Un DPO est-il la même chose qu'un Privacy Officer ?

De nombreuses organisations nomment une personne « Privacy Officer », mettent à jour leur organigramme, et considèrent leur conformité RGPD comme acquise, avant de découvrir lors d'un contrôle de la CNIL que le poste créé ne correspondait jamais à la définition juridique réellement exigée par le règlement.

Un Délégué à la Protection des Données (DPO) est un rôle formellement défini par les articles 37 à 39 du RGPD. Un Privacy Officer est un intitulé de poste interne, sans définition juridique fixe ni protection statutaire garantie.

C'est ce qui distingue une conformité réglementaire réelle d'un intitulé qui sonne simplement bien. C'est pourquoi deux entreprises avec des organigrammes quasi identiques peuvent présenter des niveaux d'exposition juridique totalement différents. C'est ce qui détermine si la personne en charge de la protection des données rend compte de manière indépendante à la direction générale, ou discrètement à celui qui gère le budget informatique. C'est pourquoi la CNIL et le Comité européen de la protection des données (CEPD) considèrent ces deux rôles comme fondamentalement distincts lorsqu'ils évaluent la responsabilité de l'organisation.

Cette distinction est au cœur de notre aperçu complet de la formation DPO, qui détaille les qualifications, les obligations statutaires et le parcours professionnel liés au mandat officiel de DPO.

Dans cet article, vous découvrirez en quoi le rôle du DPO diffère de celui d'un Privacy Officer sur le plan du statut juridique, du périmètre de responsabilité, de l'indépendance, de l'expertise requise et de la ligne hiérarchique, ainsi que la manière de déterminer lequel des deux votre organisation est réellement tenue de désigner.

En vertu de l'article 83 du RGPD, les sanctions liées aux manquements relatifs au DPO peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé, et cette exposition commence dès que votre organisation atteint le seuil légal de désignation obligatoire, et non le jour où quelqu'un remarque l'écart. Devenez DPO certifié avant que cet écart ne devienne l'objet d'une enquête réglementaire.

Que signifie réellement « Privacy Officer » ?

« Privacy Officer » ne bénéficie d'aucune définition juridique dans le texte du RGPD. Cet intitulé a été largement importé des structures d'entreprise américaines, où un Chief Privacy Officer siège aux côtés d'autres fonctions exécutives sans obligations statutaires particulières. Lorsque les entreprises européennes ont adopté ce même intitulé, elles en ont hérité sans le poids juridique qui l'accompagne aux États-Unis.

En pratique, le périmètre d'un Privacy Officer est fixé entièrement par l'employeur. Il peut couvrir la rédaction de politiques, l'évaluation des fournisseurs, ou la communication relative à la confidentialité auprès des clients, et peut relever du service juridique, de la sécurité informatique, du marketing ou des ressources humaines selon qui a créé le poste. Rien dans cette fonction ne garantit une indépendance vis-à-vis des instructions de la direction, une protection contre un licenciement en cas de signalement de constats gênants, ou un lien direct avec l'autorité de contrôle. Le périmètre peut être large ou restreint, et peut évoluer à la discrétion de la personne à qui l'officier rend compte.

Qu'est-ce qu'un Délégué à la Protection des Données selon le RGPD ?

Le rôle du DPO est défini par les articles 37 à 39 du RGPD, qui précisent quand le poste doit être désigné, comment il doit être positionné, et quelles tâches il doit accomplir. Un DPO informe et conseille l'organisation et ses employés sur les obligations en matière de protection des données, contrôle la conformité au règlement et aux politiques internes, conseille sur les analyses d'impact relatives à la protection des données, coopère avec l'autorité de contrôle, et agit comme point de contact direct pour le régulateur comme pour les personnes dont les données sont traitées.

Trois garanties juridiques distinguent ce rôle de tout intitulé inventé en interne. Le DPO doit être associé, de manière appropriée et en temps utile, à toutes les questions relatives à la protection des données personnelles. Le DPO doit agir de manière indépendante, sans recevoir d'instructions sur la façon d'exercer ses missions et sans être pénalisé pour les avoir exercées correctement. Le DPO doit également rendre compte au niveau le plus élevé de la direction, et non à un responsable de service ayant un intérêt opérationnel dans le traitement examiné. Les lignes directrices du Comité européen de la protection des données sur les DPO renforcent ces points en précisant les responsabilités de conseil, de contrôle et de point de contact du DPO.

DPO vs Privacy Officer : les différences essentielles en un coup d'œil

Le tableau ci-dessous présente les points sur lesquels ces deux rôles divergent réellement, au-delà de l'intitulé figurant sur une carte de visite.

Quand le RGPD exige-t-il la désignation obligatoire d'un DPO ?

L'article 37(1) du RGPD fixe trois conditions, et le fait d'en remplir une seule rend la désignation obligatoire, quel que soit l'intitulé interne utilisé. La première s'applique lorsque le traitement est effectué par une autorité ou un organisme public, les juridictions étant exclues lorsqu'elles agissent dans l'exercice de leur fonction juridictionnelle. La deuxième s'applique lorsque les activités principales de l'organisation exigent un suivi régulier et systématique des personnes à grande échelle, ce qui couvre le profilage, le traçage et les opérations de publicité comportementale. La troisième s'applique lorsque les activités principales impliquent le traitement à grande échelle de données sensibles, telles que des données de santé ou biométriques, ou des données relatives à des condamnations pénales.

Les lignes directrices de la Commission européenne sur les exigences relatives au DPO confirment que le traitement à grande échelle de données sensibles et le suivi régulier à grande échelle constituent les principaux critères de désignation. Le Guide pratique du DPO de la CNIL explique également quand la désignation est obligatoire et comment les organisations doivent aborder ce rôle en France.

Même en dehors de ces critères, la désignation volontaire est courante et souvent considérée comme une bonne pratique de gouvernance. Les lignes directrices de la CNIL font état de dizaines de milliers de DPO exerçant au sein d'organisations en France, y compris dans le cadre de dispositifs de DPO mutualisés. Un intitulé de Privacy Officer ne porte aucune de ces attentes réglementaires, ce qui explique pourquoi s'appuyer sur ce rôle alors qu'un critère légal s'applique peut laisser subsister un écart de conformité qu'un contrôle est susceptible de révéler.

Lignes hiérarchiques et indépendance : la véritable ligne de démarcation

L'indépendance constitue la distinction juridique la plus nette entre les deux rôles, et c'est aussi celle que les entreprises interprètent le plus souvent mal. Les lignes directrices de la CNIL précisent explicitement qu'un DPO ne peut occuper un poste qui détermine les finalités et les moyens du traitement, car cela créerait un conflit d'intérêts direct. Un responsable informatique, un directeur marketing ou un responsable RH qui porte également le titre de DPO se trouve, dans la plupart des cas, structurellement dans l'incapacité de satisfaire à l'exigence d'indépendance, même si son contrat emploie la formulation correcte.

Le coût d'une telle erreur n'est pas théorique. Le Conseil d'État français a confirmé une amende de 40 millions d'euros infligée par la CNIL à la société adtech Criteo pour de multiples manquements au RGPD, confirmant à la fois la compétence du régulateur et l'ampleur de l'exposition qu'une défaillance de gouvernance peut créer. Ce montant rappelle utilement que les régulateurs calibrent les sanctions en fonction du manquement sous-jacent et de son impact, et non en fonction de l'intitulé figurant sur l'organigramme au moment des faits.

Un Privacy Officer, à l'inverse, opère généralement sous l'autorité directe de la direction, et ce par conception. Ce n'est pas un défaut, dans la mesure où ce rôle n'a jamais eu vocation à porter une indépendance statutaire. Le problème survient uniquement lorsqu'une entreprise suppose que cet intitulé peut se substituer à un DPO légalement indépendant.

