Modèle d'auditDiagnostic RGPD

D’après l’article 37 du RPGD, la désignation d’un délégué à la protection des données (DPO) est notamment obligatoire dans le cas où vos activités de base consistent des opérations de traitement à grande échelle impliquant un suivi systématique des personnes concernées, ou des données sensibles au sens des articles 9 et 10.

Vous devez pouvoir prouver que vous avez analyser votre situation et conclu que la désignation d'un DPO n'est pas obligatoire.

Le délégué ne peut occuper des fonctions au sein de l’organisme le conduisant à déterminer les finalités et les moyens d’un traitement (éviter d’être « juge et partie »). L’existence d’un conflit d’intérêts est donc appréciée au cas par cas.

A titre d’exemple, les fonctions suivantes sont susceptibles de donner lieu à un conflit d’intérêts : secrétaire général, directeur général des services, directeur général, directeur opérationnel, directeur financier, médecin-chef, responsable du département marketing, responsable des ressources humaines ou responsable du service informatique, mais également d’autres rôles à un niveau inférieur de la structure organisationnelle si ces fonctions ou rôles supposent la détermination des finalités et des moyens du traitement. 

Les politiques précisent les durées de conservation des données personnelles, la sécurité des données, la suppression des données, la notification en cas de violation des données personnelles, la validation périodique de la pertinence du dispositif en place, etc.