Mission externalisée de délégué à la protection des données

Le DPO reprend les outils, méthodes et démarches RGPD déjà mis en place par la Communauté de Communes des Aspres et les communes, avec l’appui de l’ancien prestataire. Il tient compte du fait que chaque collectivité gère ses outils informatiques avec ses propres prestataires. Chaque membre dispose d’un référent RGPD, interlocuteur privilégié du DPO.

Le titulaire assure la disponibilité du DPO auprès de chaque membre, pendant les jours ouvrés et les heures de bureau, et s’adapte au fonctionnement de chacun. Si plusieurs personnes se partagent la mission, le titulaire garantit la continuité et le transfert de connaissances entre elles, sans surcoût. Le DPO travaille avec ses propres moyens, notamment téléphone mobile et ordinateur. L’accès aux serveurs et à la messagerie des collectivités n’est en principe pas autorisé ; des identifiants temporaires peuvent être remis si nécessaire et doivent rester confidentiels.

Le DPO agit indépendamment, signale les non-conformités et les mesures correctives au plus haut niveau de l’organigramme, et évite toute situation de conflit d’intérêts. Il justifie de compétences juridiques et techniques en protection des données, d’une connaissance approfondie du RGPD et du fonctionnement des collectivités territoriales, et maintient ses connaissances à jour. La certification est possible mais non obligatoire ; à défaut, le titulaire démontre les moyens assurant les compétences de son personnel.

Conseil et accompagnement RGPD

Le DPO assure une veille juridique et technologique et diffuse les informations utiles à chacun des membres. Il donne un avis écrit sur la conformité des nouveaux traitements, après consultation des personnes concernées et des sous-traitants, notamment sur les aspects de sécurité informatique. Il aide les collectivités à renseigner le registre, vérifie les traitements et leurs fondements juridiques, et conseille sur les durées de conservation et la rectification des données inexactes, incomplètes ou obsolètes.

Il propose, selon les besoins, des mises à jour de la charte informatique, des procédures et documents internes. Il participe à la rédaction ou à l’adaptation des clauses de protection des données des marchés et conventions, ainsi qu’à l’insertion et à la mise à jour des mentions RGPD dans les formulaires de consentement.

Pour les sous-traitants RGPD, il conseille la collectivité dans ses échanges avec le sous-traitant et son DPO, l’aide à mettre en conformité le registre, analyse les réponses aux demandes d’information et conseille sur les compléments à solliciter. Il rédige les avenants et accompagne la collectivité jusqu’à leur signature.

Contrôle, incidents et relations avec la CNIL

Le DPO réalise des audits internes dans les collectivités et rédige les rapports correspondants. Il contrôle la connaissance des obligations RGPD par les agents et les élus, échange avec les prestataires informatiques sur l’efficacité et l’adéquation des mesures de sécurité, conseille sur l’opportunité et la méthodologie d’une AIPD, et contrôle les sites internet et portails des membres.

En cas de violation de données, il conseille les directions et agents pour prévenir les risques, accompagne la collectivité par téléphone et/ou sur site, aide à renseigner le registre, évalue les risques pour les droits et libertés, prépare les notifications à la CNIL et aux personnes concernées lorsque nécessaire et rédige les courriers. Si aucune notification n’est requise, il aide à documenter cette décision et à mettre à jour le registre. Il consigne les éléments de l’incident et conseille les mesures correctives.

Le DPO est le point de contact de l’autorité de contrôle. Il accompagne les collectivités en cas de contrôle, encadre et documente les réponses des agents, rend compte des échanges, propose si nécessaire un plan de correction et en vérifie la traçabilité. Il accompagne aussi les demandes d’avis à la CNIL et en communique les résultats.

Sensibilisation, suivi et livrables

Le titulaire présente les personnes chargées de la mission aux agents et aux élus au démarrage puis à chaque changement, en recherchant la stabilité de l’équipe. Il accompagne dès le lancement chaque membre dans les démarches auprès de la CNIL pour mettre fin à la désignation de l’ancien DPO et déclarer le nouveau. Le DPO communique ses coordonnées aux interlocuteurs concernés, les fait inscrire dans le registre, répond aux questions des personnes concernées et dialogue avec les DPO des sous-traitants.

La prestation comprend une sensibilisation annuelle au RGPD, collective et mutualisée pour les agents et les élus, ainsi que des avis sur les supports et des flashs d’information pratiques. Le DPO participe à la réunion de lancement du comité de pilotage, se rend dans chaque collectivité au moins une fois par trimestre et assure un point trimestriel ou semestriel avec les membres. Il rédige au fil de l’exécution des comptes rendus, avis motivés et rapports synthétiques, puis un rapport annuel d’activités et le compte rendu de la réunion de fin d’année. Le rapport annuel est remis pour validation 10 jours avant cette réunion ; les dernières actions correctives sont réalisées avant la fin annuelle du marché.

Le délai de prise en charge est de 4 heures après une demande d’assistance ou de conseil, ramené à 2 heures en cas de contrôle inopiné de la CNIL. En fin de marché, le titulaire remet à chaque membre les documents et données produits ou collectés, dans un format lisible et exploitable par la collectivité et son nouveau prestataire.