Statut juridique du DPO : 11 propositions pour la France

Huit ans après l’entrée en vigueur du RGPD, la fonction de Délégué à la protection des données (DPO) s’est imposée dans le paysage juridique européen, avec plus de 700 000 désignations déclarées dans l’espace économique européen, dont environ 34 250 en France.

Pourtant, en droit français, cette fonction ne dispose d’aucun statut juridique propre ni de protection spécifique. Aucune disposition législative ne définit les conditions d’accès à la profession, aucun ordre professionnel n’en garantit la déontologie, et la protection contre le licenciement repose uniquement sur la jurisprudence européenne.

Cette situation contraste avec d’autres États membres, où des cadres juridiques plus aboutis encadrent l’exercice du DPO. L’Allemagne, par exemple, impose une désignation obligatoire dès vingt salariés, offre une protection contre le licenciement de douze mois après la fin de mission et consacre un secret professionnel adossé au droit de refus de témoigner.

En Espagne, la loi organique de 2018 impose la désignation d’un DPO pour seize catégories d’organismes et instaure un schéma de certification accrédité par l’ENAC selon la norme ISO 17024.

Propositions pour un statut renforcé

Face à ces disparités, une note de l’Observatoire de l’Éthique Publique, rédigée par Raphaël Maurel, formule onze propositions concrètes pour doter le DPO d’un véritable statut juridique en France. Ces mesures visent à :

• Instaurer une protection contre le licenciement ;
• Codifier une déontologie professionnelle ;
• Garantir une autonomie budgétaire ;
• Reconnaître un secret professionnel.

L’objectif est de sécuriser l’exercice de cette fonction stratégique, tout en protégeant à la fois les titulaires du poste et leurs employeurs.

Constats et enjeux

Une action coordonnée du Comité européen de la protection des données (CEPD) pour 2023 a révélé des fragilités persistantes : défauts de désignation lorsque celle-ci est obligatoire, ressources insuffisantes, conflits d’intérêts récurrents, lignes hiérarchiques compromises et formation initiale insuffisante.

La note plaide pour un changement de paradigme, en s’inspirant des chartes professionnelles déjà éprouvées dans d’autres professions du numérique et de la conformité.