Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 16

I N T E R V I E W
concerne les organisations de moins de 250
salariés qui n'ont pas à tenir de registre mais qui
ont néanmoins l'obligation de recenser leurs
traitements, d'avoir une organisation en protection
des données personnelles, ce qui revient un peu
au même. Par ailleurs, la Cnil a une interprétation
très restrictive de cette exception puisqu'elle
considère que presque rien ne doit échapper au
registre. Cette seule exception ne bénéficie donc
pas à grand monde.

est-il bien intégré, bien compris par les
entreprises ? Est-il efficace ?
Le client cherche à être en conformité mais nous
devons adapter notre réponse, notre assistance,
nos conseils à la taille de l'organisme, aux risques,
et déterminer où se trouvent les enjeux les plus
importants pour lui, compte tenu de son secteur
d'activité, du nombre de salariés, des pays dans
lesquels il intervient. Il faut donc différencier le
cas de la PME ou de la start up des grands groupes
qui ont besoin d'une conformité beaucoup plus
documentée, car les risques et les enjeux sont plus
importants. Cela nécessite d'adapter notre offre et
nos prestations en prenant aussi en considération
la difficulté de mettre en place toutes ces actions
au regard de la taille de l'entreprise et de son
activité.

Le RGPD a été davantage conçu en considération
des grands groupes internationaux mais il s'applique à tous et comporte beaucoup d'obligations
complexes à mettre en œuvre. Dans une réunion
publique de l'EBDP (European Board for Data
Protection) du 4 novembre 2019 sur l'exercice
des droits, beaucoup d'entreprises ont souligné la
Le RGPD a accompli une révolution. Un an et
difficulté de répondre aux demandes d'exercice
demi après son application, est-on encore au
droit d'accès. Si une personne demande un droit
stade de rodage ? La transition est censée s'ached'accès à toutes les données qu'une organisation
ver, la Cnil sera-t-elle encore compréhensive ?
détient sur elle y compris les logs et les traces, cela
La présidente de la Cnil, Marie-Laure Denis, a
peut en effet demander un effort considérable.
indiqué à plusieurs reprises que la période de
Comment fait-on quand on est une petite entreclémence était terminée.
prise ? Dans les cas les plus
La Cnil a pu montrer de
complexes, nous proposons
l'indulgence
pour
les
chez Bird & Bird un système
« Désigner un DPO est un bon choix, à
nouveautés
introduites
d'analyse avec de l'intellicondition d'avoir les moyens de le faire et
par le règlement, mais pas
gence artificielle pour arride
le faire de manière sérieuse, à savoir que
pour les obligations qui
ver à trier et à trouver dans
le DPO soit formé, soutenu et accepté. »
préexistaient au RGPD.
l'ensemble
du
système
Pour les contrôles qu'elle a
d'information les données
effectués ou les sanctions
relatives à la personne qui
qu'elle a prises, elle a été particulièrement
exerce son droit d'accès. Dans certains cas, on
rigoureuse sur les obligations qui préexistaient au
s'aperçoit que le RGPD est instrumentalisé, c'estRGPD : l'information des personnes, la durée de
à-dire que la personne « va à la pêche aux informaconservation, etc.
tions » dans la perspective d'un contentieux alors
que la finalité du droit d'accès est fondamentaleLa Commission européenne a opté pour un
ment de permettre à la personne concernée d'asrèglement afin d'établir une réglementation
surer la protection de ses données personnelles en
homogène dans l'UE. Or, avec toutes les marges
vérifiant que celles-ci sont traitées conformément
de manœuvres possibles, les législations sont
à la législation.
différentes d'un Etat membre à l'autre. Vous
qui exercez à l'international, considérez-vous
Dans d'autres cas, les personnes exercent un droit
que l'objectif a quand même été atteint ?
d'opposition sans préciser lequel ou un droit de
On a voulu créer un socle commun, une seule
suppression de l'ensemble de leurs données, alors
loi au lieu de vingt-huit. Au moment de la
qu'elles veulent en fait s'opposer à la prospection
gestation du RGPD, la Commission européenne
commerciale ou à un traitement particulier. Il
avait argué de la nécessité d'un règlement pour
faut alors revenir vers les personnes pour faire
supprimer les divergences entre les législations,
un travail d'explication. Par ailleurs, le délai de
considérées comme trop complexes à gérer pour
réponse d'un mois dans le RGPD est très court.
les entreprises multinationales. On a très vite vu
Toutes les entreprises ne sont pas organisées pour
qu'il allait y avoir des exceptions, des dérogations,
répondre correctement à ces demandes.
des marges de manœuvres laissées aux Etats
membres, comme sur les données sensibles, la
Le RGPD est l'un des premiers instruments
presse, etc. Il y a eu beaucoup de lobbying. On
juridiques européens qui utilise la compliance
avait par exemple promis aux multinationales
comme mode de régulation, obligeant les
qu'avec le RGPD elles pourraient disposer d'une
entreprises à mettre en œuvre en interne les
seule autorité de contrôle en tant qu'interlocuteur
moyens pour se conformer au droit. Ce concept

EXPERTISES Janvier 2020

Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia