Externalisation de la fonction de délégué à la protection des données

Le titulaire assure, de façon indépendante et sans volume horaire maximum, une fonction de conseil, d’accompagnement et de contrôle couvrant les traitements de données personnelles relevant de la responsabilité de l’acheteur. Il accompagne les services dans la conformité au RGPD, la gouvernance des données, les projets de traitements et les contrats présentant des enjeux de données personnelles. Les avis écrits motivés demandés sont à remettre dans un délai maximal de 10 jours ouvrés.

Le titulaire tient et actualise la documentation des traitements, leur cartographie et les registres associés, notamment ceux des consentements et des violations de sécurité, dans le logiciel de conformité utilisé par l’acheteur (actuellement Adéquacy). Il suit le plan de mise en conformité existant, composé de 132 actions, actualise le tableau de suivi et soutient les services dans leur mise en œuvre. Une réunion annuelle de comité de pilotage, en présentiel, accompagne la mise à jour des plans. Une lettre de veille réglementaire est transmise chaque semestre.

La mission comprend aussi la surveillance continue de la conformité, les contrôles et vérifications, l’alerte sans délai en cas de risque important ou de manquement, ainsi que le traitement des demandes d’exercice des droits. Si les services de l’acheteur doivent intervenir, le DPO les saisit dans un délai maximal de 5 jours ouvrés. Il coopère avec la CNIL et les autres autorités de contrôle; en cas d’incident, il coordonne les réponses et notifications dans un délai maximal de 2 jours ouvrés à compter de la communication de l’incident.

Les prestations sont réalisées à distance, avec présence sur site lorsque l’acheteur l’exige ou le juge nécessaire. Le DPO participe au minimum à une réunion de suivi par mois avec le référent RGPD. Sont également prévus un rapport annuel d’activité et un rapport annuel d’état de conformité, remis chacun au plus tard 15 jours ouvrés après la fin de la période concernée, ainsi qu’un plan de réversibilité. Les documents produits sont restitués en format ouvert et réutilisable; si l’acheteur le demande, le transfert au nouveau DPO couvre les dossiers en cours et la continuité de la mission.

Prestations ponctuelles sur commande

Des formations et actions de sensibilisation sont proposées aux agents, référents, responsables de traitement, chefs de service et encadrants. Les thèmes comprennent notamment le RGPD, la sécurité, la vidéoprotection, les ressources humaines, les marchés publics, les droits des personnes et la gestion des violations. Les sessions peuvent être en présentiel, à distance, hybrides ou en e-learning. Le programme, le support numérique et le CV ou profil du formateur sont soumis pour validation au plus tard 10 jours ouvrés avant la session; le contenu peut être adapté aux spécificités de l’acheteur sans surcoût. Les unités prévues sont l’heure, la demi-journée de 3 heures et la journée de 7 heures.

Le titulaire peut aussi accompagner les analyses d’impact relative à la protection des données (AIPD) qui ne relèvent pas du forfait annuel. Il propose la méthode et cadre le périmètre, le calendrier et les parties prenantes; accompagne la description du traitement, l’évaluation de sa nécessité et de sa proportionnalité, l’identification des risques et le choix des mesures; puis remet un avis écrit motivé et vérifie la mise en œuvre des mesures retenues. Il peut conseiller l’acheteur sur une consultation préalable de la CNIL et aider à préparer le dossier. L’acheteur demeure responsable du traitement, du contenu de l’AIPD et des décisions finales. Les livrables comprennent au minimum le plan d’action et le calendrier, l’avis écrit, les observations et recommandations, et, le cas échéant, un compte rendu de vérification.