Un élu CSE peut-il être désigné DPO ?

Le délégué à la protection des données (DPO) est chargé de piloter la conformité au règlement européen sur la protection des données (RGPD) au sein de l’organisme qui l’a désigné. Le DPO est désigné par l’organisme directement sur le site de la CNIL, par l’intermédiaire d’un formulaire en ligne.

Bon à savoir : la nomination d’un DPO s’impose notamment dans les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle. Mais même en dehors des cas de désignation obligatoire, la désignation d’un délégué à la protection des données est encouragée.

Le DPO doit posséder des connaissances spécialisées de la législation et des pratiques en matière de protection des données. 

La CNIL liste aussi d’autres critères pour nommer un DPO : 

• son niveau d'expertise doit être adapté à l'activité de l'organisme pour lequel il est délégué et à la sensibilité des fichiers qui y sont mis en oeuvre ;
• il doit avoir une connaissance du secteur d'activité et de l'organisme pour lequel il est désigné :
• une aptitude à communiquer efficacement et à exercer ses fonctions et missions en toute indépendance ;
• une position efficace au sein de l’organisme pour être en capacité de faire directement rapport au niveau le plus élevé, d’animer un réseau de relais au sein des filiales d’un groupe par exemple et/ou une équipe d’experts ;
• pas de conflit d'intérêts avec ses autres missions (la fonction de délégué pouvant être exercée à temps plein ou à temps partiel).

C’est ce dernier point qui pose le plus problème s’agissant d”un élu CSE..

Un représentant du personnel peut être nommé DPO. La CNIL alerte toutefois sur le risque de conflit d'intérêts. 

En effet, le représentant du personnel est amené, dans le cadre d’un vote, à prendre position sur certains sujets ou projets en lien avec la protection des données à caractère personnel (ex. : nouvelles mesures de contrôle de l’activité des salariés). Dans de telles hypothèses, il peut exister un risque de conflit d’intérêts avec la fonction de DPO.

De façon plus globale, la CNIL a rappelé que le RGPD autorise les organismes à confier d’autres missions à leur DPO à condition que :

• l’exécution de ces missions ne soit pas susceptible de nuire à l’exercice des fonctions de DPO, y compris en le privant du temps nécessaire à l’exécution de ces missions ; 
• le cumul de missions ne le place pas en situation de conflit d’intérêts.

Concernant le conflit d’intérêt, l’appréciation se fait au cas par cas. Il est recommandé aux entreprises de réaliser une analyse des potentiels conflits d’intérêts avant la désignation d’un DPO, ou l’attribution de nouvelles fonctions ou missions.

Bon à savoir : les fonctions d’encadrement supérieur (ex. : directeur général, responsable des ressources humaines) sont généralement également incompatibles avec celles de DPO. De même, le DPO ne doit pas disposer d'un pouvoir décisionnel sur la détermination des finalités et moyens de traitements dans le cadre de ses autres fonctions.

Il est obligatoire de mettre fin à l’éventuel conflit d'intérêt.  3 solutions possibles :

• remplacement du DPO par un nouveau DPO ;
• retrait des missions tierces attribuées au DPO qui le placent en situation de conflit d’intérêts ;
• mise en œuvre d’autres mesures de remédiation.