Nous utilisons des cookies pour améliorer votre expérience sur notre site. Les cookies strictement nécessaires au fonctionnement du service sont toujours actifs. En savoir plus sur notre politique cookies
L'engagement de confidentialité DPO est le document par lequel le délégué à la protection des données (DPO, Data Protection Officer) s'engage formellement à respecter la confidentialité des informations dont il a connaissance dans l'exercice de sa mission, conformément à l'article 38.5 du Règlement général sur la protection des données (RGPD), qui dispose que le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité, conformément au droit de l'Union ou au droit des États membres. Périmètre de la confidentialité : le DPO a accès, dans l'exercice de sa mission, à un ensemble d'informations particulièrement sensibles — le registre des traitements de l'organisme, les résultats des analyses d'impact relatives à la protection des données (AIPD), les échanges avec la CNIL, les incidents de sécurité et violations de données constatés, ainsi que, potentiellement, des données personnelles sensibles traitées par l'organisme. L'engagement de confidentialité vise à garantir que ces informations ne sont ni divulguées à des tiers non autorisés, ni utilisées à d'autres fins que l'exercice de la mission de DPO. Articulation avec l'indépendance du DPO : l'article 38 du RGPD garantit au DPO une indépendance fonctionnelle — il ne peut recevoir d'instruction concernant l'exercice de ses missions, ne peut être relevé de ses fonctions ou pénalisé pour l'exercice de ses missions, et fait directement rapport au niveau le plus élevé de la direction. L'engagement de confidentialité ne doit jamais être utilisé, en pratique, pour restreindre cette indépendance ou pour empêcher le DPO d'alerter la direction ou l'autorité de contrôle sur un manquement constaté — l'obligation de confidentialité porte sur la protection des informations sensibles, non sur le contenu des alertes légitimes du DPO dans l'exercice de sa mission. Quand l'utiliser : à la prise de fonction d'un DPO, qu'il soit interne (salarié de l'organisation) ou externe (DPO mutualisé ou prestataire), afin de formaliser son obligation de confidentialité indépendamment de toute clause de confidentialité générale qui pourrait figurer dans son contrat de travail ou son contrat de prestation. Erreurs à éviter : rédiger un engagement de confidentialité trop large qui empêcherait le DPO d'exercer effectivement sa mission de conseil et d'alerte, notamment vis-à-vis de la direction ou de la CNIL, ce qui serait contraire à l'indépendance garantie par l'article 38 du RGPD ; ne pas préciser la durée de l'engagement, qui doit en principe survivre à la fin des fonctions du DPO pour les informations dont il a eu connaissance pendant son mandat.
Nom de l'organisation
Nom du délégué à la protection des données (DPO)
Statut du DPO
DPO interne (salarié) ou DPO externe (prestataire, mutualisé).
Référence de l'acte de désignation du DPO
Ex. : contrat de travail, mandat DPO externe, courrier de désignation.
Nature des informations confidentielles concernées
Ex. : registre des traitements, AIPD, incidents de sécurité, données sensibles.
Durée de l'engagement de confidentialité
Ex. : durée du mandat, et postérieurement à sa cessation.
Date de signature de l'engagement
DPO interne (salarié) ou DPO externe (prestataire, mutualisé).
Ex. : contrat de travail, mandat DPO externe, courrier de désignation.
Ex. : registre des traitements, AIPD, incidents de sécurité, données sensibles.
Ex. : durée du mandat, et postérieurement à sa cessation.