Préparer et suivre un projet web à distance.

La protection des données et en particulier la protection des données à caractère personnel, est un sujet de la plus haute importance à l'échelle internationale, en raison de la collecte massive de données par les organisations, du droit des parties prenantes concernées au respect de la confidentialité des données et enfin, de l'augmentation considérable du nombre de cyberattaques enregistrée ces dernières années.

Le Délégué à la Protection des Données – Data Protection Officer (DPD/DPO) est donc l’expert et le garant de la protection des données personnelles au sein d’une organisation. Il conseille et accompagne l'organisation qui l'a désigné pour garantir le respect du Règlement Général sur la Protection des Données (RGPD) et autres lois et réglementations en matière de protection des données. Pour cela, il possède une expertise en matière juridique, économique et informatique liée aux traitements de données personnelles et assure la liaison avec l’autorité de contrôle nationale, la Commission Nationale de l’Informatique et des Libertés (CNIL).

-Analyse et audit des politiques de l’organisation, des pratiques de gestion des données

-Évaluation des politiques de gestion des données de l’organisation

-Pilotage du projet de conformité règlementaire liée à la protection de données (accountability RGPD et/ou de conformité RIA)

-Proposition d'un processus de suivi continu lié à l’utilisation de l’IA dans l’entreprise

-Sensibilisation/formation des collaborateurs de l’organisation sur les meilleures pratiques en matière de protection des données

-Participation à la gestion documentaire relative à la protection des données

-Déploiement des plans de réduction des écarts constatés

-Coordination des actions pour contenir les éventuels incidents

-Analyser les spécificités de l'organisation en identifiant les rôles et responsabilités des parties prenantes, les activités, l'écosystème, les besoins afin de déterminer le cadre réglementaire et légal applicable en matière de protection des données (RGPD) et les sources (personnes, services) de traitements de données au sein de l'organisation.

-Analyser le système d'information (SI) existant au sein de la structure dans son intégralité, selon une méthode d’analyse adaptée et en établissant une cartographie, afin d’établir un diagnostic sur le système étudié.

-Effectuer une veille continue sectorielle, technologique, légale et réglementaire sur la protection des données en s’appuyant sur un processus organisé et en mobilisant des outils de veille et des sources d’informations fiables et diversifiées afin de pouvoir mesurer la conformité des processus de traitement des données de l’organisation et réaliser un audit de conformité.

-Réaliser un audit des mesures de sécurité des données existantes en réalisant des enquêtes et interviews et en analysant la base documentaire disponible afin de mettre en évidence les dysfonctionnement éventuels ou anomalies du SI existant.

-Rédiger un rapport d’audit de conformité comprenant les objectifs de l’audit, le périmètre, la méthodologie, les résultats et les constats effectués afin d’identifier des écarts mineurs ou majeurs en vue d’apporter des corrections et d’assurer une mise en conformité.

-Rédiger un rapport d’évaluation des risques en les classifiant en fonction de leur degré gravité et de leur impact, en décrivant les scénarios potentiels en cas d’incident de sécurité et en proposant des mesures pour réduire ou éliminer ces risques afin de détailler les risques identifiés lors de l’audit et permettre de déterminer les impacts des non-conformités relevés.

-Réaliser la matrice de conformité en listant les exigences légales et réglementaires, en évaluant le niveau de conformité et en indiquant les écarts identifiés afin de cartographier la conformité de l’organisation par rapport aux exigences réglementaires.

-Réaliser un rapport de tests techniques en résumant les tests mis en œuvre en collaboration avec le Responsable de la Sécurité du Système d’Information (RSSI) (tests d’intrusions, test de vulnérabilité, audit des systèmes de sécurité) et le résultat des tests afin de permettre d’établir des recommandations techniques et de définir le calendrier de remédiation associé.

-Proposer un plan d’actions correctives en décrivant les actions à entreprendre, les responsables des actions, le calendrier de mise en œuvre et les indicateurs de succès afin de définir les mesures à mettre en œuvre pour remédier aux non-conformités.

-Piloter le projet de mise en conformité règlementaire (accountability, RGPD et conformité RIA) en ayant au préalable constitué une équipe projet adaptée, et ce en tenant compte des spécificités de son équipe, notamment des personnes en situation de handicap, afin de s’assurer de la bonne mise en œuvre du projet et du respect du cadre organisationnel.

-Allotir le projet en déterminant les actions spécifiques en décomposant le projet en grandes séquences et en tenant compte des contraintes de délais, de coûts et de moyens afin de pouvoir ordonner les activités, les prioriser et formaliser une feuille de route (roadmap) ou un planning objectivé.

-Cartographier les traitements et les flux de données en indiquant leur origine et la destination des données, en établissant le registre obligatoire de traitement des données, afin d’identifier les données traitées et les bases légales et réglementaires.