Pourquoi les entreprises confondent-elles encore ces deux rôles 

Trois schémas expliquent l'essentiel de cette confusion. Les entreprises multinationales importent fréquemment l'intitulé de Chief Privacy Officer depuis leurs opérations américaines, sans adapter le rôle aux exigences statutaires du RGPD lorsqu'il est transposé à une entité européenne. Les équipes marketing et communication préfèrent parfois « Privacy Officer », un intitulé perçu comme plus accessible pour les clients que le terme plus clinique de « Délégué à la Protection des Données ». Enfin, les petites et moyennes entreprises, sous contrainte budgétaire, supposent parfois que tout recrutement portant un intitulé lié à la confidentialité satisfait automatiquement leur obligation au titre de l'article 37, sans vérifier si un critère légal s'applique réellement, ni si la personne remplit les exigences d'indépendance et d'expertise le cas échéant.

Aucun de ces schémas ne relève de la malhonnêteté. Ce sont simplement des décisions prises sans avoir vérifié au préalable la définition juridique, ce qui constitue précisément l'écart qu'un audit de conformité approprié est conçu pour combler.

De quel rôle votre organisation a-t-elle réellement besoin ?

Commencez par les critères de l'article 37(1), plutôt que par l'intitulé que vous préféreriez utiliser. Si votre organisation est une autorité publique, exerce un suivi régulier à grande échelle, ou traite des données sensibles à grande échelle, un DPO statutaire n'est pas facultatif, et aucun Privacy Officer, aussi compétent soit-il, ne peut satisfaire cette obligation, ni sur le papier ni en pratique.

Si aucun de ces critères ne s'applique, un Privacy Officer peut constituer un choix raisonnable et proportionné, à condition que l'organisation reconnaisse honnêtement le périmètre plus restreint que porte cet intitulé. De nombreuses entreprises dans cette situation choisissent malgré tout de désigner un DPO volontairement, car la structure d'indépendance et de reporting garantie par ce rôle tend à produire une gouvernance des données plus solide, même en l'absence d'obligation légale. Lorsque le choix n'est pas évident, une évaluation documentée de vos activités de traitement au regard des critères de l'article 37 reste le seul moyen fiable de trancher, et développer une véritable expertise interne au travers d'un programme reconnu demeure, sur le long terme, un choix plus résilient que celui d'ajuster un intitulé de poste après coup.

Étapes pratiques pour formaliser votre gouvernance de la protection des données

Commencez par cartographier vos activités de traitement au regard des trois critères de l'article 37(1) et documentez le résultat, car ce document constitue en lui-même une preuve de diligence en cas de contrôle. Lorsqu'un DPO est requis, confirmez la désignation par écrit, avec des conditions d'indépendance et de reporting clairement énoncées plutôt que supposées. Enregistrez les coordonnées du DPO auprès de la CNIL, cette formalité constituant une obligation permanente une fois la désignation effectuée. Enfin, réexaminez cette évaluation dès que vos activités de traitement évoluent de manière significative, car une entreprise qui répondait à un profil de Privacy Officer l'année dernière peut franchir un seuil de l'article 37 cette année sans que personne ne le remarque, jusqu'à ce qu'un contrôle soulève la question.

Conclusion

L'intitulé figurant sur une carte de visite n'a jamais déterminé la conformité au RGPD. Ce qui la détermine, c'est de savoir si la personne occupant le poste dispose réellement de l'indépendance juridique, de la ligne hiérarchique et de l'expertise exigées par le règlement, ou simplement d'une fiche de poste qui y ressemble suffisamment.

Régler cette distinction en amont coûte bien moins cher que de la corriger sous le contrôle d'un régulateur. Si vous vous interrogez encore sur la nécessité de désigner un DPO formel ou si un Privacy Officer suffit à couvrir vos obligations, commencez par une formation DPO structurée afin de comprendre les critères légaux, les lignes hiérarchiques et les responsabilités, avant qu'une désignation erronée ne devienne un sujet de contrôle.