Depuis 2018, les enjeux liés au métier de délégué à la protection des données sont étudiés par la Commission nationale de l’informatique et des libertés (CNIL), l’Association française des correspondants à la protection des données (AFCDP) et la Délégation générale à l’emploi et à la formation professionnelle (DGEFP). Cette dernière étude, enregistre un record de participation, avec 3625 DPO répondants contre seulement 1811 lors de la dernière étude.

Si le nombre de DPO est en forte croissance depuis 2019 (21 000 en 2019 contre 34 440 début 2024), leur niveau de formation et de compétences reste un sujet prédominant. Dans cette étude, l’Agence nationale pour la formation professionnelle des adultes (l’AFPA), relève que le nombre de DPO a largement augmenté notamment au sein des plus petites structures. En revanche, il s’agit majoritairement de profils sans expertise juridique, ni informatique. Et ces DPO disposent également de moins de moyens que ceux qui sont nommés au sein de plus grosses structures (plus de 250 salariés). La CNIL s’inquiète des risques de cette évolution s’agissant de la capacité de ces profils de DPO à évaluer les risques, et mener à bien leurs missions.

En ce sens, la CNIL a indiqué qu’elle allait notamment renforcer sa vigilance sur les moyens alloués aux DPO pour réaliser leur mission. Elle veillera au conflit de priorité c’est-à-dire le temps disponible pour exercer la mission ainsi qu’au nombre d’organismes à gérer et aux possibilités qu’ils ont d’être formés.

Cette étude relève également la question de la formation avec un pourcentage élevé de DPO se sentant pas ou peu formés aux données personnelles : 68% des DPO récemment désignés, c’est-à-dire depuis un an ou moins, qui n’ont pas reçu de formation, ou pour les plus anciens, une formation Informatique et Libertés de 1 à 2 jours depuis 2016. Plus généralement, 55% des DPO qui ont participé à l’enquête en 2024 se sentent peu ou pas formés.

Un autre constat est celui du temps consacré par les DPO à leur mission : dans les petites structures, plus de 96% exercent à temps partiel, et presque les trois quarts indiquent ne pouvoir accorder que 25% de leur temps à cette mission. Par ailleurs, 86% des DPO exercent leurs fonctions seuls.

Pour rappel, le RGPD indique que le DPO est désigné sur la base de ses connaissances du droit et des pratiques en matière de protection des données. Cela implique des connaissances au moment de sa désignation, mais également la possibilité de se former pour maintenir ces connaissances et de les mettre à jour dans la mesure où le sujet des données personnelles évolue avec les années.

• Etude 2024 – Evolution de la fonction de Délégué à la Protection des Données – AFPA
• Article 37 du RGPD – Désignation du délégué à la protection des données

05 juillet 2024