Les missions et obligations des DPO ou des conseillers en protection des données découlent d'une part des exigences minimales de la loi applicable, par exemple le RGPD, et d'autre part des accords individuels conclus avec l'entreprise concernée.

Conformément à l'art. 39 RGPD, les DPO exercent les fonctions suivantes :

1. Information et conseil au responsable du traitement ou au sous-traitant et aux employés qui effectuent les traitements, en ce qui concerne leurs obligations au titre du présent règlement ainsi que d'autres dispositions du droit de l'Union ou des États membres en matière de protection des données ;
2. Contrôle du respect du présent règlement, d'autres dispositions du droit de l'Union ou des États membres en matière de protection des données, ainsi que des politiques du responsable du traitement ou du sous-traitant en matière de protection des données personnelles, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation des employés participant aux opérations de traitement, et les audits s'y rapportant ;
3. Conseil – sur demande – en ce qui concerne l'analyse d'impact relative à la protection des données et vérification de l'exécution de celle-ci conformément à l'article 35 ;
4. Coopération avec l'autorité de contrôle ;
5. Rôle de point de contact pour l'autorité de contrôle pour les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et consultation, le cas échéant, sur tout autre sujet.

Cela signifie en pratique que les DPO doivent effectuer des audits réguliers de protection des données afin de signaler les lacunes dans la gestion de la protection des données et de planifier des mesures. La mise en œuvre et la décision sur les mesures incombent toutefois à l'entreprise elle-même. Par ailleurs, les DPO conseillent l'entreprise sur toutes les questions relatives à la protection des données et forment les employés en conséquence. La formation générale des employés est souvent dispensée sous forme de webinaires.

Les rapports annuels des DPO remplissent plusieurs fonctions importantes. Parmi celles-ci :

• Rapport sur les mesures prises et les vulnérabilités identifiées au cours de l'année écoulée.
• Établissement des ressources engagées et du budget nécessaire pour l'année suivante.
• Identification des mesures nécessaires par ordre de priorité, sur la base desquelles la direction peut allouer des ressources.

En cas de constat d'infraction par les autorités de protection des données, ce rapport annuel sert à décharger les DPO de leur responsabilité. Il permet en outre à la direction de prendre une décision fondée sur les risques concernant la mise en œuvre des mesures proposées.

‍