Formation Devenir délégué à la protection des données (DPD/DPO)

Programme de Formation Devenir délégué à la protection des données (DPD/DPO)

Situer le RGPD et ses enjeux

Comprendre la place du RGPD dans le cadre juridique européen et national
Identifier les grandes évolutions apportées par le RGPD par rapport à l’ancienne réglementation
Définir les notions clés : données personnelles, données sensibles, traitement, fichier, responsable de traitement, sous-traitant
Mesurer les risques juridiques, financiers, opérationnels et d’image liés à la non-conformité
Atelier fil rouge : choisir un traitement de données réel de son organisme qui servira de cas pratique tout au long de la journée

Comprendre les principes fondamentaux et les bases légales

Découvrir les principes du RGPD : licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, conservation limitée
Identifier les principales bases légales de traitement : consentement, contrat, obligation légale, intérêt légitime, etc.
Relier ces principes aux pratiques concrètes : formulaires, collecte, utilisation, conservation, archivage
Introduire la notion d’« accountability » : être capable de démontrer sa conformité à tout moment
Atelier fil rouge : analyser le traitement choisi à la lumière des principes du RGPD et de sa base légale

Clarifier les rôles et obligations des acteurs (RT, sous-traitant, DPO)

Distinguer responsable de traitement, co-responsable et sous-traitant dans les traitements de données
Identifier les obligations principales du responsable de traitement : registre, information, sécurité, DPIA, réponse aux droits, violations de données
Identifier les obligations principales des sous-traitants et leur encadrement contractuel
Comprendre le rôle, la mission et le positionnement du Délégué à la Protection des Données (DPO)
Atelier fil rouge : cartographier les acteurs (RT, sous-traitant, DPO) pour le traitement étudié et leurs principales obligations

Connaître les droits des personnes concernées

Lister les droits : information, accès, rectification, effacement, limitation, portabilité, opposition, réclamation
Comprendre les implications pratiques pour l’organisme : canaux de contact, délais, traçabilité des réponses
Identifier les services internes à mobiliser pour traiter une demande (juridique, RH, SI, métiers)
Repérer les points de vigilance sur la confidentialité et la sécurité lors du traitement des demandes
Atelier fil rouge : schématiser le circuit de traitement d’une demande de droit d’accès pour le traitement étudié

Appréhender les transferts de données hors UE et les usages numériques courants

Comprendre ce qu’est un transfert de données vers un pays tiers ou une organisation internationale
Identifier les principaux mécanismes de transfert : pays adéquats, clauses types, dérogations
Repérer les risques RGPD liés aux usages courants : cloud, outils collaboratifs, solutions marketing, outils RH externalisés
Poser les bonnes questions à ses prestataires et partenaires pour vérifier le respect du RGPD
Atelier fil rouge : vérifier si le traitement choisi implique des transferts hors UE ou des prestataires externes et lister les points à clarifier

Organiser la gouvernance RGPD dans son organisme

Définir la gouvernance RGPD : rôles, responsabilités, circuits de décision et de validation
Positionner le DPO par rapport à la direction, aux métiers, à la DSI et au RSSI
Identifier les comités et instances utiles pour suivre la conformité RGPD
Structurer la collaboration entre juridique, SI, RH, métiers et DPO
Atelier fil rouge : dessiner le schéma de gouvernance RGPD de son organisme ou de son service

Mettre en place le registre des traitements et le référentiel documentaire

Comprendre le rôle central du registre des traitements dans la démonstration de conformité
Identifier les informations à collecter pour chaque traitement : finalité, base légale, catégories de données, durées, destinataires, transferts, mesures de sécurité
Constituer le référentiel documentaire : politiques, procédures, modèles de mentions, modèles de réponses aux droits, clauses contractuelles
Prioriser les traitements à cartographier en premier : données sensibles, volumes importants, exposition externe, sous-traitance
Atelier fil rouge : compléter une fiche registre simplifiée pour un traitement prioritaire de son organisme

Renforcer la sécurité des données et réaliser des analyses d’impact

Relier les exigences du RGPD à la sécurité technique et organisationnelle du SI
Identifier les mesures de sécurité adaptées : contrôle d’accès, chiffrement, journalisation, sauvegardes, anonymisation, formation des utilisateurs
Comprendre le principe et les objectifs de l’Analyse d’Impact relative à la Protection des Données (AIPD / DPIA)
Déterminer les traitements nécessitant une DPIA et les grandes étapes de sa réalisation
Atelier fil rouge : repérer, pour un traitement prioritaire, les principaux risques et les mesures de sécurité à renforcer

Gérer les violations de données et la relation avec l’autorité de contrôle

Définir ce qu’est une violation de données à caractère personnel et distinguer incident de sécurité et violation notifiable
Organiser le processus interne de gestion des violations : détection, qualification, documentation, notification éventuelle
Comprendre les obligations de notification à l’autorité de contrôle et, le cas échéant, aux personnes concernées
Mettre en place une documentation permettant de démontrer la bonne gestion des incidents
Atelier fil rouge : construire un mini-processus de gestion d’une violation de données avec les rôles de chacun

