Collaboration DPO et RSSI : sécuriser et mettre en conformité

La protection des données et la sécurité informatique ne peuvent plus être traitées en silos. En 2026, les organisations qui maintiennent encore cette séparation s’exposent à des sanctions financières majeures et des failles de sécurité critiques. La multiplication des cadres réglementaires (RGPD, NIS2, DORA, AI Act) impose une collaboration DPO et RSSI structurée et outillée.

Cette convergence n’est pas qu’une contrainte administrative. Elle permet d’optimiser les budgets, d’éviter les doublons et de réagir plus rapidement aux incidents. Le DPO et le RSSI partagent un objectif fondamental : protéger le patrimoine informationnel de l’entreprise. Leurs approches se complètent naturellement.

Qui fait quoi : périmètres et responsabilités

Le RSSI (Responsable de la Sécurité des Systèmes d’Information) pilote la sécurité technique de l’ensemble du système d’information. Il évalue les menaces, déploie les mesures de protection et gère la réponse aux incidents. Son approche couvre le triptyque classique : Disponibilité, Intégrité, Confidentialité (DIC).

Concrètement, le RSSI :

Définit l’architecture de sécurité (pare-feu, antivirus, chiffrement)
Supervise la surveillance des systèmes (SOC, SIEM)
Coordonne la réponse aux incidents de sécurité
Évalue les risques liés aux fournisseurs IT
Forme les équipes techniques aux bonnes pratiques

Le DPO (Délégué à la Protection des Données) se concentre sur la conformité réglementaire des traitements de données personnelles. Il conseille l’organisation sur l’application du RGPD et s’assure que les droits des personnes concernées sont respectés.

Le DPO intervient sur :

La tenue du registre des traitements
La réalisation des Analyses d’Impact (AIPD)
La gestion des demandes d’exercice de droits
Les notifications de violations à la CNIL
La formation des métiers aux enjeux de protection des données

Ces missions se recoupent naturellement. Un incident de sécurité peut impacter des données personnelles. Une AIPD nécessite une évaluation technique des mesures de protection. C’est là que la collaboration devient indispensable.

L’impact des nouvelles réglementations

NIS2 veut étendre considérablement le périmètre des entités soumises à des obligations de cybersécurité. Elle impose des mesures techniques et organisationnelles qui recoupent largement les exigences de l’article 32 du RGPD.

Cette convergence réglementaire crée une opportunité : un même contrôle peut servir à démontrer la conformité à plusieurs référentiels. Par exemple, la mise en œuvre d’un chiffrement robuste répond aux exigences NIS2 sur la protection des systèmes ET aux obligations RGPD sur la sécurité des données personnelles.

DORA (Digital Operational Resilience Act) va plus loin en imposant aux acteurs financiers une gestion intégrée des risques IT et opérationnels. Le RSSI ne peut plus piloter la résilience technique sans coordination avec le DPO sur les aspects de protection des données clients.

Cette multiplication des référentiels rend la gestion manuelle impossible. Les organisations qui s’accrochent aux fichiers Excel pour piloter leur conformité s’exposent à des erreurs majeures et à une surcharge de travail insoutenable.

Retours d’expérience : quand la coordination fait la différence

Affaire Cdiscount (janvier 2021)
Un cadre de l’entreprise copie illégalement des données clients. Le service informatique détecte rapidement l’anomalie grâce aux outils de surveillance déployés par le RSSI. Le DPO peut alors notifier l’incident dans les délais réglementaires et documenter les mesures prises. La sanction reste mesurée grâce à cette réaction coordonnée.

Cette affaire illustre l’importance de l’outillage technique. Sans les logs du RSSI, le DPO n’aurait pas pu évaluer précisément l’étendue de la violation ni démontrer les actions de limitation des dégâts.

Affaire Dedalus Biologie (février 2021)
500 000 dossiers patients exposés sur des forums cybercriminels. Amende record de 1,5 million d’euros. Le problème résidait dans un défaut de coordination sur l’évaluation des sous-traitants. Le DPO avait validé les clauses contractuelles, mais personne n’avait vérifié la réalité technique des mesures de sécurité du prestataire.

