Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 15

dans le champ de l'obligation, les risques si on
s'abstient de faire une analyse d'impact, etc. Tout
cela nécessite un travail et une participation
de plusieurs directions. Et c'est aussi une des
difficultés du RGPD qui semble tenir pour acquis
que tout le monde se parle dans un organisme,
la direction de la conformité qui dialogue avec
la direction juridique, qui s'entend très bien avec
la direction des ressources humaines ou du
marketing, la DSI, etc. Dans le monde du RGPD, on
est solidaire, on communique et on se comprend
pour faire de belles études d'impact, des registres
des traitements bien exhaustifs, etc. Or, nous ne
vivons pas dans ce monde idéal ou tout le monde
travaille naturellement ensemble. Cela implique
de s'adapter et de s'organiser en conséquence.
D'où l'intérêt d'avoir un DPO.
Effectivement mais à condition qu'il fasse
consensus sur sa fonction, ce qui n'est pas évident.

au règlement. Quand le risque équivaut à 4% du
chiffre d'affaires, vous considérez la question
avec une attention particulière. En cas de contrôle
de la Cnil, la première question posée porte sur
l'organisation interne et la gouvernance en termes
de données personnelles. Comme il est désormais
obligatoire, en tous cas, d'avoir une organisation
en protection des données personnelles, beaucoup
d'organismes ont fait le choix de nommer aussi
un DPO au sein de cette organisation, même s'ils
n'y sont pas obligés juridiquement. C'est un bon
choix, à condition d'avoir les moyens de le faire
et de le faire de manière sérieuse, à savoir que le
DPO soit formé, soutenu et accepté. Dans certains
organismes, l'intégration du DPO peut être
difficile car il faut faire la part des choses entre les
fonctions d'audit et de supervision du DPO et les
fonctions d'audit ou de conformité qui existent
déjà. Il y a des réglages à opérer.

Marie-Anne Frison-Roche, professeure agrégée
de droit, estime que l'UE est allée trop loin en
imposant la compliance à toutes les entreprises
alors que ce sont des obligations très lourdes
pour des PME. Qu'en pensez-vous ?
Je suis d'accord avec ce point de vue. La mise
en conformité au RGPD coûte cher. Je suis une
grande passionnée de la protection des données
Mais le DPO a beaucoup plus d'assise que le CIL.
personnelles et je suis depuis toujours convaincue
Oui, il n'y a pas de comparaisons. Le CIL a
de sa nécessité. Mais je pense qu'il est très diffiété une création de la loi de 2004. D'abord sa
cile d'être en conformité et que la préservation
nomination était toujours facultative et pour
des droits des personnes ne nécessitait pas forcécertains organismes elle était seulement motivée
ment l'introduction de toutes ces nouvelles oblipar la dispense de déclarations des traitements
gations. De la même manière qu'auparavant, je ne
à la Cnil. Certaines organisations, plus rares,
trouvais pas justifié que tant de traitements soient
étaient sérieusement motivées et nommaient un
soumis à autorisation de
CIL pour que la loi soit bien
la Cnil. Aujourd'hui,il me
appliquée.
Aujourd'hui,
« Et c'est aussi une des difficultés du RGPD
semble parfois exagéré
la présence d'un DPO est
qui semble tenir pour acquis que tout le
de devoir faire des études
obligatoire pour tout le
monde se parle dans un organisme, la
d'impact trop complexes,
secteur public ou pour les
direction de la conformité qui dialogue
de produire de la documenentreprises qui traitent des
avec la direction juridique, qui s'entend
tation pour tout, et le prindonnées sensibles à grande
très bien avec la direction des ressources
cipe d' « accountability »
échelle ou qui procèdent
humaines ou du marketing, la DSI, etc. »
oblige surtout à se protéà un suivi des personnes à
ger en cas de litige afin de
grande échelle. Les autres
pouvoir prouver que tout a
sont encouragées à en
été fait pour être conforme au RGPD. Mais c'est ne
désigner un. Je n'ai pas de réponse toute faite sur
pas faire de distinction entre les différents types
l'opportunité de se doter d'un DPO. Cela dépend
d'activité, entre une PME et les GAFA.
de la structure de l'organisme, des risques, etc.
On peut respecter le RGPD sans disposer d'un
Le RGPD est très focus sur l'internet, n'aurait-il
DPO. Mais le fait d'en désigner un envoie un
pas fallu adopter deux législations, l'une pour
signal qui témoigne d'une volonté de respecter la
internet et l'autre pour les entreprises qui n'ont
protection des données personnelles, notamment
pas à transférer en masse des données ?
à l'égard des clients, qu'on soit responsable de
Je ne sais pas s'il aurait fallu adopter deux
traitement ou sous-traitant. En interne, une telle
textes, mais il aurait été souhaitable de faire des
désignation envoie également un signal fort. Cela
distinctions ou des exceptions suivant les cas.
a plus de poids que de charger quelqu'un de veiller
Finalement, on se retrouve avec un texte qui
au respect du RGPD. Beaucoup d'organismes
ne prévoit pas d'exception. La seule exception
ont désigné un DPO en raison des enjeux liés
Justement, comment est perçu le DPO dans les
organisations ? Est-il pris vraiment au sérieux ?
A-t-il de vrais moyens ?
Cela dépend des organisations, de leur politique,
de leurs moyens.

EXPERTISES Janvier 2020

Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia