Chef de projet délégué à la protection des données (H/F)

Missions :
La mission principale d’un DPO est de faire en sorte que l’organisme qui l’a désigné soit en conformité avec le cadre légal relatif aux données personnelles. La fonction de DPO est un élément clé de co-régulation, par la pratique.
Activités :
Cet objectif est atteint au travers des missions suivantes :
a) Informer et sensibiliser, diffuser une culture « Informatique et Libertés »
Le DPO :
- mène ou pilote, de façon maîtrisée, des actions visant à sensibiliser la direction, les collaborateurs - dont le personnel participant aux opérations de traitement - aux règles à respecter en matière de protection des données à caractère personnel ;
- fait en sorte de présenter les efforts de mise en conformité comme productifs et positifs, et non comme seulement des contraintes ;
- s’assure que les personnes concernées sont informées des traitements opérés impliquant leurs données personnelles, ainsi que de leurs droits.

b) Veiller au respect du cadre légal
Le DPO veille en toute indépendance au respect du Règlement européen (RGPD), d’autres dispositions du droit de l’Union ou du droit des États membres et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités. Ses analyses et conseils s’étendent aux sous-traitants et prestataires prenant part aux traitements décidés par le responsable de traitement.
Le DPO porte conseil auprès des directions Métiers concernées et, si besoin, auprès du Responsable de traitement, et émet des avis et recommandations motivés et documentés. Pour mener à bien ses tâches, le DPO se fait communiquer par le Responsable de traitement l’ensemble des informations nécessaires et dispose des moyens adéquats.
Le DPO est, notamment, étroitement associé aux sujets suivants :
- EIVP (Étude d’impacts sur la vie privée) ;
- « Privacy by Design » (prise en compte des impacts sur la vie privée dès la conception) ;
- Notification des violations de données et communication aux personnes concernées.
Il est obligatoirement consulté avant la mise en œuvre d’un nouveau traitement ou la modification substantielle d’un traitement en cours et peut faire toute recommandation au Responsable de traitement.

c) Informer et responsabiliser, alerter si besoin, son responsable de traitement
Le DPO informe sans délai le responsable de traitement de tout risque que les initiatives des opérationnels ou le non-respect de ses recommandations feraient courir à l’organisme et à ses dirigeants. À cette fin, il peut faire toute recommandation au Responsable des traitements et présenter des demandes d’arbitrage (il appartient au responsable de traitement de prendre la responsabilité de mettre en œuvre un traitement malgré les recommandations du DPO). Le DPO veille à formaliser une procédure pour informer directement le Responsable de traitement d’une non-conformité majeure.

d) Analyser, investiguer, auditer, contrôler
Le DPO mène, fait mener ou pilote, de façon maîtrisée et indépendante, toute action permettant de juger du degré de conformité de l’organisme, de mettre en évidence les éventuelles non-conformités (gravité, impacts possibles pour les personnes concernées, origine, responsabilité, etc.), de vérifier le respect du cadre légal ou la bonne application de procédures, méthodes ou consignes relatives à la protection des données personnelles.

e) Établir et maintenir une documentation au titre de « l’Accountability »
Le DPO établit et maintient une documentation relative aux traitements de données à caractère personnel (dont le registre des traitements), au titre de la Responsabilité du Responsable de traitement (« Accountability ») et assure son accessibilité à l’autorité de contrôle.

f) Assurer la médiation avec les personnes concernées
Le DPO reçoit les réclamations des personnes concernées par les traitements pour lesquels il a été désigné et veille au respect du droit des personnes. Il traite ces réclamations et plaintes avec impartialité, ou met en œuvre les procédures propres à assurer leur bon traitement.

g) Présenter un rapport annuel à son responsable de traitement
Le DPO rend compte de son action en présentant chaque année un rapport à son Responsable de traitement. Ce rapport est le reflet fidèle de son action au cours de l’année écoulée et fait état des éventuelles difficultés rencontrées.

h) Interagir avec l’autorité de contrôle
Le DPO est le point de contact privilégié de l’autorité de contrôle, avec laquelle il communique en toute indépendance sur les questions relatives aux traitements mis en œuvre par l’organisme qui l’a désigné, y compris la consultation préalable visée à l’article 36 du RGPD, et mener des consultations, le cas échéant, sur tout autre sujet.

Le DPO peut exécuter d’autres missions et tâches. Dans ce cas, le responsable du traitement veille à ce que ces missions et tâches n’entraînent pas de conflit d’intérêts.

Le positionnement du DPO au sein de l’IGAE est un facteur crucial de son efficacité et de la portée de ses actions.

Le DPO n’endosse pas la responsabilité juridique qui pèse sur le responsable de traitement concernant la conformité.

i) DPO mutualisé pour d’autres structures
Le DPO intervient en tant que DPO mutualisé pour le compte de la Régie SUD Culture. Cette liste pourra être amenée à être complétée au fur et à mesure.

