Profil, rattachement, état d’esprit : les délégués à la protection des données à la loupe

Depuis la mise en place du Règlement général sur la protection des données (RGPD) dans l’Union européenne en mai 2018, tous les établissements du supérieur doivent nommer un délégué en charge de cette problématique.

Héritiers des correspondants informatiques et libertés (CIL), les délégués à la protection des données, plus communément appelés DPO, sont réunis au sein du réseau SupDPO. « Dans un contexte de multiplication d’alertes et de départs de DPO au sein des établissements de l’écosystème, l’association a souhaité mesurer la situation afin d’apporter un éclairage sectoriel », précise-t-elle.

Elle a publié le 20 février dernier les conclusions de son enquête qui dresse un panorama du métier de DPO dans l’enseignement supérieur. Campus Matin vous en résume les principales lignes.

1) Le profil juriste majoritaire

« En 2022, la tendance observée en 2019 concernant l’augmentation des profils juridiques au sein des DPO de l’enseignement supérieur, de la recherche et de l’innovation se confirme nettement. Les DPO juristes semblent désormais majoritaires », indique l’enquête de SupDPO.

Il s’agit d’une spécificité de l’ESR. Les juristes constituent en effet 51 % des DPO de l’écosystème. Viennent ensuite :

• ceux avec un profil informatique (24 %) ;
• ceux issus d’autres métiers, comme des enseignants, des secrétaires généraux ou des directeurs généraux des services (14 %) ;
• et les profils divers (11 %) qui regroupent les personnes de la conformité, de l’audit ou de la qualité, de la documentation ou des métiers de la finance.

2) Une fonction très largement internalisée

« La question concernant le positionnement du DPO en tant que membre du personnel ou sous-traitant de l’organisme semble bien tranchée. Pour favoriser et faciliter la réussite du DPO, 82 % des DPO privilégient l’internalisation de leur fonction », analyse l’association à l’origine de l’enquête.

Sur l’ensemble des répondants, 35 % des DPO sont rattachés au directeur général des services ou au secrétaire général de leur établissement. Cela représente une augmentation de 9 points par rapport à la précédente enquête réalisée en 2019 par l’association. Les autres DPO sont rattachés :

• à la direction des affaires juridiques (24 %) ;
• au président (22 %) ou au directeur général (15 %) ;
• ou bien à la direction des systèmes d’information (10 %).

« 27 % des DPO considèrent que leur rattachement actuel n’est pas compatible avec l’indépendance du DPO. Aussi, faire directement rapport au niveau le plus élevé de la direction participe à l’indépendance de la fonction », souligne SupDPO.

3) DPO, une mission solitaire

75 % des services DPO des organismes sont constitués d’une seule personne. 36 % des DPO dirigent tout ou partie de leur service, en position de management hiérarchique d’un ou plusieurs collègues.

« Depuis l’entrée en application du RGPD, les résultats successifs des enquêtes menées par SupDPO font apparaître une augmentation du nombre de DPO à temps complet. Néanmoins, près de 70 % des délégués de ce secteur assurent d’autres fonctions qui ne relèvent pas de leurs missions DPO », rappelle l’association.

À noter par ailleurs que la désignation d’un délégué à la protection des données pour plusieurs organismes concerne 14 % des personnes interrogées en 2022.

4) Un renforcement des moyens demandés

« L’enquête 2022 fait apparaître un large consensus sur la nécessité de continuer à renforcer les moyens dédiés à la conformité pour aider les DPO dans leurs missions, notamment en garantissant leur indépendance, en augmentant ou en définissant le temps de travail qui leur est alloué, et en structurant l’organisation et le service qu’ils rendent aux différentes communautés de travail, notamment à la recherche et aux services pédagogiques et administratifs », résume SupDPO.

D’après les sondés, les trois moyens indispensables à la fonction de DPO sont :

• le soutien de la gouvernance (88 %) ;
• la collaboration en continu avec le vice-président numérique, le responsable de la sécurité des systèmes d’information (RSSI), l’archiviste et les directions des systèmes d’information et des affaires juridiques (85 %) ;
• et l’adhésion à un ou plusieurs réseaux de DPO (73 %).

5) Une population exposée aux risques psychosociaux

Enfin, 49 % des DPO expriment des doutes sur leur capacité à mener à bien leur mission. « Plus le DPO est rattaché au niveau le plus haut de l’organisme, plus il semble considérer que ce rattachement est satisfaisant pour mener à bien ses missions », précise l’enquête.

« L’état d’esprit et les perspectives rapportées par certains DPO soulèvent des inquiétudes au sein de SupDPO. Il semblerait que les DPO soient une population particulièrement concernée par la survenance de risques psychosociaux. »

Dans le détail : 

• 86 % des DPO interrogés expriment au moins un facteur de risque ;
• 73 % considèrent leur métier usant ;
• seuls 6 % des répondants ne se sentent pas concernés par ces risques.