RSSI et DPO : clarifier les passages de relais

Les équipes sécurité et protection des données examinent souvent le même système sous des angles différents. Le RSSI se demande si les accès, la résilience et le traitement des risques sont adéquats. Le DPO conseille sur la licéité des traitements, les droits des personnes, les garanties et la conformité en matière de protection des données. Leurs travaux se recoupent, mais leurs pouvoirs ne doivent pas devenir interchangeables.

Pour la direction, la question pratique n'est pas simplement de savoir qui porte quel titre. Il s'agit de savoir qui fournit les faits, qui conseille, qui met en œuvre et qui prend la décision dont il répond. Ces distinctions comptent lorsqu'un produit est lancé, qu'un fournisseur change ou qu'un incident impose d'agir avant la fin de l'investigation.

Un dispositif viable donne aux deux fonctions une visibilité précoce tout en préservant l'indépendance du DPO. Il établit aussi clairement que la désignation de spécialistes, internes ou externes, ne transfère pas la responsabilité du responsable du traitement quant aux décisions relatives aux traitements.

Séparer les mandats avant d'attribuer les postes

Les responsabilités d'un RSSI dépendent de la gouvernance de l'organisation. Le titre peut désigner un dirigeant à la tête d'une fonction sécurité, un spécialiste qui pilote un système de management de la sécurité de l'information ou un conseiller à temps partagé. Un responsable de la sécurité de l'information peut avoir un champ d'action plus restreint. Définissez le mandat au lieu de supposer que le titre suffit à le fixer.

Le DPO dispose de missions et de protections légales spécifiques en vertu des articles 37 à 39 du RGPD. Il s'agit notamment d'informer et de conseiller, de contrôler le respect du règlement, de conseiller sur les analyses d'impact relatives à la protection des données, de coopérer avec l'autorité de contrôle et de faire office de point de contact pour celle-ci. Le DPO doit faire directement rapport au niveau le plus élevé de la direction et ne recevoir aucune instruction en ce qui concerne l'exercice de ces missions.

La sécurité couvre davantage que les données personnelles. Une attaque par rançongiciel touchant des plans d'ingénierie ou la planification de la production relève de la sécurité même si aucune donnée personnelle n'est en jeu. La protection des données couvre davantage que la sécurité : une base de données bien protégée peut contenir des informations collectées sans base légale adéquate ou conservées inutilement.

Le territoire commun inclut les mesures techniques et organisationnelles fondées sur le risque exigées par l'article 32 du RGPD. Les contrôles d'accès, les dispositifs de rétablissement et les tests peuvent servir les deux fonctions. Des preuves partagées sont utiles ; elles ne rendent pas pour autant les évaluations sous-jacentes identiques.

Déterminer les rôles dont votre organisation a réellement besoin

Évaluer l'obligation de désigner un DPO indépendamment de la planification des effectifs

Un DPO n'est pas automatiquement obligatoire pour toutes les organisations. En vertu de l'article 37 du RGPD, la désignation est obligatoire pour les autorités ou organismes publics, sous réserve de l'exception relative aux juridictions, ainsi que pour les organisations dont les activités de base comportent soit un suivi régulier et systématique à grande échelle, soit un traitement à grande échelle de catégories particulières de données ou de données relatives aux condamnations pénales et aux infractions.

Ne réduisez pas cette évaluation à la taille de l'entreprise. Une organisation relativement petite peut mener des traitements qui imposent une désignation, tandis que l'effectif seul ne répond pas au critère du RGPD. Le droit national peut imposer des obligations de désignation supplémentaires. En Allemagne, évaluez les règles nationales complémentaires plutôt que de vous fonder exclusivement sur l'article 37 ou sur un seuil d'effectif dont vous vous souvenez.

Conservez une évaluation de la désignation identifiant les entités, les activités de traitement et les juridictions concernées, les motifs de la conclusion et les événements qui déclencheraient une réévaluation. Un nouveau service de suivi, une acquisition ou le passage à des traitements de données sensibles peuvent modifier la réponse.