Savoirs :
Connaissances en technologies de l’information
Connaissances spécialisées du droit
Pratiques en matière de protection des données,
Le RGPD met l’accent sur le besoin de formation initiale et continue. Lorsque le Délégué à la protection des données ne dispose pas de l’ensemble des qualifications requises à la date de sa désignation, il doit les acquérir. Le DPO se doit de maintenir ses compétences et connaissances dans ses domaines respectifs et de s’efforcer de les améliorer et de les enrichir constamment par la veille juridique, technologique et sociétale.
La pratique de la langue anglaise est un plus, afin d’être en mesure d’exploiter les nombreux documents et travaux uniquement rédigés dans cette langue.

Savoir faire :
Le DPO doit maîtriser les techniques propres à son métier, concernant notamment l’analyse de conformité d’un traitement de données à caractère personnel, la formulation de conseils et d’exigences, la réalisation ou le pilotage d’audits afin de vérifier la conformité de traitements ou le respect de procédures ou de consignes, la conception et la réalisation d’actions de sensibilisation, la conception et la diffusion de procédures en lien avec la conformité au RGPD (traitement des demandes de droits des personnes, précautions à prendre en matière de contenu de zones de libre commentaire ou de cookies, détermination des durées de conservation, conception des mentions d’information des personnes, etc.), l’accompagnement d’un contrôle sur place de la CNIL, la préparation d’une demande d’avis ou d’autorisation auprès de la CNIL, la réalisation d’une EIVP, la gestion d’une notification de violation de données auprès de la CNIL et la communication aux personnes concernées, la formulation d’un bilan annuel, etc.

Le DPO démontre sa compétence et son professionnalisme dans l’accomplissement de ses missions. Il agit avec prudence et prend des décisions avisées dans toutes les situations de sa fonction.
Le DPO base son jugement sur son expertise et son expérience.

Savoir être :
Le DPO fait preuve d’objectivité, d’indépendance, de probité et de discrétion. Il résiste au stress, aux influences indues et aux préjugés.
Objectivité : Le DPO montre un haut niveau d’objectivité lors de son analyse, de l’évaluation et de toute communication auprès du responsable de traitement en ce qui concerne le niveau de conformité de ce dernier.
Il réalise ses tâches en toute impartialité, c’est-à-dire qu’il reste juste et sans parti pris dans toutes ses actions. Il fait une évaluation équilibrée des informations et documentations reçues et forme ses jugement sans être influencé par ses propres intérêts ou par celui de tiers.
Indépendance : Le Responsable de traitement doit définir et faire connaitre les mesures garantissant l’indépendance du DPO. Il doit imposer au DPO de refuser toute ingérence dans son action et le met dans une situation qui lui permet de fait d’assurer cette indépendance (dont la mise à disposition de moyens).
Ainsi, le DPO peut interagir directement et en toute indépendance avec le niveau le plus élevé de la direction et avec le Responsable du traitement ou son représentant, conformément à l’article 38 du RGPD.
Il n’a, dans son rôle de DPO, aucun compte à rendre à un supérieur hiérarchique. Il dispose d’une liberté organisationnelle et décisionnelle dans le cadre de sa mission.
Il agit de manière indépendante, ne reçoit aucune instruction dans l’exercice de sa fonction et arrête seul les décisions s’y rapportant. Cette liberté ne signifie pas qu’il agit seul et sans concertation.
Il peut prendre contact avec quiconque (y compris la CNIL) dans le cadre de sa fonction.
Résistance au stress, aux influences indues et aux préjugés : Le DPO doit pouvoir résister à toutes les influences que peuvent essayer d’exercer d’autres parties intéressées sur son jugement, ses analyses et conseils. Le principe d’objectivité s’impose à lui afin de ne pas compromettre ses jugements en raison de préjugés, de conflits d’intérêts ou d’autres influences indues.
Probité : Le DPO agit en toute circonstance de façon diligente, loyale, responsable et honnête, en fonction de ses connaissances et de son degré d’expertise, au service du responsable de traitement pour lequel il agit.
Confidentialité et discrétion : Le DPO est tenu au secret professionnel. Sous réserve des cas prévus ou autorisés par la loi, le DPO respecte une stricte confidentialité des informations, procédures, usages, plaintes et litiges dont il a connaissance dans le cadre de son activité.
Le DPO doit également être un « communicant », pour convaincre plutôt que contraindre.

FORMATIONS ET DIPLÔMES :
Formation d’enseignement supérieur et expérience professionnelle avérée,
Formation aux métiers de la sécurité informatique et de la gouvernance des systèmes d’informations

Formations en droit, en gestion du risque, en conformité.