Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415 - 252

interview
Pour les groupes de sociétés, il y aura sans
doute des mutualisations au niveau européen,
du fait du guichet unique institué pour les autorités
de contrôle nationales. Pour le secteur public, se
pose la question de savoir comment seront organisés
les réseaux de DPO. C'est assez complexe car il y
a des compétences qui relèvent de la commune,
de l'intercommunalité, d'autres du département.
Comment va-t-on s'organiser dans ce millefeuille
territorial ?

AG2R et Mondiale. A l'époque, j'étais directeur
de la conformité. J'avais donc d'autres activités,
ce qui, compte tenu du groupe à l'époque, était
une organisation pertinente. Il fallait empêcher
l'entreprise de se retrouver dans une situation
difficile pour ne pas avoir respecté la protection des
données personnelles.
Appliquiez-vous déjà le principe d'accountability ?
Oui, c'est ainsi qu'on avait mis en place le registre
des traitements qui se substituait aux déclarations,
avec une description de la finalité des traitements,
des risques qu'ils présentaient.

L'AFCDP demande que soit ménagée une « clause
du grand-père » qui permettrait aux CIL qui le
souhaitent et qui répondent aux nouvelles exigences
d'être confirmés dans leur fonction en tant que
Aujourd'hui, intervenez-vous comme conseil ?
DPO. Comment et pourquoi ?
Nous proposons des outils de conformité et en
La « clause du grand-père » a été utilisée dans le
particulier un produit industriel qui permet de mesurer
domaine financier quand a été créée la fonction
la qualité de l'anonymisation d'un jeu de données.
de
la
conformité.
Des
Il calcule des valeurs qui
professionnels,
des
identifient
de
manière
déontologues
notamment,
précise
les
données
qui
« Il n'y a pas vraiment de problème
ont été chargés de la fonction
sont
concernées
par
la
d'indépendance. »
de conformité sans qu'une
réglementation européenne.
décision explicite de la
Il permet ainsi de savoir s'il
banque ne soit nécessaire. Par exemple, un CIL
est possible de réidentifier une personne, d'obtenir
désigné avant l'entrée en vigueur du règlement
une nouvelle information sur elle, de manière
européen deviendrait ainsi automatiquement DPO.
certaine ou probable. On fournit une information
C'est un principe de bon sens. On va avoir besoin
quantitative qui indique si les opérations effectuées
de plusieurs milliers de personnes pour remplir les
sont suffisantes pour interdire la repersonnalisation.
fonctions de DPO. Nous avons déjà 4 000 CIL qui
Après, il reste les biais cognitifs (un détail qui fait
connaissent le métier. Cette clause est une mesure
penser à quelqu'un sans fondement) ou les éléments
de simplification pour assurer la transition vers le
narratifs. Par exemple, pour les décisions de justice,
nouveau régime.
on ne peut pas se contenter du dispositif de la
décision. Or, on ne peut pas complètement masquer
Quel est le profil idéal ? La sécurité étant une obliles faits. L'anonymisation de la partie narrative est
gation absolument centrale de la protection des
assez complexe car on ne peut pas trop appauvrir
données personnelles, le RSSI n'a-t-il pas le meilles faits sinon on ne comprend pas la décision.
leur profil pour être DPO ?
Cela peut modifier la lecture et la perception de la
C'est plus compliqué que ça. Il faut quelqu'un qui
jurisprudence.
comprenne bien le règlement et ses relations avec
les autres textes et le système d'information avec ses
Un marché de la conformité devrait donc se
possibilités et ses limites puis qui connaisse bien
développer.
l'activité de l'entreprise. Quiconque maîtrise bien ces
Logiquement, du fait du règlement et de la révolution
trois points, en plus d'avoir des capacités managériales,
que nous sommes en train de vivre. On ne produit
remplit les fonctions de DPO. Au jour de sa désignation,
pas de la valeur, comme il y a 30 ans. Il faut donc
il faut une personne qui soit bien placée dans la
mettre en place de nouveaux outils. Voici 20 ans, on
hiérarchie pour permettre à son organisation d'évoluer
gérait le risque comportemental de type corruption
vers le niveau de conformité exigé. Elle peut se situer au
en rédigeant des codes d'éthique. Or, aujourd'hui
niveau de la direction juridique, de la RSSI. Elle peut
les robots interviennent de plus en plus. Nous avons
aussi être un expert qualité. Il n'y a pas de profil type.
développé des outils pour le prendre en compte,
Quelqu'un qui est un bon informaticien, qui connaît
comme celui de l'anonymisation.
bien le métier de l'entreprise mais qui n'arrive pas à
communiquer dans l'entreprise et qui n'a pas constitué
de réseaux dans l'organisation pour se faire entendre
ne pourra pas mener à bien sa mission.
Etes-vous CIL ?
Je l'ai été mais ma société n'offre pas cette prestation.
J'ai été l'un des premiers CIL désignés en 2005, chez

252

Propos recueillis par Sylvie ROZENFELD

EXPERTISES JUILLET/AOÛT 2016

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2016 - n°415