# RNCP38106 - Délégué à la protection des données - DPO (DU) **Code:** RNCP38106 **État:** Publiée ## L'essentiel - **Nomenclature du niveau de qualification:** Niveau 7 - **Codes NSF:** 128, 326 - **FormaCodes:** 13238, 31006 - **Date d'échéance de l'enregistrement:** 18-10-2026 - **Date d'enregistrement:** 18-10-2023 - **Type d'enregistrement:** Enregistrement sur demande ## Certificateur(s) - UNIVERSITE D EVRY VAL D ESSONNE - SIRET: 19911975100014 ## Résumé de la certification ### Objectifs et contexte de la certification Le métier de Délégué à la Protection des Données (DPO), au carrefour du droit, de la sécurité informatique, de la compliance et de l’éthique nécessite l'acquisition de compétences transverse à plusieurs champs d'activité. Cette fonction a été créée par le Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des données, dit « RGPD ». L'article 38 du texte dispose que le délégué à la protection des données est « désigné sur la base de ses qualités professionnelles, et en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données ». Le DPO doit avoir des compétences juridiques mais également des compétences techniques en matière de sécurité de l’information afin de lui permettre de comprendre ces systèmes. Enfin il disposer de compétences organisationnelles afin de structurer la gestion de la protection des données dans son entreprise, notamment dans les grands groupes ou les organismes comportant de multi-établissements. L'objectif de ce titre à finalité professionnelle est de certifier des professionnels compétents sur les aspects juridique, technique et organisationnel que requière la fonction de DPO . ### Activités visées Conseiller l’entreprise dans l’application des principes fondamentaux de la protection des données et dans l’information à communiquer aux personnes concernées Participer à l’élaboration des contrats avec les partenaires et les sous-traitants et gérer ces relations tout au long de leur cycle de vie Identifier les violations de données personnelles et assister l’entreprise dans leur notification à l’autorité de contrôle et leur communication aux personnes concernées Être l’interface entre l’entreprise et les autorités de contrôle en matière de protection des données personnelles en France et en Europe Assister l’entreprise dans la gestion des transferts de données hors Union européenne Conseiller l'entreprise sur l’obligation de procéder à une analyse d'impact et en superviser l’exécution le cas échéant Appréhender les aspects normatifs relatifs à la cybersécurité Réagir en cas de violations de données et anticiper les risques Identifier ou participer à l'identification des mesures de protection des données dès la conception et par défaut adaptées aux risques et à la nature des opérations de traitement Elaborer et mettre en œuvre une politique ou des règles internes en matière de protection des données Organiser et participer à des audits en matière de protection des données Gérer un système de management de la protection des données personnelles (RGPD) Etablir des procédures pour recevoir et gérer les demandes d'exercice des droits des personnes concernées Communiquer y compris dans des situations de gestion de crise Gérer une fonction de DPO au niveau d’un groupe de société ### Compétences attestées Définir les principes fondamentaux applicables à un traitement de données pour identifier le cadre juridique applicable à chacun des traitements mis en œuvre par un organisme Connaître et appliquer le cadre juridique de la sous-traitance pour être en mesure de participer l'élaboration de contrat de sous-traitance et de gérer des partenariats Assister l'entreprise dans le traitement des violations de données personnelles en identifiant les violations nécessitant une notification à l'autorité de contrôle et celles nécessitant une communication aux personnes concernées Gérer les relations avec les autorités de contrôle en connaissant leur rôle respectif, leurs missions, le mécanisme de l’autorité chef de file, etc. Identifier l'existence de transferts de données hors Union européenne et déterminer les instruments juridiques de transfert susceptibles d'être utilisés pour garantir la conformité d'un organisme aux règles de protection des données Déterminer s'il est nécessaire ou non d'effectuer une analyse d'impact relative à la protection des données (AIPD), dispenser des conseils sur cette analyse et en vérifier l'exécution pour garantir la conformité d'un organisme aux règles de protection des données Connaître les normes applicables en matière de sécurité des systèmes d’information pour mettre en place les mesures de sécurité adaptées et limiter les risques de violation de données Identifier ou participer à l’identification des mesures de sécurité à mettre en place quant aux données personnelles et contrôler ou faire contrôler leur mise en œuvre en collaborant avec les opérationnels en charge de ces questions Mettre en œuvre les principes de protection des données dès la conception et par défaut en les adaptant aux risques et à la nature des