DPO : Data Protection Officer (délégué à la protection des données, DPD)
Sécurité
DPO : Data Protection Officer, en français délégué à la protection des données (DPD). « La personne chargée de rappeler la loi à ceux qui préféreraient l'avoir oubliée, et qu'on n'a pas le droit de sanctionner pour l'avoir fait », par analogie avec l'arbitre, qui ne joue pas le match mais que tout le monde consulte dès qu'un joueur se retrouve à terre.
Base légale : Prévu par les articles 37 à 39 du RGPD, il est obligatoire pour les autorités et organismes publics, ainsi que pour les organismes dont l'activité principale implique un suivi régulier et systématique de personnes à grande échelle, ou le traitement à grande échelle de données sensibles ou relatives aux condamnations pénales. Sa désignation est communiquée à l'autorité de contrôle, la CNIL en France.
Rôle : Il informe et conseille, contrôle le respect du règlement, conseille sur les analyses d'impact (AIPD) et sert de point de contact avec l'autorité. Il ne reçoit aucune instruction sur l'exercice de ses missions et ne peut être sanctionné pour les avoir accomplies, garantie d'indépendance que certains organigrammes traduisent par un bureau au fond du couloir.
En cas de violation : La notification à l'autorité, dans les 72 heures après la prise de connaissance lorsque la violation présente un risque pour les personnes, incombe au responsable du traitement. Le DPO la prépare et conseille, mais la responsabilité reste celle de l'organisme : le délégué délègue peu.
Homonymie : En apprentissage automatique, DPO désigne aussi Direct Preference Optimization, méthode publiée en 2023 pour ajuster un modèle de langage à des préférences humaines, sans rapport avec le RGPD sinon qu'elle consomme, elle aussi, beaucoup de données.
Ce qui arrive si on s'en passe
Une organisation qui tient son DPO à l'écart, ou ne le prévient qu'après coup, affronte une fuite de données personnelles sans personne pour évaluer le risque, documenter la violation et préparer la notification dans les 72 heures. Le délai dépassé ou la notification oubliée s'ajoutent alors à l'incident dans le dossier de la CNIL, qui peut prononcer pour ce type de manquement des amendes allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Des données personnelles collées dans un assistant d'IA public sont précisément le genre d'incident qu'il vaut mieux annoncer soi-même au DPO que de le lui laisser découvrir dans la presse.
Explication de la marmotte
Le délégué à la protection des données, souvent appelé DPO, est la personne qui veille à ce qu'une organisation respecte les règles européennes sur les données personnelles. Il conseille la direction, répond aux questions des personnes concernées et sert d'interlocuteur à la CNIL, l'autorité française chargée de ces règles. Quand des données personnelles fuient, il faut le prévenir tout de suite, car la loi impose souvent de déclarer l'incident en moins de 72 heures. Il doit pouvoir travailler en toute indépendance.
Où ce terme est utilisé
- AIPD RGPD article 35 : méthode, critères et impact sur l'architecture (7 occurrences)
- Fuite de secrets dans les prompts d'un assistant IA public (3 occurrences)
- OSINT défensif : mesurer et réduire l'exposition publique (3 occurrences)
- Réagir aux premières minutes d’un incident suspecté (3 occurrences)
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (2 occurrences)
- AI Act : réclamation et droit à l'explication (articles 85 et 86) (1 occurrence)
- Mener une simulation de phishing interne éthique avec GoPhish (1 occurrence)
- Partager le renseignement sur la menace avec ISAC, MISP et STIX (1 occurrence)
- Rédiger une politique d'usage de l'IA générative publique (1 occurrence)
- RGPD : exigences d’architecture et contrôles techniques (1 occurrence)