L’archiviste ne peut pas etre DPO

Pourquoi l’archiviste ne peut pas etre DPO

---

La question revient régulièrement dans les SPST : peut-on désigner l’archiviste comme Délégué à la Protection des Données ? Après tout, il connait les dossiers, la conservation, les procédures. La réponse est non, et les raisons sont à la fois juridiques et pratiques.

Le principe : pas de conflit d’intérêts (Art. 38.6 RGPD)

L’article 38.6 du RGPD est clair : le DPO « peut exécuter d’autres missions et taches », mais le responsable de traitement doit veiller à ce que ces missions « n’entrainent pas de conflit d’intérêts ».

Le Comité Europeen de la Protection des Données (CEPD, anciennement G29) précisé dans ses lignes directrices que les fonctions suivantes sont généralement incompatibles avec le role de DPO :

• Les fonctions qui determinent les finalites et les moyens des traitements
• Les fonctions opérationnelles impliquant un traitement de données a grande echelle
• Les fonctions de direction (DG, DRH, DSI, directeur marketing)

Pourquoi l’archiviste est en conflit d’intérêts

L’archiviste d’un SPST gere operationnellement la conservation des DMST. C’est un traitement de données de santé a grande echelle. Concrètement :

1. Il définit les conditions de stockage, Lieu, sécurité physique, conditions d’accès. Ce sont des « moyens du traitement » au sens du RGPD.
2. Il gere l’accès aux dossiers, Il recoit les demandes de consultation, retrouve les dossiers, les remet aux médecins. Il est au cœur du flux de données.
3. Il decide de la destruction, En pratique, l’archiviste participe aux decisions de destruction des dossiers arrives a echeance.

Si cette meme personne est aussi DPO, elle devrait controler sa propre activité. Elle devrait auditer les conditions de conservation qu’elle a elle-meme definies, évaluer la conformité des accès qu’elle gere, et vérifier les procédures de destruction qu’elle applique. C’est la définition meme du conflit d’intérêts.

Le cas de l’archiviste externe

Le probleme est encore plus grave quand l’archiviste est un prestataire externe. Dans ce cas, il cumule deux casquettes incompatibles :

• Sous-traitant, Il traite des données de santé pour le compte du SPST
• DPO, Il devrait controler la conformité des sous-traitants, y compris lui-meme

La CNIL a sanctionne des organismes pour cette situation. C’est une non-conformité majeure qui sera systématiquement relevee par un auditeur SPEC 2217.

Le meme raisonnement s’applique au DSI

Par extension, le meme probleme se pose pour le DSI (interne ou externalisé). Le DSI définit et met en oeuvre les moyens techniques : infrastructure, logiciels, sécurité. Il ne peut pas objectivement auditer les choix qu’il a lui-meme faits. C’est pourquoi le CEPD considere que la fonction de DSI est incompatible avec celle de DPO.

Les sanctions de la CNIL

La CNIL a déjà sanctionne plusieurs organismes pour conflit d’intérêts du DPO. Les decisions sont publiques et servent de référence. Les sanctions portent sur le manquement à l’article 38.6 du RGPD et peuvent aller de la mise en demeure à l’amende administrative.

Lors de l’audit SPEC 2217, si l’auditeur constate que le DPO est aussi l’archiviste ou le DSI, il qualifiera un écart majeur sur l’exigence de désignation du DPO. Cet écart peut bloquer l’obtention ou le renouvellement de la certification.

Les solutions

1. DPO interne dédié, Designez un collaborateur dont la fonction principale est le pilotage de la conformité RGPD, sans responsabilité opérationnelle sur les traitements de données.
2. DPO externe spécialisé, Faites appel à un DPO externe ayant une expertise spécifique du secteur SPST. C’est souvent la solution la plus pertinente pour les SPST de taille moyenne, car le DPO externe apporte à la fois l’indépendance et l’expertise sectorielle.
3. DPO mutualise, Plusieurs SPST peuvent mutualiser un DPO, a condition que chaque SPST soit effectivement couvert et que le DPO dispose de moyens suffisants pour chaque structuré.

Quelle que soit la solution retenue, documentez le processus de désignation, la lettre de mission et les moyens mis a disposition. Ces éléments seront verifies par l’auditeur.