Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448 - 243

nous avions un circuit relativement court pour
restera très hétérogène car la problématique des
la rédaction des normes dérivées par la Cnil
données personnelles est présente dans de très
comme l'établissements des normes simplifiées,
nombreuses entreprises et organisations mais
les autorisations, etc. Maintenant, la Cnil doit
pas forcément avec le même degré de sensibilité.
s'intégrer dans un mécanisme de négociation avec
On peut faire le parallèle avec deux fonctions qui
ses homologues avant de parvenir à une position
s'en rapprochent en raison de leur technicité :
de consensus pour un vote. Il y a des allègements
les fonctions financières en entreprise et
réels, en matière de formalités préalables mais
d'organisation. Entre le comptable unique d'une
on note un ralentissement
PME de 25 personnes et le
concernant
l'élaboration
DGA en charge des finances
« C'est le problème que rencontrent toutes
des normes dérivées où il
d'une entreprise du CAC 40,
les professions de conformité de manière
faut remonter au niveau
la fonction est la même. Elle
générale : expliquer pourquoi on fait ce
européen et passer des
consiste à veiller à la bonne
qu'on fait et justifier son existence. »
phases de négociation et
tenue des comptes et à ce
obtenir un consensus.
que les équilibres financiers
soient
maintenus.
Les
En tant que CIL, il n'était pas évident de se faire
profils sont très différents et les problèmes traités
respecter, qu'en est-il du DPO ? A-t-il plus de
au quotidien ne sont pas les mêmes. On pourrait
poids pour imposer le respect de la loi ? Avezdire la même chose pour les DPO : entre le DPO
vous des retours de membres faisant état de
d'une petite structure très utilisatrice de données,
difficultés à exercer leur métier ?
celui d'une collectivité territoriale importante de
C'est le problème que rencontrent toutes les
quelques centaines de milliers d'administrés et
professions de conformité de manière générale :
celui d'une grande entreprise internationale dont
expliquer pourquoi on fait ce qu'on fait et justifier
les données sont réparties dans plusieurs pays.
son existence. Ce n'est ni une anomalie ni une
On conservera donc une hétérogénéité des profils
spécificité du DPO. Ce sont des fonctions de door
et des fonctions. Autre hétérogénéité, celle entre
keeper comme en matière de RH ou financière
les DPO interne et externe. L'externalisation de la
où le professionnel de la conformité est celui qui
fonction est un choix beaucoup moins contraint
dit ce qu'il ne faut pas faire. Certains dirigeants
que dans le cadre de la loi Informatique et libertés
d'entreprise ou de collectivité territoriale ont un
puisqu'il n'y a plus la limite des 50 utilisateurs. Une
discours très critique à l'égard du RGPD, qu'ils
grande entreprise peut désormais externaliser sa
trouvent complexe et sans grandes vertus. Dans
fonction de DPO, mais je ne connais pas d'exemple.
ce contexte, le métier de DPO est difficile. Or, il
Les deux options présentent des avantages et des
s'agit d'un texte pour durer et les organisations
inconvénients. Un DPO interne est très au fait de
doivent le prendre en compte. Mais finalement,
ce qui se passe dans son organisation mais n'a
l'adoption et la mise en œuvre du RGPD se fait
pas toujours la distance nécessaire pour porter
sans difficultés majeures. Des scandales comme
un regard extérieur nécessaire afin d'exercer la
celui de Cambridge Analytica ont aidé à son
fonction. A l'opposé, le DPO externe sera dans
acceptation, en révélant les enjeux des données à
une position inversement symétrique. Il pourra
caractère personnel. Le règlement est arrivé à un
enrichir son regard grâce aux expériences d'autres
moment où la perception du sujet de la protection
organisations mais il risque de passer à côté de
des données était en train d'évoluer, également
problématiques. Il a le recul nécessaire mais ne
avec des questionnements sur le modèle
dispose pas forcément de toutes les données.
économique des Gafa ou les manipulations de
Rappelons que cela fait à peine un an d'activité
l'information sur les réseaux sociaux. Le RGPD est
pour les affectations les plus anciennes. Il y a un
donc arrivé dans une conjoncture favorable.
clivage très net entre ceux qui s'étaient occupés de
données personnelles avant le RGPD qui se sont
Le DPO doit-il être placé à un certain niveau de
donc beaucoup mieux adaptés au changement et
la hiérarchie ?
ceux qui découvrent la fonction et ont beaucoup
Il faut qu'il soit placé à un niveau de présence pas
plus de mal, ce qui n'est pas surprenant, d'autant
nécessairement très haut dans l'organisation,
plus que les formulations du RGPD, traduites de
néanmoins de manière à ce qu'il ait un accès à
l'anglais de Bruxelles, sont très complexes. Il y a
l'information et que, le cas échéant, il puisse faire
des notions délicates à appréhender comme celle
remonter les difficultés ou les besoins et faire
de « grande échelle ». Les références à la soft law
cesser un traitement facilement. Cela suppose
représentent une autre difficulté pour des juristes
évidemment une relation avec le haut niveau de
imprégnés par les concepts de droit romain.
la hiérarchie. Le RGPD prévoit en effet que le DPO
Que faire des suggestions ou des préconisations
fait directement rapport au niveau le plus élevé
figurant dans le texte ? Il y a une autre difficulté
de la direction. Cela apparaît tout à fait opportun
à appréhender : sous l'ancienne loi de 1978,
EXPERTISES Juillet-Août 2019

243

Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448