Le statut de droit du travail : un cadre comme un autre
Sur le plan du droit du travail, le DPO et le RSSI sont en règle générale des salariés cadres, fréquemment soumis à une convention de forfait annuel en jours (autour de 218 jours), compte tenu de l'autonomie réelle dont ils disposent dans l'organisation de leur emploi du temps. Ce statut suppose une rémunération au moins égale à un certain niveau et le respect des garanties propres au forfait jours (entretien annuel, droit à la déconnexion, suivi de la charge de travail).
Rien dans le Code du travail ne leur accorde de protection spécifique contre le licenciement en cette seule qualité : un DPO ou un RSSI peut être licencié comme tout autre cadre, pour motif personnel ou économique, dans le respect de la procédure de droit commun.
Une protection fonctionnelle propre au RGPD pour le DPO
Le règlement européen sur la protection des données (RGPD, art. 38) impose en revanche que le délégué à la protection des données ne reçoive aucune instruction concernant l'exercice de ses missions et ne soit pas relevé de ses fonctions ni sanctionné par l'employeur pour avoir exercé ses missions de DPO. Cette protection fonctionnelle est propre au RGPD : elle ne transforme pas le DPO en salarié protégé au sens du Code du travail (comme un représentant du personnel), mais limite la marge de manœuvre de l'employeur sur les décisions liées directement à l'exercice de la mission.
Le RSSI ne bénéficie pas d'une protection équivalente prévue par un texte spécifique : son indépendance fonctionnelle, lorsqu'elle existe, repose davantage sur l'organisation interne de l'entreprise (rattachement hiérarchique direct à la direction générale, charte de gouvernance de la sécurité) que sur une garantie légale dédiée.
Points clés à retenir
- Le DPO et le RSSI sont en règle générale des cadres classiques, souvent au forfait jours, sans statut de salarié protégé au sens du Code du travail.
- Le DPO bénéficie d'une protection fonctionnelle propre au RGPD (art. 38) : pas d'instruction sur l'exercice de sa mission, pas de sanction pour l'avoir exercée.
- Cette protection RGPD ne crée pas d'immunité totale contre le licenciement : elle protège l'exercice de la mission, pas le contrat de travail dans son ensemble.
- Le RSSI ne dispose pas d'un texte équivalent : son indépendance dépend surtout de l'organisation interne mise en place par l'entreprise.
Cas particuliers
| Situation | Traitement | À vérifier |
|---|---|---|
| Retrait des missions de DPO sans licenciement | Protection spécifique, retrait contestable sans motif légitime | Lien avec l'exercice des fonctions de DPO |
| Forfait jours pour DPO/RSSI | Nécessite une convention de forfait valide formalisée | Existence réelle d'une convention de forfait |
| Indépendance fonctionnelle sous pression hiérarchique | Protection à faire valoir en cas de compromission | Preuve des pressions ou sanctions indirectes |
| Intervention RSSI suite à faille de sécurité | HS dues (régime horaire) | Statut horaire vs forfait jours |
Questions fréquentes
Mon employeur peut-il me retirer mes missions de DPO sans me licencier ?
Le RGPD protège l'exercice de la mission de DPO contre les sanctions liées à cet exercice, mais l'employeur reste en principe libre de réorganiser les fonctions de l'entreprise, sous réserve de ne pas agir en réaction à l'exercice légitime de la mission. La frontière entre réorganisation légitime et sanction déguisée se discute au cas par cas.
Le forfait jours s'applique-t-il automatiquement à un DPO ou un RSSI ?
Non, une convention de forfait jours doit être prévue par un accord collectif et formalisée individuellement par écrit dans le contrat de travail ou un avenant. Sans cette convention, le régime horaire classique s'applique, avec un droit aux heures supplémentaires en cas de dépassement.
Quel est le point de vigilance à connaître sur ce sujet ?
Le RSSI ne dispose pas d'un texte équivalent : son indépendance dépend surtout de l'organisation interne mise en place par l'entreprise.
Une faille de sécurité en dehors des heures habituelles impose une intervention du RSSI : est-ce une HS ?
Oui, pour un salarié au régime horaire, cette intervention réelle imposée par l'urgence constitue du temps de travail effectif générateur d'heures supplémentaires si le seuil hebdomadaire est dépassé.
Le DPO doit-il rendre compte directement à la direction générale ?
Oui, le RGPD impose que le DPO rapporte directement au niveau le plus élevé de la direction, une garantie d'indépendance propre à cette fonction spécifique.
M6 Zenji pour ton forfait jours
Conçu pour les cadres au forfait jours : suis tes jours travaillés et ton droit à la déconnexion en toute autonomie.