Modèle de mandat DPO externe gratuit

Présentation

Le mandat DPO externe est le contrat par lequel une organisation confie la fonction de délégué à la protection des données (DPO) à un prestataire externe, personne physique ou personne morale, plutôt que de désigner un salarié en interne. L'article 37.6 du Règlement général sur la protection des données (RGPD) autorise expressément cette possibilité : le délégué à la protection des données peut exercer ses fonctions sur la base d'un contrat de service conclu avec une personne physique ou une organisation extérieure à l'organisme. Ce mandat est particulièrement adapté aux petites et moyennes structures qui n'ont pas la taille critique pour justifier un poste de DPO à temps plein en interne. Cas dans lesquels la désignation d'un DPO est obligatoire (article 37.1 du RGPD) : le traitement est effectué par une autorité ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle ; les activités de base du responsable de traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ; ou les activités de base du responsable de traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données (article 9 du RGPD) ou de données relatives à des condamnations pénales et à des infractions. En dehors de ces cas, la désignation reste facultative mais peut être recommandée. Contenu du mandat : la définition précise du périmètre d'intervention (le DPO externe peut n'être mandaté que pour une partie des traitements de l'organisme, ou pour l'ensemble) ; les modalités pratiques d'exercice de la mission (jours d'intervention, disponibilité, canal de contact avec l'organisme et avec les personnes concernées) ; la garantie explicite de l'indépendance fonctionnelle prévue par l'article 38 du RGPD, y compris pour un prestataire externe ; les modalités de rémunération ; l'obligation de confidentialité du DPO externe et de ses éventuels collaborateurs (article 38.5 du RGPD) ; les modalités de résiliation du mandat, en veillant à ce qu'elles ne puissent pas être utilisées pour sanctionner le DPO en raison de l'exercice normal de ses missions, ce qui serait contraire à l'article 38.3 du RGPD. Mutualisation : un DPO externe peut exercer ses fonctions pour plusieurs organismes simultanément (mutualisation), à condition qu'il soit facilement joignable par chacun d'eux et par les autorités de contrôle, et que d'éventuels conflits d'intérêts entre les organismes mandants soient identifiés et gérés. Erreurs à éviter : confier le mandat DPO à un prestataire qui exerce, par ailleurs, une fonction créant un conflit d'intérêts avec sa mission de contrôle indépendant (par exemple un responsable informatique du même groupe qui déciderait des moyens du traitement) ; ne pas préciser clairement le périmètre exact de la mission, ce qui peut créer une ambiguïté sur la responsabilité en cas de manquement ; rédiger des clauses de résiliation qui permettraient, en pratique, de sanctionner le DPO externe pour avoir exercé normalement sa mission d'alerte, ce qui serait contraire à l'indépendance garantie par le RGPD.

Informations à personnaliser

• Nom de l'organisation mandante

• Adresse de l'organisation mandante

• Nom du DPO externe (personne physique ou morale)

• Adresse du DPO externe

• Périmètre de la mission de DPO externe

  Ensemble des traitements de l'organisme, ou périmètre limité.

• Modalités pratiques d'intervention

  Ex. : jours d'intervention par mois, disponibilité, canal de contact.

• Le DPO externe intervient-il pour d'autres organismes en parallèle ?

  Préciser le cas échéant les modalités de gestion des conflits d'intérêts.

• Modalités de rémunération

• Durée du mandat

• Modalités de résiliation du mandat

• Date de signature du mandat

Personnalisez votre modèle

Questions fréquentes

Une entreprise est-elle obligée de désigner un DPO ?

Non, sauf dans les cas prévus par l'article 37.1 du RGPD : organismes publics, activités impliquant un suivi régulier et systématique à grande échelle des personnes, ou traitement à grande échelle de données sensibles ou relatives à des condamnations pénales. En dehors de ces cas, la désignation reste facultative mais peut être recommandée.

Un DPO peut-il être externe à l'organisation ?

Oui, l'article 37.6 du RGPD le prévoit expressément : le délégué à la protection des données peut exercer ses fonctions sur la base d'un contrat de service conclu avec une personne physique ou une organisation extérieure à l'organisme, ce que formalise le mandat DPO externe.

Un DPO externe peut-il intervenir pour plusieurs organismes en même temps ?

Oui, cette mutualisation est autorisée, à condition que le DPO reste facilement joignable par chacun des organismes et par les autorités de contrôle, et que d'éventuels conflits d'intérêts entre ces organismes soient identifiés et correctement gérés.

L'organisation peut-elle mettre fin au mandat si le DPO externe formule une critique gênante ?

Non. L'article 38.3 du RGPD interdit de relever le DPO de ses fonctions ou de le pénaliser pour l'exercice de ses missions. Une résiliation motivée par l'exercice normal de la mission d'alerte ou de conseil du DPO serait contraire à cette garantie d'indépendance.

Le DPO externe peut-il aussi être responsable des moyens du traitement ?

Non, cela créerait un conflit d'intérêts incompatible avec sa mission de contrôle indépendant. Le CEPD (Comité européen de la protection des données) recommande d'éviter de confier la fonction de DPO à une personne occupant, par ailleurs, un poste qui la conduirait à déterminer les finalités et les moyens du traitement des données.

Modèles associés