opérations de traitement Organiser un plan de management de la conformité en identifiant les ressources nécessaires à son déploiement Organiser et participer à des audits en matière de protection des données Mobiliser les fondamentaux de la gestion de projet pour mettre en œuvre un système de management de la protection des données Etablir des procédures pour recevoir et gérer les demandes d'exercice des droits des personnes concernées Communiquer sur le plan de management de la conformité et les résultats afin de se sensibiliser les acteurs de l'entreprise et de favoriser leur adhésion Gérer un réseau de correspondants afin d'organiser la gouvernance de la protection des données au sein du Groupe ## Blocs de compétences ### RNCP38106BC01 - Assurer la conformité d'un organisme aux règles de protection des données **Liste de compétences:** Définir les principes fondamentaux applicables à un traitement de données pour identifier le cadre juridique applicable à chacun des traitements mis en œuvre par un organisme Connaître et appliquer le cadre juridique de la sous-traitance pour être en mesure de participer l'élaboration de contrat de sous-traitance et de gérer des partenariats Assister l'entreprise dans le traitement des violations de données personnelles en identifiant les violations nécessitant une notification à l'autorité de contrôle et celles nécessitant une communication aux personnes concernées Gérer les relations avec les autorités de contrôle en connaissant leur rôle respectif, leurs missions, le mécanisme de l’autorité chef de file, etc. Identifier l'existence de transferts de données hors Union européenne et déterminer les instruments juridiques de transfert susceptibles d'être utilisés pour garantir la conformité d'un organisme aux règles de protection des données Déterminer s'il est nécessaire ou non d'effectuer une analyse d'impact relative à la protection des données (AIPD), dispenser des conseils sur cette analyse et en vérifier l'exécution pour garantir la conformité d'un organisme aux règles de protection des données **Modalités d'évaluation:** 1 cas pratique juridique (épreuve certificative) QCM individuel relevant d'un contrôle continu ### RNCP38106BC02 - Gérer les risques dans le domaine technique **Liste de compétences:** Connaître les normes applicables en matière de sécurité des systèmes d’information pour mettre en place les mesures de sécurité adaptées et limiter les risques de violation de données Identifier ou participer à l’identification des mesures de sécurité à mettre en place quant aux données personnelles et contrôler ou faire contrôler leur mise en œuvre en collaborant avec les opérationnels en charge de ces questions Mettre en œuvre les principes de protection des données dès la conception et par défaut en les adaptant aux risques et à la nature des opérations de traitement **Modalités d'évaluation:** 1 cas pratique technique sous la forme d'un devoir individuel (épreuve certificative) QCM individuel de contrôle des connaissances techniques relevant d'un contrôle continu ### RNCP38106BC03 - Mettre en œuvre une démarche de management de la protection des données personnelles et en assurer la gouvernance **Liste de compétences:** Organiser un plan de management de la conformité en identifiant les ressources nécessaires à son déploiement Organiser et participer à des audits en matière de protection des données Mobiliser les fondamentaux de la gestion de projet pour mettre en œuvre un système de management de la protection des données Etablir des procédures pour recevoir et gérer les demandes d'exercice des droits des personnes concernées Communiquer sur le plan de management de la conformité et les résultats afin de se sensibiliser les acteurs de l'entreprise et de favoriser leur adhésion Gérer un réseau de correspondants afin d'organiser la gouvernance de la protection des données au sein du Groupe **Modalités d'évaluation:** Réalisation de deux projets collectifs (productions en sous-groupe visant à traiter collectivement une problématique relative à la protection des données personnelles, et prenant la forme d'un écrit (d'une quinzaine de pages hors annexe) et d'une présentation orale) ## Secteur d'activité et type d'emploi ### Secteurs d'activités Le DPO est désigné par son (ses) responsable(s) de traitement auprès de la CNIL, soit de façon obligatoire au titre de l’article 37du RGPD, soit de façon volontaire. Le DPO exerce ses missions dans des structures du secteur non marchand (administration, collectivité territoriale, association) ou marchand. La majorité des DPO exercent dans le secteur marchand et dans des entreprises privées. Ils peuvent également exercer au sein de cabinets conseil indépendants ou minoritairement dans d'autres structures. Lorsqu'ils exercent dans le secteur non marchand, ils peuvent exercer dans des organismes du secteur public ou assimilé, dans une administration publique ou une collectivité territoriale, ou parfois dans une association. Tous les secteurs d’activités et type d’entreprise sont concernés et la désignation