-Repérer les risques liés aux traitements et au transfert de données (UE et Hors UE) en s’appuyant sur le registre de traitements des données et en supervisant ou réalisant les analyses d'impact sur la protection des données (AIPD) afin de garantir la conformité au RGPD et faciliter la prise de décisions éclairées sur la mise en œuvre ou la modification de certains traitements.

-Cartographier les systèmes d’IA en établissant une liste exhaustive de tous les systèmes d’IA internes et externes utilisés dans l’organisation (registre IA) afin d’identifier la réglementation applicable et la vigilance à prévoir dans le cadre du traitement des données.

-Classifier les systèmes d’IA par niveau de risque sur la base des critères définis par la RIA, en identifiant les systèmes d’IA nécessitant une attention particulière pour garantir la sécurité des données personnelles utilisées et le cas échéant, en extraire des bonnes pratiques à transmettre aux équipes.

-Établir la liste des actions prioritaires selon les risques et niveaux de risques associés en s’appuyant sur le registre des systèmes d’IA afin de rendre ses traitements conformes au RIA.

-Établir les enjeux techniques, juridiques, financiers et éthiques de l’organisation en faisant le lien avec les différents services, afin d’assurer la cohérence des propositions d’actions avec la stratégie de l’organisation en matière de protection des données.

-Concevoir une campagne de sensibilisation des équipes en réalisant des présentations accessibles, notamment aux personnes en situation de handicap, visuelles et synthétiques afin d’informer l’ensemble des collaborateurs et de partager les principes d’équité, de transparence, de protection des droits notamment dans les systèmes d’IA et d’initier une réflexion globale sur la protection des données à caractère personnel dans la structure.

-Animer une action de formation auprès des publics cibles en s’appuyant sur des contenus thématiques adaptés, notamment aux personnes en situation de handicap, afin de les guider dans l’appropriation des procédures et bonnes pratiques en matière de RGPD et de protection des données.

-Réaliser des actions de communication internes en élaborant des documents à destination des équipes pour que l’ensemble de collaborateurs l’identifient, comprennent son rôle dans l’organisation et puissent faire appel à lui et pour impliquer les collaborateurs dans la réussite des futurs plans d’actions.

-Participer à la création et à la révision des politiques de confidentialité et des procédures de gestion des données en collaborant avec la direction générale, le responsable de la sécurité des systèmes d’information, le responsable juridique et les responsables métiers afin de garantir l’efficacité et la régularité des mesures prises par l’organisation.

-Gérer le système documentaire de la gestion des données personnelles en collaborant avec le responsable qualité et en utilisant les outils de stockages adaptés (cloud, outils de GED…) afin de disposer des documents et des preuves nécessaires aux audits externes relatifs à la protection des données.

-Rédiger une procédure interne en prévision du contrôle de la CNIL en listant les modalités d'accueil, les personnes à prévenir et les informations à obtenir et en la diffusant aux parties prenantes afin de s’assurer que l’organisation est prête à accueillir un audit externe de l’institution.

-Déployer les mesures de sécurité applicatives et système en proposant des solutions techniques innovantes pour le système d'information en collaboration avec le responsable de la sécurité du SI (RSSI) de l’organisation afin de traiter chaque risque de façon spécifique et ainsi garantir la conformité règlementaire

-Réaliser des tests réguliers de robustesse et d’équité en évaluant les systèmes d’IA utilisés dans l’organisation, en collaboration avec les équipes de développement, afin d’identifier et corriger les biais potentiels et de s’assurer que les modèles d’IA sont équitables et non discriminatoires.

-Gérer les signalements, les demandes d'accès, de rectification, d'effacement ou de portabilité des données personnelles conformément au RGPD, en proposant un formulaire dédié et en mobilisant des canaux de communication adaptés, notamment aux personnes en situation de handicap, afin de s’assurer que les réponses aux demandes sont fournies dans le respect des contraintes réglementaires.

-Déployer un registre de traitement de données personnelles, en collaborant avec les services de l’organisation qui traitent des données personnelles, afin de recenser de façon précise et documenter les différents traitements de données personnelles de l’organisation et de le transmettre, le cas échéant, à la CNIL.

-Déterminer la nature des incidents et l’étendue des violations en recueillant les signalements internes et/ou externes, en identifiant les données concernées et en réalisant des enquêtes préliminaires auprès des équipes techniques afin de documenter l’incident (recueillir des preuves) et d’adapter les actions correctives à mettre en place.

-Évaluer les dommages causés par les incidents en identifiant les données compromises, la durée d’exposition, le type de données, le volume de données afin de déterminer l’impact pour lesparties prenantes concernées (fraude, usurpation d’identité, atteinte à la vie privée …) et pour l’organisation.

-Évaluer les conséquences juridiques, financières et réputationnelles des incidents en se référant au cadre réglementaire et légal et en collaboration avec la direction juridique et financière de l’organisation afin d’estimer les risques de sanctions pour l’organisation et de réaliser le cas échéant une communication appropriée avec la direction de la communication de l’organisation.

-Déployer les mesures correctives de sécurité, applicatives et système, en collaboration avec le responsable de la sécurité du SI (RSSI) (isoler les systèmes compromis, suspendre les accès, restaurer des sauvegardes …) afin de contenir les incidents et en tirer parti en termes d’usages à venir.

Les prérequis à l'entrée en formation sont les suivants :

-Être titulaire au minimum d’un diplôme d’Etat de niveau 6 ou d'une certification professionnelle de niveau 6 de l’enseignement technique ou Universitaire dans les domaines visés – ou avoir validé au moins trois années de formation post baccalauréat dans le cadre de diplômes ou titres reconnus par l’Etat ou d’un diplôme étranger admis en équivalence.

-Ou être titulaire d’un diplôme ou titre de niveau inférieur et avoir occupé des fonctions dans les métiers de l’informatique pendant au moins 1 an.

Dans le cas où un candidat/une candidate ne disposerait pas des prérequis définis, il/elle a la possibilité de déposer un dossier de candidature qui sera examiné par une commission réunissant la direction pédagogique de AFINUM-WIS et le/la responsable en charge du recrutement des candidats en vue d’une admission « exceptionnelle ». Le dossier de candidature fera l’objet d’une VAPP (Validation des Acquis Professionnels et Personnels).

Tous les secteurs d’activités sont concernés par l’ultra-connexion et le besoin des entreprises et organisations de connaître son client/interlocuteur dans le but de répondre le plus précisément et efficacement possible.

La connaissance de son client/interlocuteur est donc primordiale aujourd’hui pour une entreprise et organisation, dans tous les secteurs d’activité, et cette connaissance passe par l’utilisation de la donnée à caractère personnel. Il est donc essentiel pour toutes les entreprises et organisations de faire appel à un/une DPO afin de s’assurer que l’éthique et les règles imposées par le RGPD soient bien respectées.

Même si toutes les organisations peuvent être finalement concernées, le RGPD prévoit dans son article 37, trois cas spécifiques où il est obligatoire de faire appel à un/une DPO :

1. Lorsque le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle ;

2. Lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ;

3. Lorsque les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10.

Le Délégué à la Protection des Données – Data Protection Officer (DPD/DPO), peut exercer ses fonctions comme DPO interne, interne mutualisé, ou externe et travaille au sein de tout type d’organisation.

Selon les organisations et le contexte d'exercice, il existe différents types d’emplois accessibles :

* Data Protection Officer (DPO) ;

* Délégué(e) à la Protection des Données (DPD) ;

* Data Protection Manager/Specialist ;

* Consultant(e) RGPD ;

* Chargé(e)de mission Données Personnelles/Protection des Données ;

* Chargé(e) de conformité RGPD ;

* Chargé(e) d’études juridiques Data Protection Officer (DPO) ;

* Consultant(e) Données à Caractère Personnel ;

* Consultant RGPD ;

* Juriste RGPD ;

* Spécialiste Protection des données personnelles.

A ce jour, la profession de Délégué à la Protection des Données – Data Protection Officer (DPO/DPD) n’est pas réglementée. En revanche, la désignation, les fonctions et missions du Délégué à la Protection des Données (DPO) sont définies avec précision dans le chapitre IV, section 4 (articles 37 à 39 du RGPD), la loi Informatique et Libertés et son décret d’application, ainsi que les lignes directrices du Comité Européen De la Protection des Données (CEPD).

Dans l’exercice de ses fonctions et pour la bonne réalisation de ses missions, le DPO devra s'appuyer sur un cadre réglementaire précis :

* Le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il constitue le texte de référence en matière de protection des données personnelles. Ses dispositions sont directement applicables dans l'ensemble des États membres à compter du 25 mai 2018 ;

* Le Règlement Général sur la Protection des Données (RGPD) et la législation associée (directive sur les services de paiement, Data Act, Cyber Act...) ;

* La loi « Informatique et Libertés » du 6 janvier 1978 et la loi du 20 juin 2018 relative à la protection des données personnelles ;

* Délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO) ;

* La directive européenne « Vie privée et Communications Electroniques » (2002/58/CE) ;

* Les régimes de la rétention des données personnelles en Europe ;

* L’IA Act ou RIA.

Depuis mars 2024, le Registre des activités de traitement est un document fondamental dans le cadre du RGPD directement lié aux missions du délégué à la protection des données (DPO)

Il existe une certification des compétences du délégué à la protection des données (DPO) opérée par la CNIL. C’est un processus volontaire et non une exigence légale pour exercer en tant que DPO, elle constitue un gage de compétence et de professionnalisme reconnu par la CNIL.