Le secteur du numérique évolue constamment. Avec les nouvelles réglementations entourant la protection de la vie privée a émergé un nouveau métier, celui de délégué à la protection des données, communément appelé DPO pour Data Protection Officer.
Depuis le printemps dernier, les organisations qui recueillent et traitent les données d’au moins une personne issue de l’Union européenne doivent se conformer au Règlement général pour la protection des données personnelles (RGPD).
«À l’heure où toutes les entreprises ont un site internet qui peut être visité partout dans le monde, donc depuis l’Europe, elles sont quelque part concernées par le RGPD. Il y a un impact réel pour les entreprises canadiennes, essentiellement celles qui font affaire ou qui ont des clients en Europe.» –OVH, une société française spécialisée dans le secteur de l’infonuagique et installée au Québec depuis 2012.
Au printemps, on estimait à près de 80 000 le nombre de postes de DPO à créer, notamment au Canada.
En 2017, OVH a donc fait appel au DPO Florent Gastaud pour l’accompagner dans toutes les étapes de cette mise en conformité. «Ce spécialiste intervient idéalement en amont de tous projets pour que ceux-ci respectent dès leur conception les principes de protection des données personnelles», explique le DPO.
L’expert a également la responsabilité de vérifier les pratiques déjà mises en œuvre par son organisation.
Un métier d’avenir
Le métier de DPO a le vent en poupe. Un mois avant l’entrée en vigueur du RGPD, le 25 mai, on estimait à près de 80 000 le nombre de postes à créer, notamment au Canada.
Il n’y a pas de parcours prédéfini pour devenir DPO. Si aucune expérience minimale ou diplôme particulier n’est requis, il doit cependant combiner des compétences juridiques et techniques liées à la compréhension du fonctionnement des systèmes d’information et de la sécurité informatique.
Trois choses à savoir sur le DPO
À quoi sert concrètement la nouvelle réglementation sur les données personnelles?
Le RGPD permet aux citoyens d’avoir un contrôle accru sur leurs données et de contraindre les organisations à respecter un ensemble de règles relatives à la protection des données, sous peine d’amendes pouvant atteindre 4 % de leur chiffre d’affaires.
[Pour les entreprises], il est impératif de démontrer que les données sont utilisées de manière transparente, avec le consentement de leur propriétaire. Celui-ci doit être en mesure de les récupérer quand il le souhaite et les transférer chez un concurrent dans un format lisible standard (principe de «portabilité»).
Quelles mesures doivent prendre les entreprises concernées?
Une des principales mesures est la nomination d’un DPO. Elle n’est pas obligatoire pour toutes les organisations et dépend de la quantité de données personnelles qu’une entreprise traite et, surtout, de ce qu’elle fait avec ces données.
[Les entreprises] devront être en mesure de démontrer que les données sont sécurisées. Cela passe par la mise en place d’un régime de gouvernance et de conformité qui suive et contrôle tout le parcours de la donnée.
Quel est le rôle d’un DPO?
Le DPO est le chef d’orchestre de la bonne conformité des données traitées par son organisation. Il est garant du respect de la vie privée, au service à la fois de son organisation et des citoyens.
Il est aussi l’interlocuteur privilégié auprès des autorités de contrôle pour informer ou gérer d’éventuelles situations de crise et est le point de contact pour toute personne cherchant à faire valoir ses droits en matière de données personnelles.