Tout sur le DPO

Observatoire de la fonction de DPO

Le métier de Délégué à la protection des données (DPD/DPO) est relativement nouveau au sein de nombreuses organisations privées ou publiques. Les conditions d’exercice, les formes d’emploi, les parcours ou compétences détenues ou attendues pour l’exercice du métier de DPD/DPO ont besoin d’être bien identifiés et compris afin d’apporter les bonnes réponses en termes d’emploi et de formation professionnelle. L’AFCDP s’est engagée aux côtés de la Délégation Générale à l’Emploi et à la Formation Professionnelle (DGEFP - Ministère du Travail), de l’Agence Nationale pour la Formation Professionnelle (AFPA) et de la CNIL afin d’identifier au mieux les dynamiques et les enjeux en termes d’emploi et de formation liées au RGPD. La DGEFP a confié à l’AFPA la réalisation d’une étude de grande ampleur sur la fonction de DPO.

Cette étude, qui s’est déroulée pour la première fois en 2019, un an après l’entrée en application du RGPD, s’appuie sur un questionnaire en ligne conçu avec la participation active de l’AFCDP et de la CNIL. Une seconde édition s’est déroulée en 2020, une troisième en 2021-2022 et une quatrième début 2024.

Découvrez les résultats complets de cette étude :

- édition 2024
- édition 2022
- édition 2020
- édition 2019
- et le premier observatoire réalisé par l’AFCDP en 2019.

========= L’édition 2024 de l’étude sur le métier de DPO ==========

Le Ministère du travail, de la santé et des solidarités a publié la quatrième enquête menée en 2024 dans le cadre de l’observatoire de la fonction de Délégué à la Protection des Données en partenariat avec la CNIL et l’AFCDP. L’étude a été confiée par la DGEFP à la Direction prospective de l’Afpa dans le cadre de ses misionsnationales de service public.

Cette enquête a mobilisé 3 625 DPO répondants.

Le profil des DPO en 2024 :

78% exercent leur fonction comme DPO interne
70% exercent hors Ile-de-France
51% de femmes et 49% d’hommes
60% sont issus de formation supérieure (niveau master ou doctorat)
69% sont âgés de 40 ans et plus
61% ont une ancienneté dans la fonction de 3 à 5 ans

Des éléments à retenir :

Une forte augmentation du nombre de DPO désignés auprès de la CNIL de 21 000 en 2019 à 34 440 en début 2024
72% des répondants DPO internes et mutualisés estiment que leurs recommandations sont écoutées et régulièrement suivies
62% des DPO répondants sont conviés sont conviés lorsque la thématique RGPD est abordée en plus haute instance
91% sont convaincus de l’utilité sociale de la fonction et du métier de DPO pour la protection des données personnelles des clients, des usagers, des citoyens
54% des répondants sont satisfaits de l’exercice de leur fonction
57% des répondants DPO internes et mutualisés travaillent dans des structures de moins de 250 salariés (+19 pts par rapport à 2019). Ce développement au sein de plus petites structures est souvent associé à moins de moyen et à la prédominance des profils de DPO issus de domaine d’expertise « hors juridique et informatique ». Ces évolutions amènent à une perception contrastée des enjeux du RGPD qui pourraient conduire une partie des DPO à moins bien percevoir les enjeux de leurs missions, les moyens à y associer et les attentes en termes de résultats. Par ces évolutions il en ressort une perception contrastée des enjeux du RGPD pouvant conduire certains DPO à moins bien percevoir leurs missions, moyens et résultats attendus.

Pour illustrer l’étude, plusieurs documents ont été réalisés :

- Une synthèse de l’ensemble des observations

et des fiches thématiques synthétisant les données clés :

- Caractéristiques et évolution des DPO de 2019 à 2024

- Qui sont les DPO internes et internes mutualisés des structures de moins de 250 salariés ?

- Qui sont les DPO internes et internes mutualisés issus de domaines d’expertise hors informatique et juridique ?

- Qui sont les DPO récemment désignés auprès de la CNIL ?

Ces documents sont consultables sur les sites de la CNIL et de l’AFCDP.

