Le profil des DPO en 2024 : Résultats de l’enquête menée par le ministère du Travail, la CNIL et l’AFCDP

L’essentiel : En 2024, le ministère du Travail, la CNIL et l’AFCDP ont publié les résultats de la quatrième enquête sur les Délégués à la Protection des Données (DPO). Réalisée auprès de 3 625 DPO, l’étude met en lumière l’influence de la taille des organisations sur les profils des DPO. Dans les grandes structures, les DPO juridiques sont prédominants, tandis que les petites structures favorisent des profils diversifiés. L’enquête révèle également que 78 % des DPO sont internes et que 51 % d’entre eux sont des femmes, soulignant une parité croissante dans cette profession essentielle à la protection des données.

En 2024, le ministère du Travail, la CNIL et l’Association Française des Correspondants à la protection des Données à caractère Personnel (AFCDP) ont publié les résultats de la quatrième enquête sur le profil des Délégués à la Protection des Données (DPO). Cette enquête, réalisée dans le cadre de l’Observatoire dédié au métier de DPO, a mobilisé 3 625 DPO répondants, avec une analyse approfondie de leurs parcours, de leur rôle et des défis auxquels ils sont confrontés.

Influence de la taille de l’organisation sur le profil du DPO

La taille des organisations joue un rôle déterminant dans la composition et les compétences des DPO :

• Dans les grandes organisations, les DPO avec des profils juridiques sont plus fréquemment représentés.
• Dans les plus petites structures, les DPO aux profils « hors informatique et juridique » sont davantage présents, reflétant une diversité d’expertises.

Données clés sur les DPO en 2024

L’enquête révèle des tendances importantes sur la démographie et les conditions de travail des DPO :

• 78 % des DPO exercent en tant que DPO internes.
• 70 % des DPO travaillent hors Île-de-France.
• 51 % des DPO sont des femmes, contre 49 % d’hommes, ce qui montre une parité dans la profession.
• 60 % des DPO possèdent une formation supérieure de niveau master ou doctorat.
• 69 % des DPO sont âgés de 40 ans et plus.
• 61 % des DPO ont une ancienneté dans la fonction de 3 à 5 ans.

Types de DPO et leurs modes d’exercice

En fonction de la structure de l’organisation, il existe trois types de DPO :

1. DPO interne : salarié d’un seul organisme.
2. DPO interne mutualisé : salarié partageant ses services entre plusieurs responsables de traitement.
3. DPO externe : indépendant ou salarié d’un organisme spécialisé (ex. : cabinet de conseil, cabinet d’avocats, organisme public).

DPO dans les petites structures : Moins de moyens, plus de défis

Un des résultats marquants de l’enquête est l’augmentation des DPO dans les structures de moins de 250 salariés. En effet, 57 % des DPO internes et mutualisés travaillent dans des structures de petite taille, soit une augmentation de 19 points par rapport à 2019. Toutefois, cette tendance s’accompagne de défis majeurs :

• Ces DPO, souvent issus de profils non juridiques ou non informatiques, disposent de moins de moyens pour accomplir leurs missions.
• Il existe un risque accru que ces DPO soient moins en capacité d’évaluer les risques et de mettre en œuvre des solutions efficaces pour assurer la protection des données.

Temps consacré aux missions de DPO et perception de leur rôle

• 85 % des DPO exercent à temps partiel, dont 61 % y consacrent moins de 25 % de leur temps de travail.
• Malgré cette limitation en termes de temps, 72 % des DPO estiment que leurs recommandations sont écoutées et suivies.
• 62 % des DPO sont sollicités lorsque la question de la conformité RGPD est abordée au sein des plus hautes instances.
• 91 % des DPO sont convaincus de l’utilité sociale de leur fonction, la considérant essentielle pour la protection des données des clients, usagers et citoyens.
• 54 % des DPO sont satisfaits de l’exercice de leurs missions.

Synthèse des évolutions et points de vigilance

Entre 2019 et 2024, certaines caractéristiques des DPO ont évolué de manière significative. L’augmentation du nombre de DPO dans les petites structures, associée à la diversité des profils, soulève des questions sur l’efficacité des moyens mis à leur disposition pour accomplir leurs missions.

Chantiers à venir et points de vigilance pour la CNIL

Dans ce contexte, la CNIL s’engage à renforcer sa vigilance sur plusieurs points cruciaux :

1. Phase de désignation : Vérification des éléments à prendre en compte avant la désignation d’un DPO par le responsable de traitement.
2. Moyens alloués aux DPO : Assurer que les DPO disposent de suffisamment de temps, de ressources et de formations pour remplir leurs missions.
3. Information du DPO : S’assurer que le DPO soit intégré dès la phase de conception des projets de l’organisation.

Nouveaux outils pour soutenir les DPO

Pour faciliter leur travail, la CNIL propose de nouveaux outils en collaboration avec les associations de DPO. Ces outils incluent :

• Un modèle de rapport annuel pour structurer les activités du DPO.
• Une lettre de mission pour clarifier les attentes et les responsabilités.
• Des emails types pour la désignation des DPO et la communication avec les responsables de traitement.

Q/R juridiques soulevées :

Quel est le rôle de la taille de l’organisation dans le profil des DPO ?

La taille des organisations influence significativement le profil et les compétences des Délégués à la Protection des Données (DPO). Dans les grandes organisations, on observe une prévalence de DPO ayant des formations juridiques, ce qui est logique étant donné la complexité des réglementations à respecter. En revanche, dans les petites structures, les DPO proviennent souvent de profils non juridiques ou non informatiques, ce qui reflète une diversité d’expertises. Cette diversité peut être bénéfique, mais elle peut également poser des défis en matière de compréhension des exigences légales et techniques liées à la protection des données.

