Systèmes - Communications numériques - 1re - 95

Les modes de régulation quasi juridiques

d'alerte whistleblowing98. Le Data Privacy Officer (DPO, ou plus exactement le délégué à la protection des données personnelles - sorte
de « préventeur » dans le domaine des failles de sécurité) prévu à
l'article 37 du RGPD devra disposer d'une indépendance des différents départements opérationnels de l'entreprise nécessaire à l'acquisition de cette culture99. Cette corégulation, aussi louable soitelle, ne permet pas de garantir l'intégrité des données car, pour
les besoins du responsable du traitement, elles ont pu être transférées à des prestataires de services informatiques, intégrateurs de
logiciels, les sociétés de sécurité civile, les entreprises ayant accès
aux données, les entreprises de communication ou de marketing qui
traitent de données clients, etc. Cela suppose d'identifier ex ante les
différents sous-traitants afin de les soumettre à des obligations
semblables à celles du responsable de traitement de la donnée.
L'article 28 du RGPD impose ces obligations spécifiques aux soustraitants dont la responsabilité pourra être engagée en cas de manquement. Ainsi la compliance réunit-elle les sous-traitants et leurs
commanditaires. Les sous-traitants ont une obligation de conseil
auprès des clients/les opérateurs pour le compte desquels ils traitent des données, les aidant dans la mise en œuvre de certaines
obligations du règlement (étude d'impact sur la vie privée, notification de violation de données, sécurité des données, contribution aux
audits)100. Ils doivent tenir un registre des activités de traitement
effectuées pour le compte de leurs clients (RGDP, art. 30) et, dans
certains cas, désigner un délégué à la protection des données dans
les mêmes conditions qu'un responsable de traitement. L'idée sousjacente est de créer une chaîne de la sous-traitance, afin que
chaque sous-traitant impose le respect des obligations posées par
le RGPD à ses propres sous-traitants sous peine d'engager sa responsabilité devant le client.
En matière d'honnêteté de l'information audiovisuelle, la démarche de compliance tend à s'imposer envers et contre le législateur,
qui a œuvré dans la maladresse. En effet, la lecture de la loi nº 20161524 du 14 novembre 2016 visant à renforcer la liberté, l'indépendance et le pluralisme des médias, modifiant une nouvelle fois l'emblématique loi du 30 septembre 1986, laisse perplexe sur différents
98. GOLA R., « Le règlement européen sur les données personnelles, une opportunité pour les
entreprises au-delà de la contrainte de conformité », Légicom, nº 59, mars 2018.
99. ALIX P., « Le DPO et le secteur de la communication », Légicom, nº 59, mars 2018.
100. V. en ce sens, https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre 4#Article 28.

https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapi

Systèmes - Communications numériques - 1re

Table des matières de la publication Systèmes - Communications numériques - 1re