Un délégué à la protection des données, couramment appelé DPO, est une personne désignée chargée de superviser la manière dont une organisation collecte, utilise, stocke et partage les données personnelles. Le rôle a été formalisé dans plusieurs régimes de protection de la vie privée, notamment le Règlement général sur la protection des données de l'Union européenne, qui impose un DPO pour les autorités publiques et pour les organisations dont les activités de base impliquent un suivi régulier et systématique à grande échelle des personnes ou un traitement à grande échelle de catégories particulières de données ou de données relatives à des condamnations pénales. Même lorsqu'il n'est pas légalement obligatoire, de nombreuses organisations nomment un DPO afin de centraliser la responsabilité en matière de protection de la vie privée. Le poste se situe au carrefour du droit, de la sécurité de l'information et des opérations de l'entreprise, et il se définit par son indépendance : un DPO est censé conseiller et contrôler sans recevoir d'instructions sur la manière de parvenir à ses conclusions, et il rend généralement compte au plus haut niveau de la direction.
Au quotidien, le DPO contrôle la conformité aux lois applicables en matière de protection des données et aux politiques internes, sert de point de contact pour les régulateurs et pour les personnes qui exercent leurs droits à la vie privée, et conseille l'organisation sur des obligations telles que la tenue de registres, les délais de notification des violations et les bases légales du traitement. Une responsabilité centrale consiste à examiner et à orienter les analyses d'impact relatives à la protection des données, qui évaluent le risque pour la vie privée des nouveaux systèmes, produits ou relations avec les prestataires avant leur mise en service. Le DPO tient également l'inventaire des activités de traitement, assure le suivi des transferts de données transfrontaliers et contribue à coordonner la réponse lorsqu'une violation de données personnelles survient, en travaillant aux côtés des équipes de sécurité et de réponse aux incidents pour déterminer si une notification aux autorités ou aux personnes concernées est nécessaire.
Le rôle exige un mélange de culture juridique et de compréhension pratique de la façon dont les données circulent dans les systèmes modernes. Un bon DPO lit et interprète la réglementation, mais comprend aussi les bases de données, la journalisation, les contrôles d'accès et les mesures de sécurité qui rendent un engagement en matière de vie privée réel plutôt que théorique. La communication et le discernement sont tout aussi importants, car une grande partie du travail consiste à expliquer les obligations aux ingénieurs, aux spécialistes du marketing et aux dirigeants, à négocier des contrôles applicables et à documenter les décisions pour qu'elles résistent à un examen ultérieur. L'indépendance et l'intégrité sont des exigences structurelles du rôle, car un DPO doit pouvoir soulever des préoccupations en toute franchise, même lorsqu'elles entrent en conflit avec un objectif commercial.
On accède généralement à ce rôle après avoir acquis de l'expérience dans la protection de la vie privée, la conformité, le droit, l'audit ou la sécurité de l'information, plutôt qu'en y débutant directement. Les parcours courants incluent une progression depuis un poste d'analyste de la protection de la vie privée ou de responsable de programme de protection de la vie privée, une transition depuis la pratique du droit avec une spécialisation en protection de la vie privée, ou une évolution à partir d'une fonction de gouvernance, risque et conformité. Les certifications reconnues en gestion de la protection de la vie privée et en droit de la protection de la vie privée sont largement détenues et contribuent à signaler que l'on est prêt. Avec le temps, un DPO peut élargir son champ d'action pour devenir directeur de la protection de la vie privée ou occuper un rôle de direction plus vaste en matière de gouvernance des données, ou se spécialiser en profondeur dans un secteur réglementé tel que la santé, la finance ou l'administration publique.
Le DPO se distingue des rôles voisins même s'ils collaborent étroitement. Un analyste de la protection de la vie privée et un responsable de programme de protection de la vie privée assurent une grande partie du travail opérationnel et de projet que le DPO supervise et dont il dépend, tandis qu'un ingénieur en protection de la vie privée construit les contrôles techniques, tels que la minimisation et l'anonymisation des données, que le DPO vérifie plutôt qu'il ne les met en œuvre. Le conseil juridique en protection de la vie privée assure la représentation juridique et rédige les accords contraignants, alors que le mandat du DPO porte sur le contrôle continu, le conseil et la supervision indépendante. La caractéristique déterminante du DPO est la responsabilité de la posture de protection de la vie privée dans son ensemble, exercée avec un degré d'indépendance que les rôles environnants ne sont pas tenus de maintenir.