Lorsqu'aucun DPO n'est requis, attribuez tout de même les responsabilités en matière de protection des données. Les bases légales, la transparence, l'exercice des droits, la sécurité et les obligations de responsabilité ne disparaissent pas. Utilisez le titre formel de DPO en connaissance de cause : une désignation volontaire doit être traitée comme un véritable rôle de DPO, et non comme une simple étiquette pour un contact administratif.

Distinguer la responsabilité de la sécurité d'une obligation universelle de RSSI

Le RGPD ne prévoit aucune obligation générale de désigner une personne portant le titre de RSSI. D'autres règles sectorielles ou nationales peuvent influer sur la gouvernance de la sécurité ; évaluez-les donc séparément.

L'ISO/IEC 27001 exige que les responsabilités et autorités relatives au SMSI couvert soient attribuées ; elle ne prescrit pas d'intitulé de poste universel. Les contrats clients peuvent aussi exiger un contact sécurité nommément désigné, des responsabilités définies ou des preuves d'assurance particulières.

Pour les organisations concernées, les articles 20 à 23 de la directive NIS2 traitent de la supervision par les organes de direction, des mesures de gestion des risques en matière de cybersécurité et de la notification des incidents. NIS2 est transposée en droit national, et son applicabilité dépend du secteur, de la taille, du service et des règles d'inclusion, et non du seul effectif. Pour les activités en Allemagne, utilisez les recommandations du BSI relatives à NIS2 en complément de la législation applicable.

La décision de la direction est donc double : déterminer les exigences légales et contractuelles, puis doter en ressources le travail de sécurité nécessaire à l'exploitation de l'entreprise. Un intitulé de poste sans autorité, sans capacité ni accès ne résout aucun de ces deux problèmes.

Évaluer les conflits d'intérêts au regard des pouvoirs de décision réels

L'article 38, paragraphe 6, du RGPD permet au DPO d'exécuter d'autres missions à condition qu'elles n'entraînent pas de conflit d'intérêts. Le cumul des rôles n'est pas automatiquement interdit, mais il exige une évaluation de fond. La question centrale est de savoir si la personne détermine des finalités et des moyens de traitement sur lesquels elle doit ensuite conseiller ou exercer un contrôle en toute indépendance.

Examinez les pouvoirs attachés à la désignation envisagée :

• La personne peut-elle décider pourquoi des données de salariés ou de clients sont collectées ?
• Peut-elle choisir des outils de surveillance, en définir le périmètre ou fixer la durée de conservation ?
• Approuve-t-elle des systèmes ou des dispositifs de traitement plutôt que de seulement conseiller ?
• Contrôlerait-elle des décisions qu'elle a prises dans un autre rôle ?
• Peut-elle faire part de ses préoccupations directement à la direction sans incitation contraire ?

Un RSSI qui approuve des dispositifs de surveillance des salariés présente un profil de conflit différent de celui d'un conseiller en sécurité qui formule des recommandations sans pouvoir de décision. Les postes de direction informatique, RH et générale méritent une attention particulière, mais les intitulés de poste ne suffisent pas à une évaluation complète.

Documentez les missions de l'autre fonction, les pouvoirs délégués, les lignes hiérarchiques et les garanties. Réexaminez l'évaluation lorsque les responsabilités évoluent. Un suppléant ou un relecteur indépendant peut contribuer à la continuité et à l'assurance, mais ne remédie pas automatiquement à une désignation incompatible.

Recommandation pratique : séparez les rôles lorsque la fonction sécurité dispose d'une autorité substantielle sur les traitements de données personnelles. Ne justifiez pas une double désignation au seul motif que l'entreprise est petite ou que la personne inspire confiance. La confiance ne supprime ni l'autocontrôle ni les responsabilités concurrentes.

Les désignations externes appellent le même examen. L'externalisation peut apporter une indépendance vis-à-vis des lignes hiérarchiques internes, mais des conflits peuvent toujours naître de mandats qui se chevauchent ou des intérêts du prestataire.

Définir les passages de relais autour des tâches récurrentes

Une matrice de responsabilités doit décrire des décisions et des livrables, et pas seulement une participation. Évitez les lignes du type « sécurité et protection des données conjointement responsables » qui n'identifient pas qui doit agir ensuite.

