Deux fonctions, deux objets

DPO et RSSI : deux fonctions, deux objets distincts

Le délégué à la protection des données et le responsable de la sécurité des systèmes d'information travaillent sur les mêmes systèmes et se rencontrent sur les mêmes incidents. Ils ne protègent pourtant pas la même chose : l'un protège les personnes dont les données sont traitées, l'autre protège l'organisation et la continuité de son activité. Cette différence d'objet explique tout le reste, y compris pourquoi leur cumul est délicat.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Deux objets protégés

Le délégué a pour objet la protection des droits et libertés des personnes dont les données sont traitées. Sa question est celle de savoir si un traitement est licite, nécessaire, proportionné, et si les personnes peuvent exercer leurs droits. Un traitement parfaitement sécurisé mais dépourvu de base légale est un écart qu'il doit relever.

La fonction de sécurité a pour objet la protection du système d'information et, à travers lui, de l'activité de l'organisation. Sa question est celle de la disponibilité, de l'intégrité et de la confidentialité des systèmes. Un traitement illicite mais correctement protégé ne pose, de son point de vue, aucun problème.

Cette divergence n'est pas théorique. Un dispositif de journalisation exhaustive des actions des salariés améliore le niveau de sécurité et constitue simultanément une surveillance dont la proportionnalité se discute. Les deux fonctions ont raison chacune dans son champ, et c'est l'arbitrage entre les deux qui doit être rendu au bon niveau.

L'origine de la fonction diffère

Le délégué est une fonction créée par le règlement (UE) 2016/679, dont les articles 37 à 39 définissent la désignation, la position et les missions. Son existence, son indépendance et sa protection contre le fait d'être relevé de ses fonctions découlent directement du texte, et ses coordonnées sont communiquées à l'autorité de contrôle.

Le responsable de la sécurité des systèmes d'information est une fonction d'organisation, que le règlement ne mentionne pas. Elle peut être rendue nécessaire par d'autres textes — la directive (UE) 2022/2555 impose aux entités concernées des mesures de gestion des risques et une responsabilité des organes de direction, le règlement (UE) 2022/2554 impose un cadre de gestion du risque informatique aux entités financières — mais elle ne procède pas du droit de la protection des données.

De cette différence d'origine découle une différence de régime : le délégué ne reçoit aucune instruction sur l'exercice de ses missions au titre de l'article 38.3, tandis que la fonction de sécurité est une fonction hiérarchique ordinaire, qui décide et met en œuvre.

Les trois points où les deux se rencontrent

Les mesures de sécurité de l'article 32

Le règlement impose des mesures appropriées au risque pour les droits des personnes. La fonction de sécurité les conçoit et les met en œuvre ; le délégué vérifie qu'elles sont appropriées au regard de ce risque particulier, qui n'est pas celui de l'organisation.

L'incident

Un même événement peut constituer un incident de sécurité et une violation de données au sens de l'article 4.12. La fonction de sécurité traite la remédiation technique ; le délégué apprécie le risque pour les personnes et instruit la notification prévue à l'article 33. Les deux procédures se déclenchent sur le même signalement et ne suivent pas le même calendrier.

L'analyse d'impact

L'article 35.7 impose de décrire les mesures envisagées pour faire face aux risques, ce qui suppose l'expertise technique. Le délégué est consulté au titre de l'article 35.2 et vérifie l'exécution de l'analyse au titre de l'article 39.1 c) ; il ne la conduit pas seul.

Pourquoi le cumul est délicat

L'article 38.6 du règlement admet le cumul de fonctions à condition qu'il n'entraîne pas de conflit d'intérêts. Le responsable de la sécurité décide de mesures qui sont elles-mêmes des traitements — journalisation, supervision, filtrage, détection — et détermine à leur égard des finalités et des moyens. Exercer simultanément le mandat de délégué reviendrait à contrôler ses propres décisions.

La difficulté est structurelle et non liée aux personnes. Elle se résout de deux manières : en séparant les deux fonctions, ou en confiant le mandat de délégué à un tiers extérieur, ce que permet l'article 37.6. La seconde voie conserve à l'organisation son expertise de sécurité interne et sort le contrôle du périmètre contrôlé.

Dans une organisation de taille réduite, où ni l'une ni l'autre fonction ne justifie un poste, cette externalisation est souvent la seule configuration qui satisfasse à la fois l'exigence de compétence de l'article 37.5 et celle d'absence de conflit de l'article 38.6.

Questions fréquentes

Le RSSI peut-il être désigné DPO ?

Le cumul est en principe incompatible. Le responsable de la sécurité détermine les finalités et les moyens de traitements de supervision et de journalisation que le délégué devrait contrôler, ce qui constitue le conflit d'intérêts que l'article 38.6 du règlement (UE) 2016/679 impose d'éviter. La séparation des fonctions ou le recours à un délégué extérieur résout la difficulté.

Le DPO doit-il avoir des compétences techniques ?

L'article 37.5 du règlement exige des connaissances du droit et des pratiques de la protection des données, appréciées au regard des traitements en cause. Une compréhension des systèmes est nécessaire pour dialoguer avec les équipes techniques et apprécier les mesures de l'article 32, sans que le délégué ait à concevoir lui-même ces mesures : c'est le rôle de la fonction de sécurité.

Qui notifie une violation de données à la CNIL ?

La notification incombe au responsable du traitement, au titre de l'article 33.1 du règlement. Le délégué l'instruit et apprécie le risque pour les personnes, ses coordonnées figurant parmi les mentions exigées par l'article 33.3. La fonction de sécurité fournit les éléments techniques : la qualification et la décision de notifier ne relèvent pas d'elle.

Une petite structure a-t-elle besoin des deux fonctions ?

Les deux besoins existent mais ne justifient pas nécessairement deux postes. Une organisation soumise à l'article 37.1 doit désigner un délégué, ce qui peut se faire par contrat de service au titre de l'article 37.6. La fonction de sécurité peut rester interne ou être externalisée séparément ; ce qui doit être évité est de confier les deux à la même personne.

Ce que ce régime déclenche ailleurs

La directive (UE) 2022/2555 impose aux entités concernées des mesures de gestion du risque et engage les organes de direction : c'est de ce côté, et non du règlement sur la protection des données, que la fonction de sécurité tire ses obligations.

Le régime NIS2 et la responsabilité des dirigeants

Les deux plafonds de l'article 83, les mesures correctrices qui ne sont pas des amendes, et les onze critères qui pèsent sur le montant.

Sanctions

Les formes que prend une vérification, les pouvoirs d'enquête de l'article 58.1, les pièces systématiquement demandées, et la conduite à tenir le jour même.

Contrôle CNIL

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.