Mission externalisée de délégué à la protection des données

Le titulaire accompagne l’organisme dans la conformité au RGPD et assure les missions du DPO prévues aux articles 38 et 39. Il agit de manière indépendante, sans fonctions décisionnelles concernant les traitements, et constitue l’interlocuteur privilégié de l’autorité de contrôle.

Diagnostic et pilotage de la conformité

L’intervention comprend l’analyse des procédures et un audit interne des traitements dans les directions et services. Les constats servent à établir une cartographie des risques selon la méthode AMDEC et un plan d’actions de mise en conformité, accompagné d’un calendrier prévisionnel annuel. Des audits périodiques donnent lieu à des rapports de constat et à l’adaptation du plan ; un rapport annuel rend compte de l’activité, des résultats, des priorités et des enjeux.

Le DPO établit et tient à jour les registres, notamment ceux des traitements, des violations et des demandes d’exercice des droits. Il accompagne la gestion des droits et des violations, prépare des modèles de réponses et de mentions d’information, et conseille sur les notifications à l’autorité de contrôle et l’information des personnes concernées.

Accompagnement opérationnel et sensibilisation

La prestation couvre la mise en conformité des traitements, procédures et documents existants, ainsi que la proposition de modèles et de clauses (habilitations, durées de conservation, sécurité informatique, gestion de crise, confidentialité, sous-traitance et mentions d’information). Une plateforme d’échanges et d’archivage est mise à disposition et tenue à jour.

Le titulaire accompagne les analyses d’impact : identification des traitements concernés, appui à leur réalisation, évaluation des risques et proposition de mesures correctives. Il conseille également lors des échanges et contrôles de l’autorité de contrôle, et assure une veille juridique RGPD avec récapitulatif trimestriel et documentation spécifique à l’activité.

La formation collective initiale et continue des référents RGPD comprend une journée par an pour environ quinze personnes. La mission inclut aussi la sensibilisation des services et la transmission trimestrielle d’un support de communication sur un sujet RGPD.

Organisation et délais d’intervention

Le référent et ses services sont joignables par courriel et téléphone du lundi au vendredi, de 9 h à 17 h. Les délais attendus sont de 48 heures ouvrées pour les demandes courantes, 24 heures pour les demandes urgentes, une alerte immédiate en cas de violation de données et une prise en charge sous 2 heures lors d’un contrôle de l’autorité. Une présence sur site de 2 jours par trimestre est obligatoire, avec des déplacements ponctuels selon les besoins. Le titulaire propose un référent, des modalités de continuité de service et les outils de suivi utilisés.