Ce qui suit est un point de départ pratique, et non une répartition légale de chaque obligation :

Évolutions produit : effectuer le premier passage de relais suffisamment tôt pour qu'il compte

Pour une nouvelle plateforme client, le responsable métier doit énoncer la finalité visée et les décisions relatives au traitement. Fournissez une courte note de changement couvrant les catégories de données, les personnes concernées, les systèmes, les fournisseurs, les accès, la conservation et la date de déploiement prévue. Ajoutez un schéma des flux de données lorsqu'il facilite la compréhension du dispositif.

La sécurité évalue ensuite les menaces et les protections : accès à privilèges, authentification, cloisonnement, journalisation, sauvegarde et rétablissement, ainsi que les preuves nécessaires avant la mise en production. Les spécialistes de la protection des données évaluent la base légale, la transparence, la minimisation, la conservation, les relations de traitement et la nécessité éventuelle d'une AIPD. En vertu de l'article 35 du RGPD, une AIPD est requise lorsque le traitement est susceptible d'engendrer un risque élevé ; consultez le DPO lorsqu'il en a été désigné un.

Le passage de relais doit produire des conclusions explicites plutôt que des approbations séparées et inexpliquées. Consignez, le cas échéant, l'avis du DPO, la décision métier, les conditions de mise en production et le responsable de chaque action restante. Si la direction ne suit pas l'avis, conservez son raisonnement et faites remonter les préoccupations juridiques non résolues. L'acceptation d'un risque métier ne peut pas rendre licite un traitement illicite.

Définissez des déclencheurs de réexamen tels que de nouvelles données sensibles, une surveillance des salariés, des finalités modifiées, des accès sensiblement élargis ou un nouveau fournisseur. C'est plus utile que d'exiger les mêmes documents pour chaque modification mineure d'interface.

Intégration d'un fournisseur : séparer l'assurance sécurité de la licéité du traitement

Le responsable métier doit identifier le service, les données concernées et ce que le fournisseur fera réellement. La sécurité évalue les éléments d'assurance pertinents, les modalités d'accès, le soutien en cas d'incident et la résilience. La protection des données évalue si le fournisseur est sous-traitant, responsable du traitement indépendant ou un autre intervenant dans le dispositif de traitement.

Lorsque l'article 28 s'applique, le contrat doit comporter les clauses de sous-traitance requises. Les transferts internationaux exigent une évaluation distincte ; un contrat de sous-traitance ou un lieu d'hébergement privilégié ne règle pas cette question.

Convenez de qui obtient les preuves manquantes et de qui négocie les modifications contractuelles. Une erreur fréquente consiste à traiter le questionnaire de sécurité comme la revue complète, en laissant inexplorés les rôles dans le traitement, les sous-traitants ultérieurs, la suppression et les transferts. Une autre consiste à négocier des clauses de protection des données sans comprendre l'accès technique réel du fournisseur.

Le livrable doit indiquer quel service et quelle configuration ont été évalués, les conditions acceptées, les questions ouvertes et les déclencheurs de réévaluation. Les changements importants touchant les accès, les sous-traitants ultérieurs ou les lieux de traitement doivent parvenir aux deux fonctions.

Incidents : échanger les faits avant d'avoir des certitudes

En cas de violation présumée, la sécurité investigue pendant que la protection des données évalue les conséquences pour les personnes concernées et la notification. Aucune des deux équipes ne doit attendre un rapport finalisé pour partager les informations pertinentes.

Un premier passage de relais doit indiquer ce qui s'est passé, quand cela a été détecté, quels systèmes et quelles données peuvent être concernés, si la confidentialité, l'intégrité ou la disponibilité a été affectée, quelles mesures de confinement ont été prises et ce qui reste inconnu. Désignez une personne chargée de tenir la chronologie et d'informer les deux fonctions à mesure que les faits évoluent.

En vertu de l'article 33 du RGPD, le responsable du traitement doit notifier la violation à l'autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu'elle ne soit pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Le sous-traitant doit notifier le responsable du traitement dans les meilleurs délais. Consignez l'évaluation du moment de la prise de connaissance ; ne supposez pas que chaque alerte initiale fait courir le délai légal, ni qu'une certitude forensique complète soit nécessaire avant d'agir.

