Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415 - 249

Sylvie Rozenfeld : Vous êtes fondateur de Digital &
Ethics, société dont la mission est de permettre à
ses clients d'utiliser les données en toute efficacité et confiance, mais aussi président de l'AFCDP
(Association française des correspondants à la
protection des données personnelles). Ces professionnels de la conformité au droit de la protection
des données sont particulièrement concernés par
les changements introduits par le règlement européen qui entrera en vigueur en mai 2018, dans
moins de deux ans. C'est court pour se préparer ?
Paul-Olivier Gibert : En effet, c'est court. D'abord
pour intégrer tous les changements induits par le
règlement. Puis, la structure de ce texte laisse la
place à de futurs actes dérivés. Donc, nous avons
un texte qui n'est pas encore complet et qui ne sera
totalement applicable que lorsque nous aurons
toutes les précisions.

à l'application du principe d'accountability avec la
préparation de la documentation, d'une analyse
et une étude d'impact sur les droits et libertés des
personnes qui doit être menée préalablement à la
mise en œuvre de tout traitement. L'autre facteur de
responsabilisation est l'augmentation du montant
des sanctions. On change ainsi de dimension.
Aujourd'hui, nous avons des sanctions qui sont
très peu significatives. Or, avec le règlement, nous
avons des montants qui s'apparentent à ceux du
droit de la concurrence ou aux infractions pour les
établissements financiers. Le plafond de sanctions
passe à 4 % du chiffre d'affaires au niveau mondial si
c'est une entreprise ou 20 millions d'euros maximum
pour les autres organisations. Potentiellement,
les sommes peuvent atteindre plusieurs milliards
d'euros, et peuvent être supérieures au résultat net.

La conformité est une notion très centrale du règlement. Qu'est-ce que la conformité ? Comment faiton pour être conforme ?
Pensez-vous à l'ordonnance qui est en préparation
Des pistes existent déjà. Certains secteurs comme la
par la Chancellerie ou à des textes européens ?
banque ou l'assurance qui sont régulés ont depuis
Je pense aux actes dérivés qui sont rédigés par la
plus de 20 ans une culture du contrôle interne,
Commission européenne. Des travaux sont en cours
des justifications et des vérifications permanentes
au niveau des Cnil européennes et de la Commission.
sur l'activité bancaire et financière, de la qualité
Par ailleurs, le règlement étant d'application
de conseil aux clients, de
immédiate, un travail doit
la
documentation,
etc.
cependant être accompli
« Après 2018, il y aura quelques
Dans
d'autres
secteurs,
pour le détourer, à savoir
années complémentaires pour
des entreprises ont mis en
identifier ce qui relève de la
s'ajuster. Néanmoins, il faut se
place des programmes de
loi nationale ou du règlement
compliance,
notamment
européen. Il existe encore
préparer au mieux car le texte est
en
droit
de
la
concurrence,
des zones d'imprécision sur
d'application immédiate. »
afin de ne pas être
les modalités pratiques de
impactées par des pratiques
mise en œuvre du texte. Puis
anti-concurrentielles mises en œuvre par des
globalement, il y a un changement de point de vue
collaborateurs de bonne ou de mauvaise foi. Cela
puisque le contrôle a priori, par les déclarations et
donne des points de repère.
les formalités préalables, va être remplacé par le
principe d'accountability. Donc l'entreprise n'aura
Des points de repère pour des entreprises d'une
plus à déclarer son traitement, mais à le documenter
certaine taille. Or, tous les acteurs économiques
et à justifier que celui-ci ne porte pas atteinte aux
traitent des données personnelles.
droits et libertés des personnes.
Effectivement. En plus, la notion de données à
caractère personnel va bien au-delà de la donnée
Le règlement allège considérablement les formanominative : cela concerne tous les éléments qui
lités préalables mais impose une responsabilisapermettent d'identifier de manière directe ou non
tion de l'entreprise avec de nouvelles contraintes
une personne physique.
(notification des violations de données, réalisation
d'étude d'impact, tenue d'une documentation prouConcrètement, comment faire pour s'assurer de la
vant la mise en conformité, etc.). Peut-on vraiment
conformité ?
parler de simplification ?
Ce n'est pas compliqué. Dans un premier stade, il
C'est indiscutablement une simplification dans
faut identifier les données personnelles, directela mesure où cela permettra de mettre en œuvre
ment ou non identifiantes, en fonction de l'état de
plus rapidement les traitements. Par ailleurs, nous
l'art. Dans un deuxième stade, il convient de s'assuvivons une révolution, la révolution numérique
rer que les droits issus du règlement sont respectés.
qui implique des changements dans un certain
N'oublions pas que la protection des données personnombre d'activités. Et la logique des formalités n'est
nelles relève des droits fondamentaux, un droit aussi
plus adaptée. Aujourd'hui, nous avons gagné en
important que la protection du corps humain, des
souplesse et en simplification avec, en contrepartie,
libertés individuelles, etc. Dans un dernier stade,
une responsabilisation des organisations due
EXPERTISES JUILLET/AOÛT 2016

249

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415