Devenir délégué à la protection des données (DPD/DPO)

DPO désigné ou en cours de désignation, relais ou référents protection des données - Toute personne dont la mission est d’assurer le respect de la protection des données personnelles au sein de son organisation (publique ou privée)

Disposer d’une connaissance générale du fonctionnement de son organisation - Avoir une compréhension générale des enjeux liés aux données personnelles - Aucune compétence juridique avancée n’est requise - Pour la préparation à la certification PECB, une première sensibilisation au RGPD ou une expérience dans un environnement conformité, juridique, SI, qualité, sécurité ou gestion de projet est recommandé

• Acquérir les connaissances indispensables à l’accomplissement de la mission de DPO
• Comprendre les principes, exigences et obligations du RGPD
• Identifier les rôles et responsabilités des acteurs : responsable de traitement, sous-traitant, DPO, personnes concernées, autorité de contrôle
• Connaître les bonnes pratiques pour mettre en place un programme de conformité RGPD
• Savoir tenir un registre des traitements et constituer une documentation de conformité
• Être capable de conseiller l’organisation lors de la création ou de l’évolution de traitements de données
• Savoir intégrer la protection des données dès la conception et par défaut
• Comprendre les principes de l’AIPD / DPIA et savoir identifier les traitements nécessitant une analyse d’impac
• Mettre en place un processus de gestion des droits des personnes
• Organiser la gestion des violations de données et la coopération avec l’autorité de contrôle
• Définir des indicateurs, contrôles et actions de sensibilisation pour suivre et piloter la conformité
• Préparer les participants aux attendus de la certification PECB Certified Data Protection Officer

Situer le RGPD et les enjeux de la protection des données

Comprendre la place du RGPD dans le cadre juridique européen et national
Identifier les grandes évolutions apportées par le RGPD et leurs impacts pour les organisations
Définir les notions clés : donnée personnelle, donnée sensible, traitement, fichier, responsable de traitement, sous-traitant, personne concernée
Mesurer les risques juridiques, financiers, opérationnels et d’image liés à la non-conformité

Atelier fil rouge

choisir un traitement de données réel de son organisme qui servira de cas pratique tout au long de la formation

Appliquer les principes fondamentaux et les bases légales du RGPD

Comprendre les principes du RGPD : licéité, loyauté, transparence, limitation des finalités, minimisation, exactitude, conservation limitée, intégrité et confidentialité
Identifier les principales bases légales de traitement : consentement, contrat, obligation légale, intérêt légitime, mission d’intérêt public, sauvegarde des intérêts vitaux
Relier ces principes aux pratiques concrètes : formulaires, collecte, utilisation, conservation, archivage, communication à des tiers
Introduire la notion d’accountability : être capable de démontrer sa conformité à tout moment

Atelier fil rouge

analyser le traitement choisi à la lumière des principes du RGPD et de sa base légale

Identifier les rôles, responsabilités et obligations des acteurs

Distinguer les responsabilités du responsable de traitement, du sous-traitant, du responsable conjoint et des personnes habilitées
Comprendre les obligations contractuelles avec les sous-traitants et les partenaires
Identifier les cas de transferts hors Union européenne et les garanties à prévoir
Repérer les interactions entre RGPD, sécurité de l’information, gestion des risques et gouvernance interne

Atelier fil rouge

cartographier les acteurs impliqués dans le traitement étudié et identifier leurs responsabilités

Exercer la mission de DPO au sein de l’organisation

Comprendre les conditions de désignation du DPO et les critères d’indépendance associés à la fonction
Identifier les missions du DPO : informer, conseiller, contrôler, alerter, documenter, coopérer avec l’autorité de contrôle
Positionner le DPO dans la gouvernance interne et organiser ses relations avec la direction, les métiers, la DSI, les RH, le juridique et les prestataires
Définir les moyens nécessaires à l’exercice de la mission : temps, accès à l’information, compétences, documentation, reporting

Atelier fil rouge

définir une fiche de mission synthétique du DPO adaptée à son organisation

Construire un programme de conformité RGPD

Structurer les étapes d’une démarche de conformité : diagnostic, priorisation, plan d’actions, mise en œuvre, suivi, amélioration continue
Identifier les traitements prioritaires à traiter en fonction des risques, des volumes, des données sensibles, des sous-traitants et de l’exposition externe
Définir les politiques et procédures nécessaires : gestion des droits, conservation, sécurité, violation de données, sous-traitance, nouveaux projets
Mettre en place une gouvernance documentaire permettant de démontrer la conformité