L'article 34 peut imposer une communication aux personnes concernées en cas de risque élevé, sous réserve de ses exceptions. Convenez de qui coordonne les échéances, prépare les notifications, autorise les communications et conserve les preuves. Documentez les violations de données personnelles, y compris le raisonnement lorsque la notification est jugée inutile. Des faits manquants peuvent justifier une notification échelonnée plutôt qu'un silence pendant la poursuite de l'investigation.

Pour un incident touchant une entité relevant de NIS2, évaluez en parallèle s'il atteint le seuil applicable de notification des incidents importants. La directive prévoit une alerte précoce sous 24 heures, une notification d'incident sous 72 heures et, en général, un rapport final dans un délai d'un mois après la notification ; vérifiez les règles nationales et sectorielles. Ces déclencheurs et ces destinataires diffèrent de ceux du RGPD ; il ne s'agit pas d'un processus de notification unique et interchangeable.

Demandes d'exercice des droits : distinguer le soutien opérationnel de la responsabilité de la réponse

Les demandes d'exercice des droits nécessitent souvent l'appui de la sécurité et de l'informatique pour vérifier l'identité de manière proportionnée, localiser les informations, protéger les données de tiers et transmettre la réponse de façon sécurisée. La protection des données coordonne l'évaluation juridique, avec l'avis du DPO le cas échéant. Le responsable du traitement reste responsable de la réponse.

En vertu de l'article 12 du RGPD, le délai de réponse habituel est d'un mois. Une prolongation de deux mois supplémentaires peut être possible si nécessaire, à condition d'en informer la personne et d'en indiquer les motifs dans le premier mois. Les demandes sont en principe gratuites, avec des conditions limitées pour facturer des frais ou refuser.

Consignez qui est responsable de l'échéance, quels systèmes doivent être interrogés et qui approuve la communication. N'exigez pas par défaut des pièces d'identité excessives et ne laissez pas un export technique devenir une réponse non relue. Un processus opérationnel partagé peut relier l'évaluation de la protection des données aux recherches et aux contrôles de transmission décrits dans le traitement des demandes d'accès.

Choisir une désignation interne ou externe selon les compétences et l'accès

L'article 37, paragraphe 6, du RGPD permet expressément que la fonction de DPO soit exercée par un membre du personnel ou sur la base d'un contrat de service. La direction de la sécurité peut aussi être externalisée dans le cadre d'un dispositif organisationnel, sous réserve des exigences applicables et d'un mandat clair.

Un DPO interne peut avoir une connaissance approfondie de l'entreprise et un accès facile à ses collègues. L'organisation doit néanmoins lui fournir expertise, ressources, temps protégé, indépendance et suppléance. Un DPO externe peut apporter une expérience spécialisée et une capacité supplémentaire, mais il a besoin d'un accès fiable aux évolutions produit, aux contrats, aux évaluations et aux incidents. Aucun des deux modèles ne fonctionne si le DPO n'apprend les décisions qu'après leur mise en œuvre.

Comparez l'ensemble des besoins opérationnels plutôt que le seul salaire face à un forfait. Tenez compte de la formation, du conseil spécialisé, de la suppléance en cas d'absence, du temps de coordination, des pics liés aux projets et des prestations hors périmètre facturées en sus. Il n'existe aucune règle universelle fiable selon laquelle l'externalisation serait moins coûteuse.

Pour les mandats externes, convenez :

• Des contacts nommément désignés, des suppléants, des voies d'escalade et de l'accès au niveau le plus élevé de la direction.
• Des revues, réunions, formations et du soutien en cas d'incident inclus.
• De modalités de réponse adaptées aux sujets urgents et courants.
• De la manière dont les informations, les avis et les décisions seront documentés et conservés.
• De la confidentialité, des limites d'accès, de la gestion des conflits et des modalités de sortie.

Si un même prestataire assure les deux fonctions, vérifiez qui exerce chaque mandat et comment les conflits sont gérés. Des noms différents dans une proposition ne suffisent pas si la même personne détermine et contrôle les décisions de traitement.