Cette défaillance aurait pu être évitée avec un processus d’audit automatisé des tiers, piloté conjointement par le DPO (aspects contractuels) et le RSSI (aspects techniques).

Discord Inc. (novembre 2022)
800 000 euros d’amende pour des comptes inactifs non supprimés et des manquements à l’information des utilisateurs. Le problème venait d’un défaut de coordination sur la purge des données. Le DPO connaissait les durées de conservation légales, mais les équipes techniques n’avaient pas implémenté les scripts de suppression automatique.

Organiser le partage d’information

La collaboration efficace repose sur des rituels simples mais réguliers. Pas de réunions fleuve, mais des points techniques hebdomadaires sur les sujets critiques :

Point incident hebdomadaire

Revue des alertes de sécurité de la semaine
Évaluation de l’impact sur les données personnelles
Suivi des actions de remédiation

Revue mensuelle des projets

Validation des nouvelles applications (Privacy & Security by Design)
Évaluation des nouveaux fournisseurs
Mise à jour du registre des traitements et de la cartographie des risques

Reporting trimestriel consolidé

KPI de sécurité et de conformité
Synthèse des audits et des actions correctives
Présentation à la direction générale

L’utilisation d’une plateforme collaborative permet de sortir du ping-pong par email. Chaque modification du registre des traitements est automatiquement notifiée au RSSI. Chaque nouvelle vulnérabilité identifiée est évaluée par le DPO pour son impact sur les données personnelles.

Gestion commune des incidents de sécurité

Un incident de sécurité impliquant des données personnelles déclenche des obligations légales strictes : notification à la CNIL sous 72 heures, information des personnes concernées si le risque est élevé, documentation complète de l’événement.

Cette gestion nécessite une coordination millimétrée :

H+0 : Détection et confinement
Le RSSI prend la main sur la réponse technique : isolation des systèmes compromis, analyse forensique, éradication de la menace.

H+1 : Évaluation de l’impact sur les données personnelles
Le DPO analyse les informations collectées par le RSSI pour déterminer si l’incident constitue une violation au sens du RGPD. Il évalue le nombre de personnes concernées, les types de données impactées et les risques pour les droits et libertés.

H+24 : Préparation de la notification
Le DPO rédige la notification à la CNIL en s’appuyant sur l’analyse technique du RSSI. Il faut décrire précisément les mesures de sécurité qui ont failli, celles qui ont permis de limiter l’impact, et les actions de remédiation mises en œuvre.

H+72 : Notification officielle
La notification est transmise à la CNIL. Le dossier technique consolidé par le RSSI et le DPO sert de base à toute communication ultérieure.

Cette coordination ne s’improvise pas. Elle nécessite des procédures documentées et testées régulièrement.

Mutualiser l’évaluation des fournisseurs

La gestion des tiers représente un défi majeur pour les deux fonctions. Le RGPD impose une évaluation des sous-traitants sur leurs capacités à protéger les données personnelles. NIS2 exige une évaluation des fournisseurs critiques sur leur niveau de cybersécurité.

Plutôt que de mener des audits séparés, DPO et RSSI peuvent mutualiser leurs questionnaires :

Questionnaire juridique (piloté par le DPO)

Localisation géographique des traitements
Durées de conservation appliquées
Procédures d’exercice des droits
Clauses contractuelles de protection des données

Questionnaire technique (piloté par le RSSI)

Architecture de sécurité (chiffrement, accès, logs)
Politique de sauvegarde et de continuité d’activité
Gestion des correctifs de sécurité
Certifications détenues (ISO 27001, SOC 2)

L’automatisation de ce processus via des outils comme Make IT Safe permet de centraliser les réponses et de déclencher des réévaluations périodiques. Plus besoin de relancer manuellement 50 fournisseurs tous les ans.

L’AIPD comme projet collaboratif

L’Analyse d’Impact relative à la Protection des Données (AIPD) illustre parfaitement la complémentarité DPO/RSSI. Le DPO identifie le besoin d’une AIPD et définit le cadre juridique. Le RSSI apporte son expertise technique pour évaluer les risques et proposer des mesures de protection.

Phase 1 : Cadrage (DPO)

Identification des données personnelles traitées
Finalités et base légale du traitement
Durées de conservation et transferts prévus

Phase 2 : Analyse technique (RSSI)

Cartographie des flux de données
Identification des menaces sur le SI
Évaluation de la robustesse des mesures de sécurité

Phase 3 : Synthèse collaborative

Évaluation du risque résiduel
Validation des mesures de mitigation
Documentation finale et suivi des actions

Cette approche garantit que l’AIPD ne reste pas un exercice théorique mais s’appuie sur une analyse technique rigoureuse.

Sortir de la gestion manuelle

Les fichiers Excel ont atteint leurs limites. Ils ne permettent pas de gérer la complexité croissante des obligations réglementaires ni de garantir la cohérence des informations partagées entre DPO et RSSI.

Les organisations matures adoptent des plateformes de GRC (Gouvernance, Risques et Conformité) qui centralisent :

Le registre des traitements RGPD
La cartographie des risques cyber
Le suivi des audits et des plans d’action
Les preuves de conformité multi-référentielle

Make IT Safe répond à cette problématique en offrant une vue consolidée des enjeux de sécurité et de conformité. Le DPO et le RSSI travaillent sur la même base de données, avec des droits d’accès adaptés à leurs responsabilités respectives.

Cette centralisation permet d’automatiser une grande partie des tâches administratives : génération des rapports réglementaires, relances automatiques des plans d’action, alertes en cas de dérive des indicateurs.

Construire une culture de la donnée responsable

La sensibilisation des collaborateurs représente un enjeu majeur pour les deux fonctions. Plutôt que de multiplier les communications parfois contradictoires, DPO et RSSI gagnent à porter un message unifié.

Campagnes de sensibilisation communes

Phishing et protection des données personnelles
Bonnes pratiques de mots de passe et confidentialité
Gestion sécurisée des documents sensibles

Formation des équipes métier

Privacy & Security by Design dans les projets
Évaluation des risques avant tout nouveau traitement
Réflexes de sécurité au quotidien

Cette approche évite la lassitude des collaborateurs face à des messages perçus comme redondants et renforce l’impact des actions de sensibilisation.

Lever les obstacles organisationnels

La collaboration DPO/RSSI bute parfois sur des résistances internes. Quelques facteurs de succès permettent de les surmonter :

Soutien de la direction générale
Les enjeux de cybersécurité et de protection des données doivent être portés au niveau du CODIR. Sans sponsoring exécutif, les initiatives restent fragiles.

Clarification des responsabilités
Une matrice RACI (Responsible, Accountable, Consulted, Informed) permet d’éviter les zones grises et les conflits de périmètre.

Outils partagés
L’utilisation d’une plateforme commune élimine les frictions liées aux échanges de fichiers et aux versions contradictoires.

Mesure de la performance
Des KPI partagés (taux de conformité, délai de réponse aux incidents, couverture des audits fournisseurs) objectivent les progrès de la collaboration.

L’avenir de la gouvernance des données

L’intelligence artificielle transforme déjà la gestion des risques cyber et de la conformité. Les outils de détection automatique des données sensibles permettent de maintenir à jour le registre des traitements sans intervention manuelle massive.

L’IA facilite aussi l’analyse des logs de sécurité pour identifier les anomalies susceptibles d’impacter des données personnelles. Cette automatisation libère du temps pour les tâches à haute valeur ajoutée : conseil aux métiers, négociation avec les fournisseurs, réflexion stratégique sur la gouvernance des données.

La souveraineté numérique devient un critère de choix majeur. Confier la gestion de ses vulnérabilités et de ses registres RGPD à des outils dont on ne maîtrise pas l’hébergement pose des questions évidentes de cohérence. Les solutions françaises et européennes gagnent en maturité et représentent une alternative crédible aux plateformes américaines.