d’un DPO est obligatoire à partir du moment où : a) le traitement est effectué par une autorité publique ou un organisme public, à l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle ; b) les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ; ou c) les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 du RGPD ou de données à caractère personnel relatives à des condamnations pénales et à des infractions visées à l’article 10 du RGPD. ### Type d'emplois accessibles Délégué à la protection des données ou Data Protection Officier (DPO), chargé de conformité en matière de protection des données, compliance officer ### Code(s) ROME K1903 ### Références juridiques des réglementations d'activité L'exercice du métier de Délégué à la protection des données n'est pas réglementé mais ce professionnel travaille en s'appuyant sur un cadre réglementaire précis: * Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il constitue le texte de référence en matière de protection des données personnelles. Ses dispositions sont directement applicables dans l'ensemble des États membres à compter du 25 mai 2018. * La loi " Informatique et Libertés " du 6 janvier 1978 et la loi du 20 juin 2018 relative à la protection des données personnelles. * Délibération n° 2018-318 du 20 septembre 2018 portant adoption des critères du référentiel de certification des compétences du délégué à la protection des données (DPO). ## Marché du travail Indicateurs au niveau des familles professionnelles (FAP) des métiers visés, agrégés au niveau national — France Travail / DARES (open data). ### Tensions de recrutement (DARES 2024) - **Niveau de tension :** Modérée (3/5) - **Facteurs principaux :** Lien formation-emploi, Manque de main-d'œuvre disponible - **Salaire médian (mensuel) :** 2 600 € - **Diplôme le plus fréquent :** Diplôme de niveau bac+5 ou plus (doctorat, master ou équivalent) en sciences humaines et droit (58 % des actifs en emploi) - **Familles professionnelles (FAP) :** 1 - L5X91 — Juristes et avocats · tension 3/5 (Modérée) ### Besoins en main-d'œuvre (BMO 2026) - **Projets de recrutement :** 2 886 - **Jugés difficiles à recruter :** 38 % - **Emplois saisonniers :** 6 % - **Familles professionnelles (FAP) :** 1 - L5X91 — Juristes et avocats ## Voies d'accès ### Prérequis à l'entrée en formation Les prérequis pour intégrer le parcours de formation sont les suivants : * Être titulaire d’une certification de niveau 6 dans le domaine du droit ou de l’informatique. * Ou justifier d’une expérience significative dans le domaine de la protection des données personnelles (exercice de la fonction de Correspondant Informatique et Libertés ou de Délégué à la Protection des Données (DPO) depuis plusieurs années) ### Composition du jury — Formation continue Le jury est composé au minimum d'un enseignant chercheur, d'un professionnel qualifié participant à la formation menant à la certification, et de deux professionnels qualifiés extérieurs à la formation menant à la certification ### Composition du jury — VAE Le jury est composé au minimum de 4 membres délibératifs, nommés par le Président de l’Université d’Evry : un enseignant chercheur (présidant le jury), un professionnel qualifié participant à la formation menant à la certification, et deux professionnels qualifiés extérieurs à la formation menant à la certification. ## Base légale - **Date de décision:** 18-10-2023 - **Durée de l'enregistrement (années):** 3 - **Date d'échéance de l'enregistrement:** 18-10-2026 - **Date de dernière délivrance possible:** 18-10-2030 ## Statistiques | Année | Certifiés | Dont VAE | Insertion globale 6 mois | Insertion métier 2 ans | |---|---|---|---|---| | 2022 | 7 | 0 | 100 % | — | | 2021 | 11 | 0 | 100 % | — | ## Liens avec d'autres certifications - **Anciennes versions:** RNCP35085 ## Pour plus d'informations **Fiche officielle (France Compétences) :** https://www.francecompetences.fr/recherche/rncp/38106/ ## Où se former Offre de formation référencée sur MonCompteFormation (Caisse des Dépôts, licence ouverte). - **Formations référencées:** 1 - **Organismes:** 1 - **Régions couvertes:** 0 - **Prix indicatif:** 4 200 € - **Durée:** 557 h ## Entrées et sorties de formation Tous organismes confondus — Caisse des Dépôts (open data), 01/2024 – 06/2026. - **Entrées en formation:** 29 - **Parcours menés à terme:** 14 - **Taux d'achèvement:** 48 % | Période | Entrées | Sorties totales | Sorties partielles | |---|---|---|---| | 01/2024 | 3 | 0 | 0 | | 10/2024 | 4 | 3 | 0 | | 11/2024 | 2 | 0 | 0 | | 03/2025 | 1 | 0 | 0 | | 05/2025 | 0 | 7 | 0 | | 10/2025 | 14 | 0 | 0 | | 02/2026 | 5 | 0 | 0 | | 06/2026 | 0 | 4 | 9 | ## Demande CPF — formations engagées Tous organismes confondus — Caisse des Dépôts (open data), 01/2024 – 05/2026. - **Dossiers CPF engagés:** 30 - **Montant total engagé:** 121 040 € - **Coût moyen par dossier:** 4 035 € - **Durée moyenne:** 541 h Financement (part du montant engagé) : - France compétences : 80 % - Reste à charge titulaire : 15 % - France Travail : 2 % - OPCO : 2 % --- *Généré le 09/10/2026 à 17:24*