Désignez un coordinateur interne disposant de l'autorité nécessaire pour obtenir les informations et relancer la mise en œuvre. Des spécialistes externes ne peuvent ni évaluer des systèmes qui ne leur ont pas été signalés ni faire appliquer des actions dont personne en interne n'est responsable. La direction conserve les décisions relatives au budget et aux priorités métier, et le responsable du traitement conserve sa responsabilité au titre du RGPD en vertu de l'article 24.

Adapter le dispositif à la charge de travail

Pour une organisation plus petite qui n'est pas tenue de désigner un DPO, un responsable protection des données et un responsable sécurité nommément désignés peuvent suffire, avec un conseil spécialisé disponible pour les questions difficiles. C'est différent d'une désignation formelle comme DPO.

Lorsqu'un DPO est requis mais que les candidats internes détiennent une autorité opérationnelle incompatible, une désignation externe mérite d'être envisagée. Associez-la à une responsabilité interne de la mise en œuvre plutôt que d'attendre du prestataire qu'il gère chaque tâche de protection des données.

Lorsque les exigences d'assurance des clients imposent la mise en place d'un SMSI et que l'expérience interne en sécurité est limitée, une direction de la sécurité externalisée peut soutenir les travaux initiaux. Décidez qui maintiendra ensuite les appréciations des risques, les preuves et le reporting à la direction ; une mission ponctuelle ne doit pas laisser de vide de responsabilité à son terme.

Une organisation établie peut assurer les deux fonctions en interne, à condition de protéger l'indépendance du DPO et de prévoir une capacité suffisante. La décision doit suivre la charge de travail, les compétences et l'autorité réelles, et non l'idée que l'interne serait toujours meilleur ou l'externe toujours plus simple.

Exemple détaillé : un industriel qui prépare un portail client

Prenons l'exemple illustratif d'un industriel de 200 salariés, doté d'une petite équipe informatique et projetant un portail pour le support client et la maintenance des machines. Supposons que le portail contiendra les coordonnées des clients, les historiques d'intervention et les relevés d'activité des techniciens. Les clients demandent aussi une gouvernance de la sécurité documentée. Ces faits sont hypothétiques et ne constituent pas une conclusion juridique valable pour tout industriel de cette taille.

La direction commande d'abord des évaluations distinctes de l'obligation de désigner un DPO et de l'applicabilité des règles sectorielles de cybersécurité. Elle ne déduit pas le champ d'application de NIS2 du seul effectif. Elle réexamine aussi la désignation existante du directeur informatique comme DPO, car ce directeur choisit les systèmes et approuve leur exploitation.

Après avoir évalué les conflits et la capacité, l'entreprise désigne un DPO externe et un responsable sécurité à temps partagé. Le directeur informatique est responsable de la livraison technique, le directeur du service après-vente est responsable des finalités de traitement et des exigences métier du portail, et un coordinateur interne tient le registre des actions. Le directeur général parraine les décisions et arbitre les conflits de ressources.

Pendant la conception, la sécurité recommande une journalisation détaillée des activités afin d'enquêter sur les abus. La protection des données relève que les journaux révèlent aussi le comportement des techniciens. Le directeur du service après-vente explique le besoin opérationnel ; la sécurité propose un accès restreint et un usage d'investigation défini ; la protection des données évalue la nécessité, la transparence et la conservation. L'avis du DPO est consigné avant que le responsable qui répond de la décision ne fixe la configuration. Le DPO n'approuve pas la conception de la journalisation à la place de la direction.

Le dossier de lancement contient la description des flux de données, l'évaluation des fournisseurs, les constats de sécurité, le résultat de la présélection AIPD, les actions de protection des données et les conditions de mise en production acceptées. Chaque action non résolue a un responsable et une échéance.

La direction organise ensuite un exercice sur table portant sur un compte du portail compromis. La sécurité fournit un premier dossier de faits ; la protection des données évalue le préjudice possible ; le coordinateur suit les échéances d'évaluation ; et le responsable habilité gère les communications. L'exercice révèle que les coordonnées d'urgence du DPO externe manquaient dans la procédure de gestion des incidents. Corriger cette petite lacune rend le passage de relais utilisable sous pression.

