En 2024, le ministère du Travail, la CNIL et l’Association Française des Correspondants à la protection des Données à caractère Personnel (AFCDP) ont publié les résultats de la quatrième enquête sur le profil des Délégués à la Protection des Données (DPO). Cette enquête, réalisée dans le cadre de l’Observatoire dédié au métier de DPO, a mobilisé 3 625 DPO répondants, avec une analyse approfondie de leurs parcours, de leur rôle et des défis auxquels ils sont confrontés.

Influence de la taille de l’organisation sur le profil du DPO

La taille des organisations joue un rôle déterminant dans la composition et les compétences des DPO :

• Dans les grandes organisations, les DPO avec des profils juridiques sont plus fréquemment représentés.
• Dans les plus petites structures, les DPO aux profils « hors informatique et juridique » sont davantage présents, reflétant une diversité d’expertises.

Données clés sur les DPO en 2024

L’enquête révèle des tendances importantes sur la démographie et les conditions de travail des DPO :

• 78 % des DPO exercent en tant que DPO internes.
• 70 % des DPO travaillent hors Île-de-France.
• 51 % des DPO sont des femmes, contre 49 % d’hommes, ce qui montre une parité dans la profession.
• 60 % des DPO possèdent une formation supérieure de niveau master ou doctorat.
• 69 % des DPO sont âgés de 40 ans et plus.
• 61 % des DPO ont une ancienneté dans la fonction de 3 à 5 ans.

Types de DPO et leurs modes d’exercice

En fonction de la structure de l’organisation, il existe trois types de DPO :

1. DPO interne : salarié d’un seul organisme.
2. DPO interne mutualisé : salarié partageant ses services entre plusieurs responsables de traitement.
3. DPO externe : indépendant ou salarié d’un organisme spécialisé (ex. : cabinet de conseil, cabinet d’avocats, organisme public).

DPO dans les petites structures : Moins de moyens, plus de défis

Un des résultats marquants de l’enquête est l’augmentation des DPO dans les structures de moins de 250 salariés. En effet, 57 % des DPO internes et mutualisés travaillent dans des structures de petite taille, soit une augmentation de 19 points par rapport à 2019. Toutefois, cette tendance s’accompagne de défis majeurs :

• Ces DPO, souvent issus de profils non juridiques ou non informatiques, disposent de moins de moyens pour accomplir leurs missions.
• Il existe un risque accru que ces DPO soient moins en capacité d’évaluer les risques et de mettre en œuvre des solutions efficaces pour assurer la protection des données.

Temps consacré aux missions de DPO et perception de leur rôle

• 85 % des DPO exercent à temps partiel, dont 61 % y consacrent moins de 25 % de leur temps de travail.
• Malgré cette limitation en termes de temps, 72 % des DPO estiment que leurs recommandations sont écoutées et suivies.
• 62 % des DPO sont sollicités lorsque la question de la conformité RGPD est abordée au sein des plus hautes instances.
• 91 % des DPO sont convaincus de l’utilité sociale de leur fonction, la considérant essentielle pour la protection des données des clients, usagers et citoyens.
• 54 % des DPO sont satisfaits de l’exercice de leurs missions.

Synthèse des évolutions et points de vigilance

Entre 2019 et 2024, certaines caractéristiques des DPO ont évolué de manière significative. L’augmentation du nombre de DPO dans les petites structures, associée à la diversité des profils, soulève des questions sur l’efficacité des moyens mis à leur disposition pour accomplir leurs missions.

Chantiers à venir et points de vigilance pour la CNIL

Dans ce contexte, la CNIL s’engage à renforcer sa vigilance sur plusieurs points cruciaux :

1. Phase de désignation : Vérification des éléments à prendre en compte avant la désignation d’un DPO par le responsable de traitement.
2. Moyens alloués aux DPO : Assurer que les DPO disposent de suffisamment de temps, de ressources et de formations pour remplir leurs missions.
3. Information du DPO : S’assurer que le DPO soit intégré dès la phase de conception des projets de l’organisation.

Nouveaux outils pour soutenir les DPO

Pour faciliter leur travail, la CNIL propose de nouveaux outils en collaboration avec les associations de DPO. Ces outils incluent :

• Un modèle de rapport annuel pour structurer les activités du DPO.
• Une lettre de mission pour clarifier les attentes et les responsabilités.
• Des emails types pour la désignation des DPO et la communication avec les responsables de traitement.