Depuis le 25 mai 2018, certaines entreprises, qu’elles soient des TPE, des PME, de grands groupes ou encore des entreprises publiques, ont été obligées de recruter un Data Protection Officer. Cela fait suite au règlement général sur la protection des données ou RGPD. D’ailleurs, sachez que le non-respect de cette loi peut occasionner de graves sanctions. Ainsi, voici l’essentiel à savoir sur le métier de Data protection officer.
Un Data Protection Officer, c’est quoi ?
Tout d’abord, sachez le Data protection officier (DPO) peut prendre différents autres noms. En effet, il peut également être qualifié de Délégué à la Protection des Données (DPD), Manager de la Sécurité et des Risques de l’Information (MSRI), Responsable de la Sécurité des Systèmes d’Information (RSSI) ou encore Chief Information Security Officer (CISO) en anglais. Il s’agit plus précisément d’un professionnel qui a pour mission de protéger les données au sein d’une entreprise ou d’une organisation traitant des données sensibles.
Il faut souligner que le Data protection officier remplace l’ancien CIL ou Correspondant Informatique et Liberté. En effet, le fait de nommer une personne responsable de la gestion des données personnelles dans les entreprises n’est pas nouveau. Cependant, la fonction de ce dernier n’était pas obligatoire au sein des entreprises et était d’une existence plutôt marginale.
Ainsi, sachez que le DPO est le pilote de la conformité en termes de protection des données dans un organisme qui réalise des traitements d’envergure de suivi systématique et régulier des personnes et des données sensibles. Autrement dit, à l’ère du numérique, le DPO a pour mission principale de permettre de répondre aux besoins accrus des organismes pour se conformer au RGPD (règlement général sur la protection des données). Ainsi, il permet aux entreprises de répondre aux nouvelles exigences règlementaires en rapport avec l’évolution digitale.
Le DPO doit alors garantir que son employeur ou encore son client soit en conformité à l’égard des données qu’il collecte et utilise à des fins commerciales. À cet effet, il œuvre également en étroite liaison avec d’autres départements et postes de l’entreprise. Cependant, sachez que la mission du DPO va également au-delà de cela, puisqu’il intervient aussi sur l’utilisation des données en interne.
En somme, le Data Protection Officier informe l’entreprise dans laquelle il travaille, ainsi que ses équipes, des nouveaux règlements en vigueur. Il s’assure également du respect de ces règlements, d’évaluer l’impact lié à la protection des données, puis d’en vérifier l’exécution, de soumettre des solutions alternatives et d’avertir la direction si une infraction est constatée. Cela signifie que le DPO établit les dispositifs informatiques liés à la protection des données et des applications, puis organise la sécurité des données.
Cette profession se révèle à double casquette, puisqu’elle combine à la fois une dimension data et juridique.
Concrètement, quelles sont les missions ?
Puisque le DPO a pour mission principale de s’assurer que l’organisme pour lequel il œuvre soit conforme à la règlementation en vigueur en termes de protection des données personnelles, il doit alors :
- Conseiller et persuader les organes dirigeants de l’organisme pour lequel il œuvre ;
- Avertir et conseiller les dirigeants de l’organisme dans lequel il travaille, mais également les employés de ce dernier ;
- Proposer des préconisations et suggérer des solutions alternatives en conformité avec la loi ;
- Assister minutieusement le changement concernant l’usage de la data dans l’entreprise ;
- Organiser la mise en conformité avec la loi au sein de l’organisme, et ce, en collaborant avec les équipes qui s’y trouvent (équipes achat, IT ou encore juridique, etc.) ;
- Vérifier la conformité au règlement et au droit national sur la protection des données personnelles, en particulier du droit des personnes impliquées et des finalités des traitements instaurés ;
- Proposer à l’organisme dans lequel il œuvre de dresser une analyse d’impact liée à la protection des données, puis de veiller à son exécution ;
- Être disponible afin de répondre aux interrogations des personnes impliquées ;
- Maintenir une collaboration avec l’autorité de contrôle locale ;
- Alerter aussitôt la direction en cas d’anomalie ;
- Gérer les risques, ainsi que les incidents de sécurité.
Sinon, il est aussi possible que le DPO soit en charge de tenir le registre des divers traitements de l’organisme. Pour cela, il devra alors collaborer avec les responsables de traitements et les sous-traitants. D’autre part, s’il assiste l’organisme dans lequel il œuvre pour que ce dernier soit en conformité, il doit également s’assurer que cette conformité perdure. Ainsi, le DPO se charge également :
- D’aider l’organisme dans lequel il œuvre pour cartographier ses traitements ;
- De privilégier les actions à entreprendre en termes de protection des données, et ce, selon le contexte et les risques présents ;
- De planifier des processus internes qui visent à maîtriser les traitements de données personnelles, ainsi que les possibles demandes d’exercice de droits et violations de données ;
- De documenter le respect des règlements de l’organisme pour qu’en cas de contrôle, il puisse prouver sa conformité à la règlementation en vigueur.
Quelles qualités sont requises pour devenir Data Protection Officer ?
Voici les différentes qualités requises pour devenir Data Protection Officer :
- Avoir le sens de la communication ;
- Avoir un bon esprit d’analyse ;
- Avoir le sens de l’organisation ;
- Avoir le sens de la rigueur ;
- Avoir un bon esprit d’entreprise ;
- Avoir un bon esprit de synthèse ;
- Être capable d’évaluer et de déchiffrer les résultats ;
- Avoir le sens de l’écoute ;
- Avoir le sens de l’adaptabilité ;
- Avoir le sens de la créativité ;
- Être flexible ;
- Avoir un esprit de leadership ;
- Avoir le sens de la conviction et de l’influence ;
- Savoir orienter le client ;
- Avoir le sens de la gestion de projet ;
- Avoir le sens de la gestion de performance ;
- Maîtriser l’anglais et une autre langue étrangère en complément.
Pour résumer, le Data Protection Officer doit être à l’aise à l’oral comme à l’écrit, disposer des qualités de leader, maitriser la cybersécurité, ainsi que le droit numérique.
Quels diplômes sont nécessaires pour devenir Data Protection Officer ?
Le poste de Data Protection Officer nécessite généralement un niveau bac + 5. Quoiqu’il soit envisageable de suivre un cursus BTS, DUT et Licence Pro, le cursus LMD aboutissant au grade de master s’avère être le plus approprié. Il peut par exemple s’agir d’un master en sécurité des systèmes informatiques, d’un master cryptis sécurité de l’information et cryptologie ou encore d’un master informatique spécialité cryptologie et sécurité informatique. Sinon, les diplômés en ingénierie informatique ayant suivi une formation juridique ont également la possibilité d’occuper ce poste. Sinon, les formations qui permettent d’accéder au poste de DPO sont habituellement dispensées par les universités et écoles d’ingénieurs.
Voici quelques établissements qui proposent des diplômes permettant d’accéder à cette profession :
- L’université de Paris 2 Panthéon-Assas, avec le diplôme de data protection officer ;
- L’ISEP, avec le diplôme de master de management en protection des données à caractère personnel ;
- L’ESIA, avec le diplôme de master sur la sécurité de l’information et des systèmes ;
- L’université de Franche-Comté, avec le diplôme de DPO/CIL ;
- L’institut Léonard de Vinci, avec son MBA spécialité management de la sécurité des données ;
- Sciences po, avec son certificat data protection officer ;
- Cnam, avec son certificat data protection officer.
Dans le cas où l’intéressé n’est pas issu d’une formation spécifique, avec un bac + 3 ou un bac + 5, en fonction de son orientation initiale (informaticien ou juriste, etc.), il pourra également postuler en tant que DPO, et ce, après l’obtention d’un certificat DPO.
De manière générale, le DPO doit être doté d’une solide culture informatique et juridique. Ainsi, il doit maitriser les concepts de base concernant la protection des données, ainsi que ses diverses composantes. Il doit également connaitre la règlementation générale sur la protection des informations personnelles, mais aussi tous les concepts, approches, méthodes et techniques relatives à la protection de ces données. Sinon, de la protection de la vie privée aux nouvelles menaces, en passant par la législation des systèmes, le principe de confidentialité, le cyber droit, le transfert de données, ou encore les incidents de protection, rien ne doit lui échapper.
Quel est le salaire que l’on peut attendre ?
Puisque la demande sur ce poste a été soudaine, cela a engendré un manque de candidats, notamment dans l’administration publique et le privé. De ce fait, un salaire élevé est proposé même pour les profils débutants. Ainsi, sachez qu’un profil junior peut être rémunéré entre 35 000 € et 50 000 € par an. Un profil confirmé quant à lui peut toucher un salaire allant de 50 000 € à 70 000 € par an. D’une manière générale, le salaire d’un DPO en début de carrière peut avoisiner 2 800 € à 3 000 € par mois.
En matière d’évolution de carrière, sachez qu’avec quelques années d’expérience, le Data Protection Officer peut prétendre au poste de Chief Data Officier, ainsi qu’aux nouvelles professions relatives à la Data Science ou encore du Big data.