La revue RH&M - N°68 - Janvier 2018 - 30

STRATÉGIE

DANS LA PEAU D'UN DATA
PROTECTION OFFICER
Le Règlement Général sur la Protection des Données (« RGPD » ou
« GDPR » en anglais) a été adopté le 27 avril 2016 et sera d'application directe dans l'ensemble des Etats membres de l'UE à compter du
25 mai 2018. Parmi ses mesures majeures : la nomination d'un délégué
à la protection des données personnelles.

e DPO kesako ?
Pour faire court, le DPO est le responsable de la
conformité avec les lois de protection des données.
Pour faire un peu plus long, il ne s'agit pas de lois
de protection des données, car ce n'est pas les données que l'on cherche à protéger. La loi française
est « relative (...) aux libertés » et stipule (article 1)
que « L'informatique doit être au service de chaque
citoyen (...) Elle ne doit porter atteinte ni à l'identité humaine, ni aux
droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou
publiques. ». Le nouveau règlement Européen, RGPD ou GDPR, s'intitule « Règlement (...) relatif à la protection des personnes physiques à
l'égard du traitement des données à caractère personnel (...) ». Le DPO
est donc, le responsable de la protection des libertés et des personnes
lors des traitements des données.
L'origine du DPO
La figure du DPO (Data Protection Office), ou Délégué à la Protection
des données, puise ses origines dans les premières lois de protection
des données européennes datant des années soixante-dix. Selon notre
cher wikipedia, le premier DPO fut nommé en Allemagne en 1971 par
le Länder de Hesse. Dans le monde anglo-saxon, où l'on parle plutôt du
CPO, Chief Privacy Officer, le premier CPO fut nommé en 1991 - dois-je
dire la première car, saluons-le, ce fut une femme qui eut cet honneur.
En France, la Loi Informatique et Libertés parle de correspondant, pour
la toute première fois, le 6 août 2004, dans son article 22 : « Les traitements pour lesquels le responsable a désigné un correspondant à la
protection des données à caractère personnel (...) », dont la fonction est
précisée dans le Titre III du décret d'application de la loi Informatique
et Libertés du 20 octobre 2005: « Des correspondants à la protection
des données ». Le correspondant devient alors le CIL, «Correspondant
Informatique et Libertés», prenant ainsi ses lettres de noblesse.
Le DPO dans le RH
L'activité humaine produit énormément de données. Dans le monde

P.30 | JANVIER 2018 | N°68 LA REVUE RH&M

José RODRIGUEZ
Data Protection Officer
Cornerstone OnDemand

RH, elles concernent l'ensemble des processus de gestion du capital humain : recrutement, performance, succession, rémunération,
formation, historiques des postes. Il s'agit bien de la trace de la vie
professionnelle du candidat et du salarié, tout au long des années.
Par ailleurs, les données RH ont un statut particulier : d'une part, ce
sont des données issues de l'activité de l'entreprise et d'autre part,
ce sont des données privées, personnelles. D'une part, elles ont une
valeur stratégique (informations confidentielles, masse salariale,
détails des plans de succession), d'autre part, ce sont nos données à
nous, êtres humains, et nous ne voulons pas être surveillés en permanence.
Dans la peau d'un DPO
Chez Cornerstone, nous hébergeons les données de plus de 33 millions de personnes. On me demande souvent si ceci m'empêche de
dormir la nuit. Un peu quand même. Mais c'est une tâche fascinante.
Nous bâtissons une nouvelle profession, et nous construisons les
règles de la société numérique du futur. Au-delà de la conformité
administrative avec les textes de loi, il s'agit d'améliorer la qualité des
données (et donc leur valeur ajoutée), et par ce biais d'améliorer la
prise de décision stratégique, impactant ainsi la compétitivité; de diminuer le risque ; de diminuer les abus, ainsi que les discriminations,
et pourquoi pas, à l'heure des classifications « Great Place to Work »
et similaires, d'améliorer l'image de marque et l'image d'employeur.
Ainsi, il y a deux façons d'aborder la gestion de ces données : soit
d'un point de vue strictement légal, en s'assurant (simplement) de
la conformité ; soit en faisant un levier de compétitivité, d'image de
marque, de communication interne et de dialogue social, et en étant
transparent sur la façon dont les données sont utilisées et sur l'intérêt
tant pour l'entreprise que pour le salarié. Je n'ai pas besoin de dire
laquelle je préfère. Rappelons simplement que, pour y arriver, il faut
une triple expertise juridique, technique et métier, que des équipes
multidisciplinaires seront nécessaires, et donc une collaboration
constructive entre la conformité, l'IT et les RH.

Table des matières de la publication La revue RH&M - N°68 - Janvier 2018