Quelles sont les données clés sur les DPO en 2024 ?

L’enquête de 2024 a révélé plusieurs données clés concernant les DPO. Tout d’abord, 78 % des DPO exercent en tant que DPO internes, ce qui indique une intégration croissante de cette fonction au sein des organisations. De plus, 70 % des DPO travaillent hors de l’Île-de-France, ce qui montre une répartition géographique variée. En termes de genre, 51 % des DPO sont des femmes, ce qui témoigne d’une parité dans cette profession. Concernant la formation, 60 % des DPO possèdent un diplôme de niveau master ou doctorat, et 69 % d’entre eux ont plus de 40 ans. Enfin, 61 % des DPO ont une ancienneté de 3 à 5 ans dans leur fonction, ce qui suggère une certaine stabilité dans le domaine.

Quels sont les types de DPO et leurs modes d’exercice ?

Il existe trois types de DPO en fonction de la structure de l’organisation. Le premier est le DPO interne, qui est un salarié d’un seul organisme. Ce type de DPO est souvent en charge de la conformité et de la gestion des données au sein de l’organisation. Le deuxième type est le DPO interne mutualisé, qui partage ses services entre plusieurs responsables de traitement. Cela permet aux petites structures de bénéficier d’une expertise sans avoir à embaucher un DPO à temps plein. Enfin, le DPO externe est un professionnel indépendant ou salarié d’un organisme spécialisé, tel qu’un cabinet de conseil ou un cabinet d’avocats. Ce type de DPO peut offrir une perspective externe et une expertise variée, mais il peut également être moins intégré dans les opérations quotidiennes de l’organisation.

Quels défis rencontrent les DPO dans les petites structures ?

L’enquête a mis en lumière une augmentation du nombre de DPO dans les structures de moins de 250 salariés, avec 57 % des DPO internes et mutualisés travaillant dans ces petites structures. Cependant, cette tendance s’accompagne de défis majeurs. Les DPO dans ces petites structures, souvent issus de profils non juridiques ou non informatiques, disposent de moins de moyens pour accomplir leurs missions. Cela peut limiter leur capacité à évaluer les risques et à mettre en œuvre des solutions efficaces pour assurer la protection des données. De plus, le manque de ressources peut également affecter leur formation continue et leur développement professionnel, ce qui est crucial dans un domaine en constante évolution comme la protection des données.

Comment les DPO perçoivent-ils leur rôle et le temps qu’ils y consacrent ?

Une majorité de 85 % des DPO exercent à temps partiel, et parmi eux, 61 % consacrent moins de 25 % de leur temps de travail à leurs missions de DPO. Malgré cette contrainte de temps, 72 % des DPO estiment que leurs recommandations sont écoutées et suivies par leur organisation. De plus, 62 % des DPO sont sollicités lors des discussions sur la conformité RGPD au sein des instances dirigeantes, ce qui montre qu’ils jouent un rôle consultatif important. Il est également intéressant de noter que 91 % des DPO croient en l’utilité sociale de leur fonction, la considérant essentielle pour la protection des données des clients, usagers et citoyens. Cependant, seulement 54 % d’entre eux se disent satisfaits de l’exercice de leurs missions, ce qui souligne des points d’amélioration potentiels.

Quelles évolutions ont été observées entre 2019 et 2024 concernant les DPO ?

Entre 2019 et 2024, plusieurs évolutions significatives ont été observées concernant les DPO. L’une des plus marquantes est l’augmentation du nombre de DPO dans les petites structures, ce qui reflète une prise de conscience croissante de l’importance de la protection des données, même dans des organisations de taille réduite. Cette évolution s’accompagne d’une diversité croissante des profils des DPO, ce qui soulève des questions sur l’efficacité des moyens mis à leur disposition pour accomplir leurs missions. Il est crucial que les petites structures soient conscientes des défis auxquels elles font face et qu’elles prennent des mesures pour s’assurer que leurs DPO disposent des ressources nécessaires pour être efficaces.

Quels chantiers la CNIL prévoit-elle pour renforcer la protection des données ?

La CNIL s’engage à renforcer sa vigilance sur plusieurs points cruciaux pour améliorer la protection des données. Tout d’abord, elle se concentrera sur la phase de désignation des DPO, en vérifiant les éléments à prendre en compte avant la désignation d’un DPO par le responsable de traitement. Ensuite, la CNIL mettra l’accent sur les moyens alloués aux DPO, s’assurant qu’ils disposent de suffisamment de temps, de ressources et de formations pour remplir leurs missions efficacement. Enfin, il est essentiel que le DPO soit intégré dès la phase de conception des projets de l’organisation, afin de garantir que la conformité aux réglementations sur la protection des données soit prise en compte dès le départ.

Quels nouveaux outils la CNIL propose-t-elle pour soutenir les DPO ?

Pour faciliter le travail des DPO, la CNIL propose plusieurs nouveaux outils en collaboration avec les associations de DPO. Parmi ces outils, on trouve un modèle de rapport annuel qui permet de structurer les activités du DPO de manière claire et organisée. De plus, une lettre de mission est mise à disposition pour clarifier les attentes et les responsabilités des DPO, ce qui peut aider à éviter les malentendus et à définir des objectifs précis. Enfin, la CNIL propose également des emails types pour la désignation des DPO et la communication avec les responsables de traitement, ce qui peut simplifier les démarches administratives et améliorer la communication au sein des organisations.