Le RGPD (règlement général européen sur la protection des données) va entrer en vigueur le 25 mai prochain. Cette nouvelle disposition européenne implique la création d’un nouveau poste dans les entreprises et organisations qui collectent des données personnelles : le responsable des données privées ou, en bon jargon actuel : Data Privacy Officer (DPO). Il existe déjà aujourd’hui des « Correspondants Informatique et libertés ». 5000 d’entre eux agissent auprès de 18 000 personnes morales. Il faudra multiplier leur nombre par dix pour être en conformité avec le RGPD. En attendant que les universités diplôment les premiers DPO, il est nécessaire de définir le périmètre d’actions de ce poste clé en favorisant son accès à l’information, son indépendance et son autorité. Quelle sera la place du DPO dans l’entreprise ? Comment sera-t-il formé ? Quelle sera la meilleure organisation pour lui assurer un rôle optimal ? DE nombreuses questions qui restent encore en suspens.
Avis d’expert
Data Privacy Officer : le garant de la protection des données dans l’entreprise
Pensé pour être le garde-fou de la protection des données au sein des entreprises, le DPO devra concrètement veiller à la bonne application de la réglementation en interne. Cela suppose un rôle assez large dans l’entreprise, regroupant aussi bien des objectifs informatifs que d’autorité de contrôle. Le DPO incarne donc un point de contact, un intermédiaire avec les autorités. C’est le garant de la protection des données personnelles dans l’entreprise.
Néanmoins, le DPO ne concerne pas toutes les entreprises. L’Article 37 de la réglementation prévoit l’obligation de nommer un DPO pour les entreprises exécutant « des traitements à grande échelle de suivi régulier et systématique des personnes ou de données sensibles ». Le DPO sera ainsi obligatoire pour toutes les entreprises du secteur de la Data au sens large, mais aussi celles qui traitent les données personnelles de leurs consommateurs à grande échelle. Cela va concerner par exemple les entreprises faisant la collecte des données transactionnelles de leurs clients (donc potentiellement tout le secteur du retail) mais aussi celles qui font le suivi nominatif des visites sur leurs sites internet (comme les media). Toutefois, il est conseillé à toutes les entreprises traitant des données personnelles de nommer un DPO.
Au-delà d’un rôle technique, le DPO fera office de modèle pour démocratiser l’importance de la protection des données personnelles. En mettant ce poste en place sans y être juridiquement contraintes, les entreprises montrent qu’elles placent la protection des données personnelles au centre de leurs préoccupations. Au travers du DPO, la nécessité de protéger les données devient visible dans l’entreprise.
Une fois en place, une de ses missions sera de sensibiliser l’interne à cette importance et de promouvoir les bonnes pratiques pour l’assurer.
Le métier de DPO n’existe pas encore : quel profil pour l’incarner ?
Un DPO doit mobiliser de nombreuses connaissances. Il doit connaître la loi mais n’a pas nécessairement une formation de juriste. Il doit avoir une connaissance assez fine de la sécurité des données sans être forcément un expert en cybersécurité. Toutefois, alors qu’une certaine tension existe déjà dans les entreprises à ce niveau, le talent principal du DPO ne se situe pas tant au niveau des hard skills que des soft skills, donc de la pédagogie.
Ce nouveau poste cristallise une position de contre-pouvoir face à des dirigeants et des conseils d’administration : c’est sa capacité à fédérer les équipes autour de la protection des données qui fera un bon candidat pour ce poste.
Malgré des masters intégrant des cursus « protection des données », les profils de DPO sont encore très rares, ou encore en cours d’élaboration. Se pose alors la question, pour les entreprises, d’internaliser ou d’externaliser le poste.
Vers une externalisation du DPO
Si toutes les entreprises traitant des données personnelles sensibles ou ayant recours à leur analyse massive doivent intégrer un Data Privacy Officer à leur équipe, le RGPD n’exige pas de temps de travail minimum. En effet, le poste se négocie selon la taille et le besoin des entreprises, qui peuvent aussi bien nécessiter un mi-temps, un temps plein ou même plusieurs DPO. Externaliser la fonction auprès d’un tiers (consultants ou cabinet d’avocats par exemple) est envisageable.
Bien que l’externalisation soit une solution pour les entreprises n’ayant pas les moyens d’engager une personne à plein temps et pour lesquelles la charge de travail ne le justifierait pas, elle présente de réels inconvénients. Il peut être difficile de faire d’un élément extérieur le porte-drapeau de la politique en termes de vie privée.
Par ailleurs, le coût n’est pas à négliger. En effet, compte tenu des honoraires des cabinets spécialisés, le DPO interne peut finalement s’avérer plus économique.
De plus, internaliser le poste est préférable en raison de son rôle fondamental qui est de permettre la prise en compte de la vie privée dans l’entreprise.
Néanmoins, malgré tous les bénéfices que peuvent offrir la synergie et la connaissance des habitudes de travail, donner cette nouvelle responsabilité à un collaborateur déjà présent dans l’entreprise peut provoquer des tensions avec la direction et placer le DPO dans une situation délicate. Ainsi, cela peut potentiellement nuire à l’indépendance indissociable du poste.
Chaque solution présente des avantages et des inconvénients, mais il n’existe pour l’instant aucune solution idéale. Pour les entreprises, la clé se trouve donc dans l’audit : la meilleure option reste celle qui répondra au mieux aux besoins d’une entreprise donnée.
Marc Désenfant, Directeur général ACTITO France
Quelque chose à ajouter ? Dites-le en commentaire.
