Réponse:
En premier lieu, la désignation d’un délégué est obligatoire pour :
Les autorités ou les organismes publics,
Les organismes dont les activités de base les amènent à réaliser un suivi régulier et systématique des personnes à grande échelle,
Les organismes dont les activités de base les amènent à traiter à grande échelle des données dites « sensibles » ou relatives à des condamnations pénales et infractions
En dehors de ces cas obligatoires, la désignation d’un délégué à la protection des données est encouragée par la CNIL. Le DPO, qui peut être un employé interne tout comme un prestataire externe, doit prendre les mesures nécessaires à la mise en conformité de l’organisme qui l’a désigné. Ces mesures doivent être prises dès la conception du produit ou service.
Les locaux et systèmes d’information recueillant des données personnelles doivent ainsi être sécurisés afin d’éviter que les fichiers concernés soient piratés, endommagés ou bien qu’une tierce personne non autorisée y ait accès.
Dès le début du traitement, le DPO doit s’assurer du respect du principe dit de “minimisation”, c’est-à-dire de veiller à limiter la quantité de données personnelles collectées ou traitées. En effet, le respect de ce principe doit être démontré à tout moment. L’accès aux données personnelles doit être strictement réservé aux personnes concernées ou bien aux tiers qui détiennent l’autorisation d’y accéder (administration fiscale par exemple).
Le DPO doit s’assurer également que l’organisme qui l’a désigné a déterminé une durée raisonnable de conservation de ces informations personnelles et en assurer l’accès immédiat aux personnes concernées, qui ont le droit de les consulter, les modifier, en demander la portabilité, mais également la suppression définitive.
