Recruter un DPO avec une vraie culture sécurité

Beaucoup d'organisations ont désigné un délégué à la protection des données pour être en règle, puis découvrent à la première violation de données qu'il ne parle pas la même langue que l'équipe sécurité. Or le RGPD fait de la sécurité des traitements une obligation à part entière. Ce guide vous aide à définir le poste, à choisir le bon profil d'origine et à vérifier en entretien que votre futur DPO saura travailler main dans la main avec le RSSI.

Ce que le RGPD attend du DPO

Le cadre est posé par les articles 37 à 39 du règlement (UE) 2016/679, consultable sur eur-lex.europa.eu. La CNIL publie sur cnil.fr des fiches pratiques qui en détaillent l'application.

La désignation est obligatoire dans trois cas : les autorités et organismes publics, les organismes dont l'activité de base consiste en un suivi régulier et systématique de personnes à grande échelle, et ceux qui traitent à grande échelle des données sensibles ou relatives aux condamnations pénales. En dehors de ces cas, beaucoup d'entreprises en désignent un volontairement.

Le texte fixe aussi plusieurs règles qui pèsent directement sur le recrutement :

Les compétences : le DPO est désigné sur la base de ses qualités professionnelles, en particulier de ses connaissances spécialisées du droit et des pratiques en matière de protection des données.
Interne ou externe : il peut être un salarié ou intervenir dans le cadre d'un contrat de service. Un groupe peut désigner un DPO unique pour plusieurs entités.
L'indépendance : il ne reçoit aucune instruction pour l'exercice de ses missions, ne peut être sanctionné pour les avoir exercées et fait rapport au plus haut niveau de la direction.
Les conflits d'intérêts : il peut exercer d'autres missions, à condition qu'elles n'entraînent pas de conflit d'intérêts.
Les moyens : l'organisme doit lui donner les ressources nécessaires et l'associer en temps utile à toutes les questions de protection des données.

Ses missions légales sont d'informer et de conseiller, de contrôler le respect du règlement, de conseiller sur les analyses d'impact et de coopérer avec la CNIL, dont il est le point de contact.

Pourquoi la culture sécurité fait la différence

Sur le papier, le DPO est un rôle de conformité. Dans la pratique, une grande partie de son travail touche la sécurité.

La sécurité des traitements : l'article 32 impose des mesures techniques et organisationnelles adaptées au risque. Le DPO doit pouvoir juger si le chiffrement, la gestion des accès ou les sauvegardes décrits par la DSI sont réels et suffisants.
Les violations de données : l'article 33 impose de notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes. Pendant ces 72 heures, le DPO travaille avec l'équipe de réponse à incident. Il doit comprendre ce qu'on lui dit sur le périmètre compromis, les journaux disponibles et les données exfiltrées.
Les analyses d'impact (AIPD) : elles demandent d'évaluer des risques sur les personnes, et donc de comprendre les menaces techniques qui pèsent sur un traitement.

Un DPO sans aucune culture technique devient dépendant de ce que la DSI veut bien lui expliquer. Un DPO qui comprend les bases peut poser les bonnes questions, repérer une réponse vague et faire avancer les sujets sans créer de friction inutile.

DPO, RSSI, analyste GRC : qui fait quoi

Ces trois rôles se croisent souvent et se confondent parfois. Clarifier la frontière avant de publier l'annonce évite bien des malentendus.

Rôle	Ce qu'il protège	Missions principales	Point d'attention
DPO	Les droits et libertés des personnes dont les données sont traitées	Registre des traitements, AIPD, droits des personnes, violations, lien avec la CNIL	Indépendance et absence de conflit d'intérêts imposées par le RGPD
RSSI	Le système d'information et les actifs de l'organisation	Politique de sécurité, gestion des risques cyber, pilotage des mesures et des incidents	Il décide de mesures que le DPO doit pouvoir contrôler
Analyste GRC	La conformité aux référentiels et la qualité des preuves	Analyses de risques, suivi des écarts, questionnaires, fournisseurs	Souvent un appui précieux pour le DPO comme pour le RSSI

La question du cumul avec le RSSI

Dans les petites structures, la tentation est forte de confier les deux casquettes à la même personne. Le risque est réel : le DPO doit pouvoir contrôler des mesures de sécurité que le RSSI a lui-même décidées. Les lignes directrices européennes sur le DPO citent les fonctions de direction, dont la direction informatique, parmi celles qui créent typiquement un conflit d'intérêts. Avant tout cumul, analysez la situation au cas par cas et documentez votre raisonnement. Si votre organisation n'a pas la taille pour deux postes, notre article sur le RSSI à temps partagé ou à temps plein ouvre d'autres pistes.

D'où viennent les bons DPO

Il n'existe pas de parcours unique. Chaque vivier apporte ses forces et ses angles morts.

Les juristes spécialisés en données personnelles

Ils maîtrisent le texte, la jurisprudence et la doctrine de la CNIL. Ils rédigent avec précision et savent arbitrer une base légale. Point à vérifier : leur aisance face à un schéma d'architecture ou à un rapport d'incident.

Les profils issus de la sécurité ou de l'informatique

Anciens administrateurs, chefs de projet informatique, consultants en sécurité. Ils comprennent les mesures techniques et repèrent vite ce qui manque. Point à vérifier : leur rigueur juridique et leur capacité à défendre les droits des personnes face aux arbitrages métier.

Les profils GRC, audit et conformité

Ils connaissent la logique de preuve, les référentiels et le suivi des plans d'action. Notre guide pour recruter un analyste GRC détaille ce vivier. Point à vérifier : leur connaissance réelle du RGPD au-delà des grands principes.

La CNIL a mis en place une certification des compétences du DPO, délivrée par des organismes agréés. Elle atteste un socle de connaissances, ce qui est utile, mais elle ne dit pas comment le candidat se comporte face à une violation un vendredi soir. Notre article sur ce que disent vraiment les certifications s'applique aussi ici.

Les compétences à vérifier

Concentrez l'évaluation sur ce que le poste exige au quotidien :

Maîtrise du RGPD : bases légales, durées de conservation, droits des personnes, transferts hors Union européenne.
Lecture technique : comprend-il ce que recouvrent une journalisation, un chiffrement au repos, une revue des droits d'accès ?
Gestion des violations : sait-il qualifier une violation, évaluer le risque pour les personnes et préparer une notification ?
Conduite d'une AIPD : sait-il animer l'exercice avec les métiers et la technique, et en tirer des mesures concrètes ?
Évaluation des sous-traitants : lit-il un accord de traitement et un questionnaire de sécurité avec un regard critique ?
Pédagogie : sait-il expliquer une contrainte à un responsable marketing sans le braquer ?
Posture d'indépendance : est-il capable de tenir une position face à la direction, avec des arguments ?

Une étude de cas qui révèle le niveau

Les questions générales sur le RGPD montrent ce qu'un candidat a lu. Un cas concret montre comment il raisonne. Voici un exercice simple à préparer.

Remettez au candidat un court scénario : l'équipe sécurité vient de détecter qu'un compte de service d'un outil de gestion de la relation client a été utilisé depuis une adresse inhabituelle, et qu'un export de la base clients a été lancé. Les journaux couvrent une partie seulement de la période. Demandez-lui :

Les questions qu'il pose à l'équipe sécurité dans la première heure.
Comment il évalue le risque pour les personnes et s'il recommande de notifier la CNIL, et éventuellement d'informer les personnes concernées.
Ce qu'il consigne dans le registre des violations, même si la notification n'est pas retenue.
Les trois mesures qu'il demanderait pour éviter que cela se reproduise.

Un bon candidat distingue ce qu'il sait de ce qu'il suppose, ne tranche pas sans les éléments techniques et sait expliquer sa recommandation en quelques phrases à la direction. Faites participer le RSSI ou un membre de l'équipe sécurité à cet échange : la qualité de la conversation entre eux est en soi un signal. Pour construire l'ensemble du processus, appuyez-vous sur notre méthode pour évaluer les compétences en cybersécurité.

Les erreurs fréquentes

Désigner un DPO sans moyens : un DPO sans temps, sans budget ni accès à la direction ne remplit pas les exigences du RGPD et ne sert à rien en cas de crise.
Choisir uniquement sur le diplôme : un excellent juriste peut se retrouver démuni face à une violation de données s'il n'a jamais travaillé avec une équipe technique.
Ignorer le conflit d'intérêts : nommer le directeur informatique ou le RSSI DPO par commodité expose l'organisation.
Oublier les formalités : les coordonnées du DPO doivent être publiées et communiquées à la CNIL.
Isoler le DPO : sans rituel régulier avec le RSSI et la DSI, chacun découvre les sujets de l'autre trop tard.
Sous-estimer la rémunération : elle varie avec le secteur, la sensibilité des données traitées et l'étendue du périmètre. Un profil qui combine droit et sécurité est rare, fixez une fourchette réaliste dès le départ.

En résumé

Un bon DPO protège les personnes, et il le fait d'autant mieux qu'il comprend la sécurité des systèmes qui traitent leurs données. Pour le recruter, clarifiez la frontière avec le RSSI et l'analyste GRC, choisissez le vivier qui complète le mieux votre équipe et évaluez le candidat sur une violation de données simulée plutôt que sur une récitation du règlement.

Vous cherchez un DPO capable de dialoguer avec votre équipe sécurité, ou un profil GRC pour l'épauler ? Chez Cyber Recrut, un recruteur et un praticien de la sécurité cadrent le besoin avec vous, et nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques. Découvrez notre méthode ou parlez-nous de votre besoin.