Intégrer la compétence juridique dans les missions du Data Protection Officer (DPO)

Objectifs et contexte de la certification :

Cette certification est destinée aux délégués à la protection des données (ou DPO), qui conseillent et accompagnent les organismes qui les ont désignés, dans leur conformité au RGPD (Règlement Général sur la Protection des Données). 

Selon la CNIL (Commission Nationale de l'Informatique et des Libertés), le DPO est au cœur de ce règlement européen, qui constitue le cadre juridique applicable depuis mai 2018 dans toute l’Union européenne. Avant de lui confier cette mission, il est nécessaire de vérifier qu'un DPO dispose des compétences et des moyens nécessaires à l’exercice de ses missions. 

L’objectif de cette certification est de contribuer aux compétences du DPO, pour la partie juridique de ses missions. Ainsi, elle lui permet de s’assurer de la mise en conformité de l’organisation pour laquelle il agit, en matière de droit et de pratiques, concernant la protection et la sécurité des données personnelles. Elle est également axée sur la collaboration du DPO avec le responsable de traitement de ces données, pour prévenir les risques juridiques associés aux opérations de traitement, compte tenu de la nature, de la portée, du contexte et des finalités de celles-ci. Elle lui permet en outre de savoir comment coopérer avec les autorités de contrôle concernées.  

Compétences attestées :

• C1 : Etablir la cartographie des données personnelles en lien avec la réalité d’une entreprise donnée, afin de pouvoir concrétiser et développer un plan d’actions dynamique de mise en conformité de cette entreprise, avec la règlementation en vigueur.
• C2 : Informer et conseiller les dirigeants d’une structure concernant le déploiement opérationnel, dynamique et sécurisé d’une politique de protection des données, et notamment concernant les cas dans lesquels une analyse d’impact est nécessaire, afin de les aider à la décision dans ce domaine.
• C3 : Déployer, faire appliquer et contrôler une politique de protection des données en s’appuyant sur la prévention des risques juridiques et informatiques et sur la responsabilisation des acteurs, afin de protéger les données d’une violation, la structure d’une intrusion et des dommages potentiels conséquents (anonymisation, chiffrement, pseudonymisation).
• C4 : Concevoir et diffuser des procédures et outils nécessaires au respect des règles applicables au consentement des personnes et à l’exercice de leurs droits, afin de réaliser le traitement de données à caractère personnel dans les règles de l’art, et de répondre aux demandes et plaintes potentielles des consommateurs ou usagers.
• C5 : Tenir le rôle d’interface entre la structure responsable du traitement de données personnelles (par exemple, le Responsable de la Sécurité des Systèmes d’Information RSSI), les instances de contrôle et les personnes concernées, en sachant rendre compte de la conformité des actions mises en place, notamment par la production d’un registre de traitement des données personnelles approprié au contexte, et a fortiori en prenant des mesures adéquates en cas de gestion de crise.  
• C6 : Etablir des contrats avec les différents acteurs de la chaine de traitement des données à caractère personnel, afin de déterminer le rôle opérationnel et les responsabilités de chacun, et de pouvoir traiter un incident relatif à la protection des données personnelles.
• C7 : Sécuriser le transfert de données dans le cas de traitements internationaux, en appliquant les techniques juridiques adaptées et en tenant compte du droit international, afin d’étendre la conformité RGPD aux activités internationales d’une structure.

Modalités d'évaluation :

L’évaluation se compose de nombreux cas pratiques écrits individuels ainsi que d'une soutenance de résolution d'un cas pratique complexe, devant un jury de professionnels.