DPO interne vs externe
DPO interne ou DPO externe : quel choix pour un SPST ?
L’article 37.6 du RGPD autorisé le DPO a etre un membre du personnel (DPO interne) ou a exercer ses missions sur la base d’un contrat de service (DPO externe). Chaque option présenté des avantages et des inconvenients que le SPST doit évaluer au regard de sa taille, de ses ressources et de ses besoins.
Le DPO interne
Avantages :
- Connaissance approfondie de l’organisation, des processus et des outils du SPST
- Disponibilite quotidienne et proximite avec les équipes
- Integration dans les circuits de decision
- Capacite a intervenir rapidement en cas d’incident
Risques et limites :
- Conflit d’intérêts (Art. 38.6 RGPD) : le DPO interne cumule souvent cette fonction avec d’autres responsabilites, ce qui peut créer des conflits. Un responsable informatique, un directeur ou un archiviste ne peut pas etre DPO.
- Manque d’expertise juridique spécialisée en protection des données
- Difficulte a maintenir l’indépendance vis-a-vis de la hiérarchie
- Risque de pression interne pour minimiser les non-conformites
Le DPO externe
Avantages :
- Expertise spécialisée en RGPD et en protection des données de santé
- Independance garantie vis-a-vis de l’organisation
- Vision transversale tiree de l’experience avec d’autres SPST
- Absence de conflit d’intérêts structurel
- Veille juridique permanente et formation continue assurees
Points de vigilance :
- Necessite d’un contrat de service détaillé (Art. 37.6 RGPD)
- Accessibilite et reactivite a garantir contractuellement
- Connaissance du SPST a acquerir progressivement
- Confidentialite et secret professionnel (Art. 38.5 RGPD)
Recommandation : Pour les SPST de taille moyenne, le recours a un DPO externe spécialisé en santé au travail est souvent la solution la plus pertinente. Elle garantit l’expertise et l’indépendance requises tout en maitrisant les couts. Le DPO externe doit cependant s’appuyer sur un réseau de relais internes (referents RGPD dans chaque service).
Le réseau de relais internes
Quelle que soit l’option retenue, la mise en place d’un réseau de relais RGPD au sein du SPST est recommandée. Ces correspondants, presents dans chaque service (médical, administratif, informatique, RH), assurent le relais opérationnel du DPO au quotidien. Ils ne se substituent pas au DPO mais facilitent la diffusion des bonnes pratiques et la remontee d’informations.