Mission de délégué à la protection des données externe mutualisé

Le titulaire assure la fonction de DPO externe auprès de plusieurs responsables de traitement, avec un accompagnement adapté à leur maturité et à leurs risques, et des actions communes lorsque l’harmonisation est pertinente. Il informe et conseille les responsables et personnels, contrôle la conformité, coopère avec la CNIL et conserve son indépendance ainsi que sa confidentialité.

Le socle comprend notamment :

• la désignation ou la modification de la désignation auprès de la CNIL et l’actualisation des informations ;
• la tenue et le suivi de la feuille de route, du registre des traitements, des violations, des demandes de droits et des preuves de conformité ;
• la vérification des mentions d’information, politiques de confidentialité, clauses contractuelles et dispositifs numériques, notamment traceurs, cookies, formulaires et outils de suivi ;
• le conseil sur les projets et la protection des données dès la conception, les sous-traitants, les AIPD, les incidents, les droits des personnes et les relations avec la CNIL.

Le DPO accompagne l’identification des traitements susceptibles de nécessiter une AIPD, conseille sur sa méthode et en contrôle l’exécution ; la responsabilité de sa réalisation et des décisions demeure à l’entité concernée. Pour les violations, il contribue à la qualification, aux mesures immédiates et à l’évaluation des notifications nécessaires. La veille juridique et doctrinale donne lieu à des alertes ciblées et recommandations opérationnelles.

Interventions complémentaires

À la demande peuvent être réalisés des sensibilisations aux fondamentaux du RGPD ou à la sécurité des données, des audits ciblés, un accompagnement renforcé pour une AIPD complexe ou une violation majeure, une présence lors d’un contrôle CNIL et des interventions supplémentaires. Des missions distinctes peuvent également porter sur l’archivage papier ou numérique, les durées de conservation, la dématérialisation, les chartes et procédures, ainsi que des formations expertes. Elles sont définies avant commande avec leur périmètre, délai et coût ; l’intervenant distinct du DPO est précisé lorsque nécessaire pour prévenir les conflits d’intérêts.

Organisation, livrables et coordination

Chaque entité dispose d’un référent interne et d’une adresse fonctionnelle DPO ; le titulaire précise les modalités de sollicitation, notamment en urgence. Il coopère avec le RSSI ou les interlocuteurs SI, en complémentarité avec leurs responsabilités. La mutualisation comprend une réunion de lancement, au minimum une réunion inter-entités par an, la recherche de pratiques communes pertinentes et la production de modèles réutilisables sans imposer une uniformisation.

Les livrables comprennent une feuille de route et un plan de reprise par entité, le suivi des actions, la documentation de conformité, les comptes rendus des réunions structurantes, les alertes de veille, un bilan annuel par entité et, le cas échéant, une synthèse mutualisée. La continuité de service doit être assurée en cas d’indisponibilité de l’interlocuteur principal. La reprise couvre les dossiers, registres, procédures et actions en cours ; la réversibilité prévoit leur inventaire, restitution et transmission.