Les plateformes de gestion documentaire utilisées pour l’homologation des entreprises sous-traitantes traitent de nombreuses données personnelles : identité des intervenants, fiches d’aptitude médicale, certificats de formation et registres d’accès. La protection des données ne peut donc pas être un sujet secondaire. Dans ce contexte, le rôle du DPO, ou délégué à la protection des données, est essentiel.
Il convient toutefois de préciser la terminologie. Dans la version française du RGPD, cette fonction s’appelle délégué à la protection des données (DPD), plus connue sous le sigle anglais DPO. Il ne faut pas la confondre avec le responsable du traitement, qui est l’organisation elle-même. Dans cet article, nous expliquons quand la désignation d’un délégué est obligatoire, quelles sont ses missions et comment il intervient dans l’utilisation des plateformes de gestion documentaire.
Les cas où la désignation d’un délégué est obligatoire
L’article 37 du RGPD rend la désignation obligatoire dans trois situations :
- lorsque le traitement est effectué par une autorité ou un organisme public ;
- lorsque les activités de base consistent en opérations qui exigent un suivi régulier et systématique à grande échelle des personnes concernées ;
- lorsque les activités de base consistent en un traitement à grande échelle de catégories particulières de données, comme les données de santé.
Ainsi, toutes les entreprises qui utilisent une plateforme d’homologation ne sont pas tenues de désigner un délégué. Cependant, beaucoup choisissent de le faire volontairement ou de désigner un référent interne, surtout lorsqu’elles traitent de grands volumes de données d’intervenants externes. Au Portugal, la loi n° 58/2019 complète ces règles.
Les missions du délégué à la protection des données
L’article 39 du RGPD définit les missions du délégué. En résumé, il doit :
- informer et conseiller l’organisation et les salariés sur leurs obligations ;
- contrôler le respect du RGPD et des politiques internes ;
- dispenser des conseils sur les analyses d’impact et en vérifier l’exécution ;
- coopérer avec l’autorité de contrôle (la CNPD au Portugal) et être son point de contact ;
- être le point de contact des personnes concernées pour les questions relatives à leurs données.
Il est important de souligner que le délégué conseille et contrôle, mais qu’il n’est pas personnellement responsable de la conformité. Cette responsabilité incombe à l’organisation, en tant que responsable du traitement. En outre, le délégué doit agir en toute indépendance, ne peut recevoir aucune instruction sur l’exercice de ses missions et doit disposer des ressources nécessaires.
Le rôle du DPO dans les plateformes d’homologation
Lors du choix de la plateforme
Le délégué doit être associé dès le départ. Par exemple, il peut évaluer la localisation des données, les sous-traitants du fournisseur, les mesures de sécurité et le contrat prévu à l’article 28. Ainsi, l’organisation évite de choisir une solution qui exigerait ensuite des modifications difficiles.
Lors de la définition des documents demandés
L’une de ses contributions les plus précieuses est l’application du principe de minimisation. Le délégué aide à définir les documents réellement nécessaires et leur fondement. Par exemple, les fiches d’aptitude doivent seulement indiquer si l’intervenant est apte, sans diagnostic. De même, les copies de pièces d’identité ne doivent être demandées que lorsqu’elles sont indispensables.
Lors de la définition des bases légales
Dans l’homologation, le traitement repose généralement sur le respect d’obligations légales, comme celles relatives à la santé et à la sécurité au travail. Il peut aussi reposer sur l’intérêt légitime de l’entreprise à garantir la sécurité de ses installations. Le consentement est rarement la base adaptée, car l’intervenant ne dispose pas d’une réelle liberté de choix. Par conséquent, le délégué doit aider à documenter la bonne base légale pour chaque finalité.
Droits des personnes concernées et incidents
Le délégué suit les demandes d’accès, de rectification ou d’effacement, en garantissant une réponse dans le délai d’un mois. De même, il participe à l’évaluation des violations de données et à la décision de notifier l’autorité de contrôle dans un délai de 72 heures.
La relation avec le fournisseur de la plateforme
Lorsqu’une entreprise externe fournit la plateforme, au moins deux organisations interviennent dans le traitement. En règle générale, l’entreprise donneuse d’ordre est responsable du traitement et le fournisseur agit comme sous-traitant. Dans ce cadre, le délégué doit vérifier que le contrat définit clairement les instructions de traitement, les mesures de sécurité, la confidentialité, la liste des autres sous-traitants et le sort des données à la fin du service.
En outre, il est utile que le délégué connaisse le contact de son homologue chez le fournisseur, s’il existe. De cette façon, en cas d’incident ou de demande d’une personne concernée, la coopération est rapide et les délais légaux sont respectés. De même, la revue périodique du fournisseur, par exemple au moyen de questionnaires ou de rapports d’audit, doit figurer dans le plan de travail du délégué.
