Mission de DPD externalisé mutualisé

Le DPD externe mutualisé conseille les responsables de traitement et leurs collaborateurs, pilote les actions de conformité et aide à maintenir les pratiques conformes au RGPD. Il signale les manquements, recommande des mesures correctrices et veille à la protection des données dès la conception et par défaut.

Suivi, conseil et contrôle

• Élaboration et mise à jour des feuilles de route, avec réunions de suivi au minimum trimestrielles. Un rapport annuel est remis à chaque entité ; un rapport consolidé annuel est également transmis à la SAC. Sont aussi prévues des présentations du DPD à la gouvernance et aux directions concernées.
• Conseil et sensibilisation des collaborateurs ; réalisation des analyses d’impact lorsque le traitement envisagé est susceptible de présenter un risque élevé.
• Mise à jour du registre des activités de traitement au moins une fois par an et lors d’évolutions significatives ; tenue à jour de la cartographie des sous-traitants.
• Documentation de conformité et procédures permettant de démontrer le respect des obligations et d’en assurer l’accès à la CNIL ; veille réglementaire et jurisprudentielle, accompagnement des projets et audits et contrôles indépendants de conformité.
• Point de contact auprès de la CNIL, coopération avec celle-ci et assistance aux entités pour traiter les demandes d’exercice des droits.

Phasage et livrables

La mission comprend la préparation des formalités de désignation, la reprise des documents et historiques existants et l’actualisation des feuilles de route à partir de l’état des lieux de 2026, puis le suivi continu et la réversibilité sortante. La reprise des données dans de nouveaux outils éventuellement proposés est incluse. En fin de marché, les documents, données et livrables sont restitués dans un format standard exploitable, sans coût supplémentaire. Les livrables comprennent notamment rapports annuels, feuilles de route, registre et AIPD requises ; la liste n’est pas exhaustive. Une remise à niveau de la conformité est signalée comme prioritaire pour une entité.

Les temps d’intervention indicatifs pour 2025 sont de 0,75 jour/mois, 1 jour/mois, 0,50 jour/mois, 0,75 jour/mois et 0,25 jour/mois selon l’entité ; un besoin renforcé supplémentaire est signalé sans quantification. Ces estimations peuvent évoluer. Le forfait doit comprendre tout type de saisine.

Équipe, disponibilité et sécurité

L’équipe minimale comprend un DPD principal et un collaborateur d’appui de niveau Bac+3 au minimum. Le titulaire doit justifier d’une expertise juridique et technique en protection des données, d’une connaissance du logement social, et d’une certification DPD CNIL ou ISO/IEC 27001 Lead Auditor ; une formation supérieure de niveau master est demandée, idéalement dans les domaines juridiques concernés, ou une expérience professionnelle équivalente.

L’accessibilité directe garantie est d’au moins 12 heures par semaine. L’accusé de réception d’une sollicitation est dû sous 24 heures ouvrées ; le premier retour intervient sous 72 heures pour une demande non urgente et sous 24 heures en cas d’urgence signalée. Le titulaire doit pouvoir accompagner le traitement des demandes de droits dans le délai réglementaire d’un mois, sauf prolongation, et l’éventuelle notification d’une violation à la CNIL dans les 72 heures suivant sa découverte. En cas de remplacement du DPD principal, un remplaçant de niveau au moins équivalent est proposé sous cinq jours ouvrés.

Si des outils ou plateformes sont mis à disposition, leur sécurité doit être adaptée aux données : mesures d’authentification, habilitations, traçabilité et chiffrement TLS 1.2 minimum ; hébergement dans l’Union européenne ; confidentialité, intégrité et disponibilité des données et services. Le mémoire technique doit aussi décrire l’accès distant sécurisé, la sécurité physique, la continuité et la reprise d’activité, la restitution et les garanties relatives aux éventuels sous-traitants techniques.

Le DPD est soumis au secret professionnel ou à la confidentialité, doit rester indépendant et sans conflit d’intérêts, et ne peut recevoir d’instructions dans l’exercice de sa mission. Si le titulaire est un cabinet d’avocats, l’avocat ayant exercé comme DPD ne peut représenter l’entité dans une procédure la mettant en cause comme responsable de traitement.