Atelier fil rouge

établir les premières priorités d’un programme de conformité RGPD

Tenir le registre des traitements et documenter la conformité

Comprendre le rôle central du registre des traitements dans la démonstration de conformité
Identifier les informations à collecter pour chaque traitement : finalité, base légale, catégories de données, durées, destinataires, transferts, mesures de sécurité
Organiser la collecte d’informations auprès des métiers et maintenir le registre dans la durée
Constituer le référentiel documentaire : politiques, procédures, modèles de mentions, modèles de réponses aux droits, clauses contractuelles, preuves de conformité

Atelier fil rouge

compléter une fiche registre simplifiée pour un traitement prioritaire de son organisme

Gérer les droits des personnes et les obligations d’information

Identifier les droits des personnes concernées : accès, rectification, effacement, opposition, limitation, portabilité, retrait du consentement
Comprendre les délais, les modalités de réponse et les cas particuliers de traitement des demandes
Rédiger ou améliorer les mentions d’information et politiques de confidentialité
Organiser un processus interne de réception, qualification, traitement et traçabilité des demandes

Atelier fil rouge

préparer une réponse structurée à une demande d’exercice de droits

Intégrer la protection des données dans les projets

Comprendre les principes de protection des données dès la conception et par défaut
Identifier les points de vigilance RGPD dans les nouveaux projets : finalités, données collectées, durée de conservation, accès, sous-traitance, sécurité, information des personnes
Jouer un rôle de conseil auprès des équipes projet, métiers et techniques
Mettre en place des réflexes de validation avant lancement d’un nouveau traitement

Atelier fil rouge

analyser un nouveau projet de traitement et formuler les recommandations du DPO

Renforcer la sécurité des données et réaliser une analyse d’impact

Relier les exigences du RGPD aux mesures de sécurité techniques et organisationnelles du système d’information
Identifier les mesures adaptées : contrôle d’accès, chiffrement, journalisation, sauvegardes, anonymisation, pseudonymisation, sensibilisation des utilisateurs
Comprendre le principe, les objectifs et les étapes de l’Analyse d’Impact relative à la Protection des Données (AIPD / DPIA)
Déterminer les traitements nécessitant une AIPD et documenter les risques pour les droits et libertés des personnes

Atelier fil rouge

repérer les principaux risques du traitement étudié et proposer des mesures de réduction du risque

Gérer les violations de données et coopérer avec l’autorité de contrôle

Définir ce qu’est une violation de données à caractère personnel et distinguer incident de sécurité et violation notifiable
Organiser le processus interne de gestion des violations : détection, qualification, documentation, notification éventuelle, communication aux personnes concernées
Comprendre les obligations de notification à l’autorité de contrôle et les critères d’évaluation du risque
Préparer les échanges avec l’autorité de contrôle et documenter les décisions prises

Atelier fil rouge

construire un mini-processus de gestion d’une violation de données avec les rôles de chacun

Piloter, contrôler et améliorer la conformité RGPD

Définir des indicateurs de suivi et des éléments de preuve : registre, procédures, comptes rendus, rapports, contrôles, logs, plans d’actions
Organiser des contrôles périodiques et suivre la mise en œuvre des recommandations
Mettre en place des actions de communication et de sensibilisation adaptées aux publics internes
Préparer le reporting du DPO auprès de la direction et des parties prenantes

Atelier fil rouge

formaliser un plan d’actions RGPD synthétique avec 3 à 5 priorités majeures

Se préparer à la certification PECB Certified Data Protection Officer

Comprendre les attendus généraux de la certification PECB Certified Data Protection Officer
Réviser les domaines clés : concepts de protection des données, rôles et responsabilités, mesures techniques et organisationnelles, programme de conformité
S’entraîner à l’analyse de situations concrètes et à la logique de questionnement de l’examen
Identifier les points à renforcer avant le passage de la certification

Atelier fil rouge

réaliser un entraînement final sous forme de quiz, cas pratiques et correction commentée 

Active Learning

contrôle continu ou certification si prévue dans le financement

Support de cours + sources des exemples