L’information des intervenants des prestataires
Les intervenants des entreprises sous-traitantes sont aussi des personnes concernées et ont le droit d’être informés. Cependant, ils n’ont souvent aucune relation directe avec l’entreprise donneuse d’ordre. C’est pourquoi le délégué doit aider à définir comment l’information leur parvient. Par exemple, une notice d’information peut être disponible sur la plateforme et remise par le prestataire lors de la collecte des documents. Cette notice doit indiquer qui traite les données, pour quelles finalités, pendant combien de temps et comment exercer ses droits. Ainsi, l’entreprise respecte son obligation de transparence et réduit les doutes et les réclamations.
Exemple pratique : Revue des documents demandés
Prenons l’exemple d’une entreprise qui, lors du déploiement d’une plateforme d’homologation, demandait aux prestataires une copie de la carte d’identité, le dossier médical et l’extrait de casier judiciaire de tous les intervenants. Le délégué analyse le processus et conclut que la plupart de ces documents ne sont pas nécessaires à la finalité poursuivie.
À la suite de cette analyse, l’entreprise ne demande plus que l’identification essentielle, la fiche d’aptitude et la formation exigée pour chaque tâche. Ensuite, elle définit des durées de conservation et limite l’accès aux valideurs. Résultat : elle réduit le risque, simplifie le travail des prestataires et respecte le principe de minimisation.
Formation et culture de la protection des données
Le délégué ne peut pas garantir seul la protection des données. En effet, ceux qui valident les documents, configurent la plateforme ou répondent aux prestataires prennent chaque jour des décisions qui touchent la vie privée. L’une des missions les plus importantes du délégué est donc de sensibiliser les équipes. Il peut le faire, par exemple, au moyen de courtes formations sur ce qui peut ou non être demandé, sur la réponse à une demande d’accès et sur la conduite à tenir face à un incident présumé. De plus, des guides pratiques et des FAQ aident à rendre les règles compréhensibles par tous.
Liste de contrôle de la protection des données dans l’homologation
- Analyse de l’obligation de désigner un délégué.
- Registre des activités de traitement à jour.
- Base légale définie pour chaque finalité.
- Liste des documents limitée au nécessaire.
- Durées de conservation configurées dans la plateforme.
- Contrat avec le fournisseur conforme à l’article 28.
- Information des intervenants des prestataires.
- Procédure pour les demandes des personnes concernées et les incidents.
Erreurs fréquentes à éviter
Une erreur fréquente consiste à attribuer au délégué la responsabilité de la conformité, comme si l’organisation en était dispensée. Une autre erreur est de confier cette fonction à une personne en conflit d’intérêts, comme le directeur des systèmes d’information qui décide lui-même des traitements. Par ailleurs, de nombreuses entreprises utilisent le consentement comme base légale par défaut, ce qui fragilise la licéité du traitement.
Questions fréquentes
Le délégué peut-il être externe ?
Oui. Le RGPD permet que le délégué soit un salarié de l’organisation ou un prestataire de services externe, à condition qu’il dispose des connaissances et de l’indépendance nécessaires.
Faut-il communiquer la désignation à l’autorité de contrôle ?
Oui. L’organisation doit communiquer les coordonnées du délégué à l’autorité de contrôle et les publier, par exemple dans sa politique de confidentialité.
L’organisation peut-elle tenir le délégué responsable de ses manquements ?
En règle générale, non. Le RGPD protège le délégué contre toute sanction liée à l’exercice de ses missions. La responsabilité de la conformité incombe à l’organisation, en tant que responsable du traitement.
Quelle formation le délégué doit-il avoir ?
Le RGPD exige des connaissances spécialisées du droit et des pratiques en matière de protection des données. En général, il convient de combiner des compétences juridiques, en sécurité de l’information et sur les processus de l’organisation.
Conclusion
Le délégué à la protection des données, ou DPO, joue un rôle décisif dans l’utilisation des plateformes de gestion documentaire pour l’homologation des sous-traitants. Il conseille lors du choix de la plateforme et aide à définir les documents et les bases légales. Il suit également les droits des personnes concernées et participe à la réponse aux incidents.
Toutefois, la responsabilité de la conformité reste celle de l’organisation. C’est pourquoi les entreprises doivent garantir au délégué indépendance, ressources et implication dès le début des projets. De cette façon, l’homologation devient plus sûre, plus simple et plus respectueuse des droits des intervenants.
À lire aussi : Adapter les plateformes de gestion documentaire aux exigences du RGPD et L’importance du RGPD dans le développement des plateformes de gestion documentaire.
Pour en savoir plus sur les missions du délégué à la protection des données, consultez la Commission nationale de protection des données du Portugal (CNPD).