dpdp-dpo

Gouvernance du DPO DPDP

Déclencheur

"configurer DPO", "gouvernance DPO", "nommer DPO", "charte DPO", "DPDP DPO", "mise en place responsable de la vie privée", "responsable des réclamations"

Objectif

Configurer et exécuter la fonction de Délégué à la Protection des Données (DPO) en vertu de la loi DPDP 2023 et de ses règles 2025. Couvre la nomination, la charte, la structure de gouvernance, l'indépendance et le reporting au conseil d'administration.

Base juridique

Obligation	Référence
Les responsables du traitement de données significatifs (SDF) doivent nommer un DPO	s.10(2)(a)
Le DPO représente le SDF en vertu de la loi	s.10(2)(a)(i)
Le DPO est basé en Inde	s.10(2)(a)(ii)
Le DPO est une personne physique responsable devant le conseil d'administration ou un organe dirigeant similaire	s.10(2)(a)(iii)
Le DPO est le point de contact pour le mécanisme de traitement des réclamations	s.10(2)(a)(iv)
Chaque responsable du traitement publie les coordonnées professionnelles de son DPO, ou d'une personne pouvant répondre aux questions des personnes concernées	s.8(9), Règle 9
Chaque responsable du traitement met en place un mécanisme efficace de traitement des réclamations	s.8(10), Règle 14(3)
Équivalent RGPD, lorsque les données de l'UE sont concernées	RGPD Art. 37-39

Un responsable du traitement qui n'est pas un SDF n'est pas tenu de nommer un DPO, mais doit tout de même publier une personne de contact (s.8(9)) et assurer le traitement des réclamations (s.8(10)). Un responsable senior de la vie privée ou un responsable des réclamations occupe généralement ces deux rôles.

Capacités

1. Charte DPO et mise en place de la gouvernance

1. Rédiger la Charte DPO : périmètre, autorité, ligne hiérarchique (au conseil d'administration, s.10(2)(a)(iii)), ressources, droits d'accès, protection contre les sanctions pour l'exercice de ses fonctions.
2. Établir la structure de gouvernance : Conseil d'administration > DPO > Équipe Vie privée, Juridique, RSSI, DSI/Ingénierie, RH.
3. Mettre en place les canaux de contact : boîte mail dédiée (dpo@org), publiée sur le site web et dans la politique de confidentialité (Règle 9), et un canal de signalement interne.
4. Enregistrer le DPO dans company-profile/{id}/details.json (champ dpo).
5. Sensibiliser le conseil d'administration aux obligations DPDP, aux dates d'entrée en vigueur échelonnées et au rôle du DPO.

Résultat : Document de la Charte DPO, structure de gouvernance, coordonnées publiées.

2. Programme de contrôle de la conformité

Calendrier annuel :

• T1 : révision de la politique de confidentialité et des avis ; mise à jour de la cartographie des données
• T2 : audit du consentement (sur échantillon) ; révision des contrats sous-traitants
• T3 : révision du programme d'évaluation d'impact sur la vie privée (DPIA) ; audit de fin de formation
• T4 : révision des SLA pour les droits et les réclamations ; révision des incidents et violations
• En continu : validation pour les nouveaux traitements, veille réglementaire (/reg-monitor)

Pour chaque activité : définir le périmètre et la méthode, exécuter ou superviser, documenter les résultats, émettre des actions correctives, les suivre via /remediate.

3. Reporting au conseil d'administration

Rapport trimestriel :

• Statut de conformité par dimension (issu de /posture)
• Demandes de droits reçues et traitées dans les délais SLA
• Réclamations reçues et résolues dans le délai de publication (plafond de 90 jours, Règle 14(3))
• Violations détectées et notifiées
• DPIA réalisées
• Audits des sous-traitants effectués
• Taux de réalisation des formations
• Mises à jour réglementaires et dates d'entrée en vigueur à venir
• Trois principaux risques liés à la vie privée avec mesures d'atténuation
• Résultats critiques non résolus et actions en retard

4. Indépendance et conflits d'intérêts

La DPDP ne liste pas les rôles conflictuels, mais un DPO qui définit les finalités et les moyens du traitement ne peut pas les examiner de manière crédible. Sont considérés comme conflictuels : PDG, DSI, RSSI, Directeur Marketing, Directeur RH. Sont compatibles : Responsable de la protection de la vie privée, un Responsable Conformité axé sur la vie privée, un DPO externe.

Documenter l'évaluation. En cas de conflit, recommander un changement structurel ou un DPO externe.

Garde-fous

• Le DPO relève du conseil d'administration, et non des services juridiques ou informatiques.
• Ne jamais approuver une DPIA présentant un risque résiduel inacceptable pour respecter une date de lancement.
• Toujours documenter les avis consultatifs par écrit.
• Ne jamais accepter une nomination au poste de DPO en cas de conflit d'intérêts non résolu.

Commandes

Invoquez la compétence directement, ou décrivez la tâche en français et Claude la prendra en charge.

Exécuter	Action
/dpdp-dpo setup	Configurer la structure de gouvernance et la charte
/dpdp-dpo monitoring	Exécuter le programme de contrôle de la conformité
/dpdp-dpo board-report	Préparer le rapport trimestriel au conseil
/dpdp-dpo independence	Évaluer le conflit d'intérêts