========== L’édition 2022 de l’étude sur le métier de DPO ==========

Elle s’appuie sur une enquête réalisée auprès de 1 811 DPO désignés auprès de la CNIL, interrogés entre septembre et octobre 2021. Grâce à la mobilisation et aux témoignages des DPO, cette étude met en valeur les grandes dynamiques et évolutions du métier entre 2019 et 2021.

Augmentation du nombre de DPO, passant de 21 000 en 2018 à 28 810 en 2021.

Diversification des profils : 47 % sont issus d’autres domaines d’expertise que le domaine juridique et informatique (+ 12 point depuis 2019).
Ils proviennent notamment d’autres domaines tels que les fonctions administratives et financières, la qualité, la conformité-audit.
Vécu professionnel positif : 58 % sont satisfaits de l’exercice de leur fonction et 87 % convaincus de l’utilité de leur fonction. Ils souhaitent également poursuivre leurs missions avec une forte motivation à 67 %.
Une formation en baisse, un manque de moyens : 42 % exercent cette fonction de façon isolée par rapport aux autres DPO (+ 14 points).
1/3 n’ont suivi aucune formation informatique et Libertés/RGPD depuis 2016 (+ 7 points) alors qu’ils proviennent de plus en plus d’environnement hors Informatique et juridique.

Le profil d’un DPO en 2021

72 % exercent leur fonction comme DPO interne
29 % exercent en Île-de-France
Égale représentation des femmes et des hommes
62 % sont issus de formation supérieure, de niveau 7 ou 8
63 % sont âgés de 40 et plus
55 % ont une ancienneté dans la fonction de DPO de 2 ans et moins

Étude DGEFP/AFPA 2022 - Synthèse des résultats

Cette synthèse est complétée par une analyse spécifique consacrée aux besoins de formation exprimés par les DPO :

Étude DGEFP/AFPA 2022 - Les besoins de formation des DPO

========== L’enquête effectuée en 2020 ==========

L’enquête effectuée en 2020 auprès de 1600 Délégués à la protection des données, fait suite à celle qui a été réalisée en mars-avril 2019 (voir ci-dessous).
Elle fait l’objet de plusieurs publications.

D’une part, une synthèse des résultats qui présente les premiers enseignements :

Étude DGEFP/AFPA 2020 - Synthèse des résultats

D’autre part, une présentation des résultats complets de l’étude, avec l’ensemble des questions traitées :

Étude DGEFP/AFPA 2020 - Résultats complets

Par ailleurs, un « focus » est consacré à une analyse complémentaire, qui porte sur la place et les moyens du DPO au sein des organisations :

Étude DGEFP/AFPA 2020 - Focus sur la position et les moyens du DPO

========== L’enquête de 2019 ==========

Une enquête en ligne très ambitieuse a été réalisée en mars–avril 2019, avec pour objectif de mieux comprendre les conditions d’exercice, les formes d’emploi ou d’activité, les parcours ou compétences détenues ou attendues pour l’exercice du métier de délégué à la protection des données.

1.598 professionnels de la conformité au RGPD y ont répondu : 859 DPO internes, 196 DPO internes mutualisés, 210 DPO externes et 333 professionnels en charge de la protection des données personnelles (personnes non désignées auprès de la CNIL, Relais Informatique et Libertés, Adjoints du DPO, etc.).

Quels en sont les enseignements ?

Les premiers résultats de l’étude ont été dévoilés le 26 juin 2019 à l’occasion de la conférence "Vive le DPO", organisée par l’AFCDP et qui s’est tenue à la Maison de la Chimie (Paris).

Il est intéressant de noter que...
- Les DPO de profils informaticiens sont encore (de peu) les plus nombreux
- Que seuls 39,7 % des DPO disposent d’un budget dédié (ce qui ne signifie pas automatiquement qu’ils ne disposent pas des moyens nécessaires)
- Que 59 % des DPO estiment que leurs recommandations sont toujours ou souvent écoutées et suivies par le responsable de traitement (Ce score monte à plus de 76 % pour les DPO externes)
- Que 40,3 % des DPO disent être "systématiquement" ou "Très souvent" consultés en amont des projets (donc, à l’inverse...)
- Que 73,7 % des DPO recommanderaient "sans hésiter" ou "probablement" leur métier à un jeune
- Que près des ¾ sont satisfaits de leur fonction de DPO
- Que 40,5 % des DPO externes ont moins de deux ans d’expérience... mais que 20,5 % d’entre eux disent avoir plus de dix ans d’expérience dans le domaine
- Que 24,6 % des DPO externes avouent ne pas maîtriser le sujet ("Plusieurs concepts importants m’échappent encore" et "Je suis encore très loin de maîtriser tous ces textes")
- Que, certes, près de 72 % des DPO disent avoir suivi une formation... mais que celle-ci n’a été que de un à cinq jours
- et que 40% des DPO estiment que la fonction est stressante

Descriptif de la fonction de DPO

L’étude a été l’occasion de réaliser un descriptif détaillé de la fonction de Délégué à la protection des données.

Ce descriptif comporte une analyse du contexte, des conditions d’exercice, du positionnement et de l’autonomie dans l’organisation, et des mission du métier de DPO.

Il réunit en outre plusieurs annexes :

- Les articles 37,38 et 39 du RGPD relatifs au DPO
- Le référentiel de certification des compétences du DPO de la CNIL
- La fiche de poste DPO de l’AFCDP
- Le modèle de lettre de mission AFCDP
- La fiche fonction DPO du CNFPT
- La charte de déontologie AFCDP

Cartographie de l’offre de formation

En complément, l’étude de la DGEFP a été l’occasion d’établir une cartographie de l’offre de formation.

Les auteurs de l’étude se sont appliqués à explorer l’offre de formation existante et/ou à venir et à comprendre comment les écoles, universités, centres de formation se sont saisis du sujet, ont construit ou adapté leur offre afin de répondre aux nouvelles exigences sur la protection des données personnelles et à l’évolution des pratiques professionnelles.

L’étude s’est attachée à identifier les organismes de formation offrant des durées significatives, à explorer la diversité des offres, des contenus pédagogiques, des caractéristiques des publics accueillis.

Quelles suites vont être données à cette étude ?

L’AFCDP, qui regroupe et représente les professionnels concernés, voit confortés dans les résultats de cette étude à laquelle elle s’est investie son axe stratégique relatif à la défense et à la promotion du métier (Fiche de poste de DPO, Lettre de mission du DPO, Job board du DPO, liste des formations pour DPO, Charte de déontologie du DPO, etc.).

Elle va poursuivre les travaux en totale synergie avec l’AFPA et le Ministère du travail pour étudier plus précisément certain points précis, notamment liés aux besoins criants de formation.

Elle a aussi suggéré que cette étude soit reconduite afin de constater les évolutions et les tendances.

========== Le premier observatoire ==========

En 2019, l’AFCDP publiait un premier « Observatoire du Métier de DPO ».

Cette initiative venait compléter une série d’actions prises depuis plusieurs années par l’AFCDP concernant « l’employabilit des DPO : lettre de mission, fiche de poste, charte de déontologie, job board dédié, etc.

Outre l’estimation du nombre annuel de postes de DPO, d’assimilés DPO et d’assistants au DPO, l’Observatoire du Métier du DPO, comportait sept autres indicateurs : le nombre d’offres détectées chaque mois, la répartition par type d’offre, la durée des CDD, les répartitions par secteur géographique et entre privé et public, la « séniorit du poste proposé et la qualité de DPO désigné auprès de la CNIL.

L’Observatoire du Métier de DPO dévoilé par l’AFCDP est en lien direct avec le Job board gratuit et dédié au DPO créé il y a plusieurs années.

« Il faut rappeler que l’AFCDP a été créée en 2004 sur l’idée que le Correspondant Informatique et Libertés – précurseur de l’actuel Délégué à la Protection des Données – était un métier et pas seulement une fonction » indiquait Paul-Olivier Gibert, Président de l’association qui regroupe les professionnels de la conformité au RGPD, « et nous n’avons eu de cesse ces dernières années que de prendre une série d’initiatives qui concourent à l’employabilité des DPO. Nous sommes ainsi à l’origine de son code ROME, de la création de la toute première formation longue au niveau européen, de la formalisation d’une fiche de poste, d’une lettre de mission, d’une charte de déontologie. Cet Observatoire s’inscrit donc pleinement dans notre démarche » précisait-il.