et de pouvoir en apporter la preuve (à vos clients ou prospects s'ils le demandent).
Combien ça coûte ?
L'accompagnement repose sur un volume d'heures défini avec vous, au mois ou à l'année, selon vos besoins et vos objectifs.
Une petite structure pourra prendre quelques heures par mois quand une structure plus complexe pourra prendre quelques jours.
Le tarif journalier est fixe. On cale le volume ensemble. Un point est fait chaque mois et on ajuste le volume si besoin.
Quelle différence avec un audit RGPD ponctuel ?
Un audit RGPD est une photo à un instant T : il vous dit où vous en êtes et ce qu'il faut corriger.
Le DPO externalisé, c'est un travail continu et pérenne. Il maintient votre conformité dans le temps, à mesure que votre activité évolue. Les deux sont complémentaires : beaucoup de clients commencent par un audit, puis passent à un accompagnement continu une fois les bases posées et les actions et les missions définies.
Mes données sont-elles en sécurité avec vous ?
C'est une question importante qui doit être posée, d'autant plus pour le rôle de DPO qui touche de près à vos données.
Sur l'entretien gratuit, je rentre peu dans le détail de vos données. Si besoin, je peux signer un accord de confidentialité simple avec vous.
Ma prestation contractualisée avec vous est encadrée par un contrat, signé par vous et moi. Dans ce contrat, je spécifie bien la façon dont je protège toutes les informations auxquelles j'ai accès et le respect de la confidentialité et du RGPD que j'applique auprès de mes clients.