Construire et piloter son plan d’actions de mise en conformité

Structurer les étapes clés d’un projet de mise en conformité RGPD (diagnostic, priorisation, mise en œuvre, suivi)
Prioriser les actions en fonction des risques, des enjeux métiers et des moyens disponibles
Définir des indicateurs de suivi et des éléments de preuve de conformité : registres, procédures, comptes rendus, rapports, logs
Élaborer un plan d’actions opérationnel à court, moyen et long terme, incluant communication et formation interne
Atelier fil rouge : formaliser un plan d’actions RGPD synthétique pour son organisme avec 3 à 5 priorités majeures

Maîtriser le cadre juridique et les responsabilités du DPO

Revoir les rappels juridiques essentiels (RGPD, LIL modifiée) dans une optique DPO
Comprendre les responsabilités civiles, pénales, administratives et internes liées aux traitements de données
Distinguer responsabilité du responsable de traitement, du sous-traitant, du DPO
Identifier les risques personnels et organisationnels liés à une mauvaise gestion de la conformité
Atelier fil rouge : analyser un cas de sanction RGPD et identifier les manquements à la mission de DPO

Définir le rôle, le statut et le positionnement du DPO

Définir les missions du DPO : conseil, information, contrôle, point de contact avec l’autorité, tenue de la documentation
Comprendre les exigences de statut : indépendance, absence de conflit d’intérêts, moyens suffisants
Positionner le DPO dans l’organigramme et dans les processus (projets, contrats, incidents, audits)
Organiser la relation du DPO avec la direction, la DSI, le RSSI, les métiers, les RH
Atelier fil rouge : construire la fiche de mission DPO et son schéma de positionnement dans son organisation

Maîtriser les principes fondamentaux de traitement et les domaines sensibles

Approfondir les principes fondamentaux de traitement dans une perspective de contrôle
Identifier les traitements à risques et les cas nécessitant une AIPD/DPIA
Connaître les exigences spécifiques pour certains domaines, notamment la santé et les données sensibles
Apprécier la conformité des traitements de santé : bases légales, secret professionnel, hébergement de données de santé, etc.
Atelier fil rouge : analyser un exemple de traitement de santé ou de données sensibles et identifier les exigences spécifiques

Encadrer les transferts de données hors de l’Union européenne

Approfondir les règles relatives aux transferts vers des pays tiers et organisations internationales
Appliquer les mécanismes de transfert : décisions d’adéquation, clauses contractuelles types, BCR, dérogations
Évaluer les risques liés à certains services cloud ou outils numériques utilisés par l’organisation
Proposer des stratégies de maîtrise des transferts en tant que DPO (cartographie, clauses, revue fournisseurs)
Atelier fil rouge : cartographier les transferts d’un périmètre SI et identifier les actions à lancer

Mettre en place un processus de mise en conformité piloté par le DPO

Structurer la démarche de mise en conformité : diagnostic, plan d’actions, suivi, amélioration continue
Organiser le registre des traitements et les AIPD avec une approche projet
Définir les priorités de conformité : traitements critiques, données sensibles, risques élevés
Formaliser un plan d’actions pluriannuel piloté par le DPO (jalons, responsabilités, indicateurs)
Atelier fil rouge : construire la trame d’un plan d’actions DPO sur 12 à 24 mois

Conseiller les projets et nouveaux traitements

Intervenir en amont dans les projets pour intégrer la protection des données dès la conception (privacy by design / by default)
Mettre en place un circuit de validation DPO pour les nouveaux traitements ou évolutions majeures
Analyser un dossier projet : finalités, bases légales, minimisation, durée, transferts, sécurité
Documenter l’avis du DPO et les mesures préconisées
Atelier fil rouge : travailler sur un cas fictif ou réel de nouveau projet et formaliser l’avis du DPO

Mettre en place des actions de communication et de sensibilisation

Construire une stratégie de sensibilisation à la protection des données : cibles, messages, supports, fréquence
Adapter la communication aux différents publics : direction, métiers, IT, RH, utilisateurs finaux
Utiliser différents formats : ateliers, supports écrits, e-learning, campagnes (ex : phishing), journées thématiques
Mesurer l’impact des actions de sensibilisation et ajuster le dispositif
Atelier fil rouge : concevoir un mini-plan annuel de sensibilisation piloté par le DPO

Connaître les points essentiels de contrôle et gérer la relation avec la CNIL

Identifier les contrôles prioritaires à mener : registre, mentions d’information, contrats, droits, sécurité, AIPD
Mettre en place des check-lists et grilles d’audit internes
Comprendre le rôle et les missions de la CNIL : contrôle, accompagnement, sanctions
Connaître les grandes lignes des procédures de contrôle et des sanctions en cas de non-respect du RGPD et de la LIL
Atelier fil rouge : élaborer une grille de contrôle DPO « express » pour un audit interne sur un traitement donné

Formaliser un plan d’actions DPO et gérer la preuve de conformité

Structurer la gestion de la preuve de conformité : registres, AIPD, comptes rendus, procédures, rapports de contrôle
Définir des indicateurs de suivi de la conformité (KPI RGPD) pour les comités de pilotage ou de direction
Planifier les priorités de travail du DPO sur 6 à 12 mois
Finaliser un plan d’actions DPO réaliste et adapté à son organisation
Atelier fil rouge : présenter son plan d’actions DPO et ses indicateurs de contrôle essentiels