Rendre la collaboration vérifiable sans tout partager

Donnez aux désaccords une voie d'escalade identifiée. Les arbitrages techniques peuvent remonter au responsable du service et au sponsor de la direction ; les préoccupations de conformité non résolues doivent parvenir au niveau le plus élevé de la direction par la voie de rapport indépendante du DPO. Conservez les avis divergents au lieu de réécrire le dossier pour laisser croire à un accord.

Ne partagez que les informations dont chaque rôle a besoin, en particulier dans les investigations sensibles. Le DPO doit avoir accès aux informations pertinentes sur les traitements en vertu de l'article 38 du RGPD, mais cela ne justifie pas de diffuser des dossiers bruts de salariés ou des éléments forensiques à chaque participant d'un projet. Utilisez des limites d'accès et des synthèses expurgées de manière appropriée, sans retenir les faits nécessaires à l'évaluation.

La direction devrait suivre quelques signaux opérationnels : changements mis en œuvre avant consultation, actions en retard après un avis, incidents ayant fait l'objet d'une escalade transverse tardive et incertitudes répétées sur le pouvoir de décision. Ces signaux révèlent les défaillances de gouvernance plus clairement que le décompte des politiques ou des réunions.

Une revue de direction pratique doit se conclure par des décisions, et pas seulement par des rapports mis à jour. Si les évaluations arrivent régulièrement trop tard, modifiez le déclencheur d'entrée des projets. Si des actions restent ouvertes faute de capacité dans les équipes, attribuez des ressources ou révisez le plan de livraison. Si personne ne sait identifier le décideur, corrigez la délégation avant d'accepter une nouvelle mise en production.

Gardez la trace qui en résulte concise : le sujet, les avis pertinents de la sécurité et de la protection des données, la décision et son responsable, son raisonnement, les responsables des actions et une date de réexamen. Distinguez une lacune de preuves d'une mesure mise en œuvre qui a échoué. Elles appellent des suites différentes, même lorsque toutes deux apparaissent comme une tâche ouverte.

Questions que la direction devrait trancher explicitement

Le DPO doit-il approuver chaque lancement ?

Le RGPD définit un rôle de conseil et de contrôle, et non une obligation universelle d'approbation par le DPO avant mise en production. Une organisation peut instaurer des étapes de consultation, mais elle doit distinguer la consultation du pouvoir de lancement du responsable métier. Une consultation menée à son terme n'établit pas non plus que le traitement est licite.

Les preuves de sécurité peuvent-elles suffire aux revues de protection des données ?

Elles peuvent les étayer. Les comptes rendus de revue des accès ou les tests de rétablissement peuvent alimenter une évaluation au titre de l'article 32. Ils n'établissent ni une base légale, ni une transparence adéquate, ni une durée de conservation justifiée. Identifiez l'affirmation que chaque élément prouve plutôt que de traiter un lot de preuves comme une approbation de tout.

Commencer par deux processus et une piste de preuves réduite

Commencez par les évolutions produit et la gestion des incidents. Pour chacun, nommez le responsable de l'entrée, les informations requises, les déclencheurs de réexamen, le pouvoir de décision, la voie d'escalade et les modalités de suppléance. Testez les deux avec des cas réalistes avant d'étendre la matrice.

Secani relie exigences, preuves, responsables, tâches et décisions de revue dans un contexte partagé. Pour un périmètre de service ciblé, les équipes peuvent modéliser les systèmes et fournisseurs concernés, rattacher les preuves aux exigences ou décisions qu'elles étayent et transformer les questions de revue sans réponse en tâches assignées. Planifiez les limites d'accès pour les contributeurs internes et externes ; le rôle documenté de l'API OSCAL n'accorde qu'un accès à la validation. Maintenez une revue humaine explicite des suggestions assistées par IA et conservez les sources, commentaires, approbations et horodatages.

L'étape suivante concrète est une séance commune réunissant le responsable métier, le responsable sécurité, l'équipe protection des données et le DPO. Faites passer une évolution à venir et un incident plausible par les passages de relais proposés. Partout où le groupe ne sait pas identifier qui agit ensuite, améliorez le processus avant le prochain cas urgent.