Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 14

I N T E R V I E W
Sylvie Rozenfeld : Vous avez travaillé sept ans
à la Cnil auprès de la direction juridique et
vous avez été la première à créer une activité
d'avocat entièrement dédiée à la protection des
données personnelles. Cela fait une quinzaine
d'années que vous avez rejoint le cabinet Bird
& Bird pour co-diriger l'activité mondiale en
matière de données personnelles.
Vous avez donc été témoin d'une énorme
transformation. A la fin du XXème siècle, la
protection des données personnelles était
un sujet d'initiés, pas toujours très pris au
sérieux, vu la faiblesse du risque de sanctions.
Aujourd'hui, les traitements sont omniprésents
et le risque potentiel est énorme. Que vous
inspire cette évolution ?

Mais il faut admettre que beaucoup d'organisations, une majorité d'entre elles, n'étaient pas
du tout conformes avec les règles préexistantes.
Au lieu d'avoir à accomplir le delta entre ce qui
existait déjà et le RGPD, elles ont dû faire tout le
chemin depuis le début pour se conformer à la
législation du 6 janvier 1978, ce qui a donc ajouté
à la difficulté de l'application du RGPD. Rares sont
celles qui étaient conscientes de cette difficulté et
de l'importance du chantier.
Un autre point surprenant a été de constater que
les personnes concernées ont découvert des
droits, vieux de plus de 40 ans. Quand le RGPD
est devenu applicable, elles ont par exemple été
nombreuses à mettre en œuvre leur droit d'accès,
alors que ce droit existe en France depuis 1978.
On a assisté à un déferlement de demandes, ce
qui a posé des problèmes d'organisation pour les
entreprises et les administrations. Cela n'est pas
simple de répondre à une telle demande. Notre
travail a aussi consisté, du fait du RGPD, à assister
les organisations dans le contenu des réponses à
apporter et dans la mise en place de procédures
pour s'organiser afin de pouvoir répondre à de
telles demandes.

Ariane Mole : Le RGPD a opéré un vrai changement
dans les organismes : avant rares étaient ceux qui
avaient une organisation en matière de protection
des données personnelles et qui recensaient
leurs traitements. Je pense qu'il y a une évolution
incroyable par rapport à la situation d'il y a deux
ou trois ans, soit avant l'entrée en application
du RGPD. Ce ne sont plus les mêmes enjeux, les
mêmes problèmes. De façon générale, on constate
Quelles nouveautés du RGPD vous ont semblé
une grande différence entre les PME et les grands
difficiles à intégrer ?
groupes internationaux, et parmi ces derniers,
Les organismes, et même les autorités de
une grande différence entre ce qui est mis en
contrôle parfois, ne savent pas comment mettre
place au niveau du groupe et au niveau des filiales,
en œuvre certains droits, comme le droit à la
mais aussi parfois de grandes différences entre les
portabilité des données
filiales elles-mêmes.
ou à la limitation des
Avant, on me deman« Au lieu d'avoir à accomplir le delta entre ce traitements. Les contours
dait rarement un audit
Informatique et libertés et qui existait déjà et le RGPD, les organisations de ces nouveaux droits ne
ont dû faire tout le chemin depuis le
sont pas toujours clairs
c'était moi qui devait attidébut
pour se conformer à la législation
alors que cela représente
rer l'attention des entredu 6 janvier 1978, ce qui a donc ajouté à
autant d'obligations pour
prises sur sa nécessité.
la difficulté de l'application du RGPD. »
les organismes. Il en va
Aujourd'hui, les entreprises
de même du droit pour la
viennent vers nous avec
personne de donner des
de nouvelles demandes,
instructions sur le sort de ses données après
pas seulement liées à la mise mise en place
sa mort, qui figure dans la loi Informatique et
d'un registre des traitements, mais aussi pour
libertés. Ces droits sont écrits mais ils n'ont pas été
des procédures, des process, des conseils sur la
explicités. Il y a également l'étude d'impact, qui
manière de mettre en œuvre un projet au regard
est une obligation nouvelle. La Cnil a publié la liste
des différentes actions de conformité, une étude
blanche et la liste noire des traitements soumis
d'impact, etc. Au début de ma pratique, il fallait
ou non à cette obligation. Néanmoins, entre la
convaincre de la nécessité de se préoccuper de la
liste blanche et la liste noire, il existe une zone
protection des données personnelles. C'est beaugrise où chaque responsable de traitement doit
coup moins vrai aujourd'hui.
se faire son opinion et déterminer si le traitement
est soumis à cette obligation. Le sujet des études
Après un an et demi d'application du RGPD,
d'impact a été très précisé par les textes, par les
qu'est-ce qui vous a le plus surprise ? Qu'est-ce
publications des autorités de contrôle, avec la
qui a semblé complexe à intégrer ?
mise à disposition par la Cnil d'un logiciel d'aide à
D'abord, le RGPD est une révolution, avec l'inla réalisation d'étude d'impact qui est très utilisé,
troduction du principe d'accountability, l'imy compris à l'étranger. Malgré ces éclairages, cette
portance des sanctions, etc. Si ce texte reprend
obligation reste complexe pour les organismes.
beaucoup d'éléments qui existaient déjà, il
Il faut d'abord déterminer si le traitement entre
comporte aussi beaucoup de nouveautés.

EXPERTISES Janvier 2020

Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia