Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 17

unique. Mais les autorités de contrôle ont fait valoir
que ce n'était pas possible. La Cnil notamment a
expliqué combien ça allait être compliqué pour
les personnes si elles devaient s'adresser pour
l'exercice de leurs droits à une autorité susceptible
de ne pas être dans leur pays. Ces arguments
légitimes ont été bien entendus. Désormais, les
multinationales ont une autorité chef de file mais
assortie d'un processus complexe de consultation
des autres autorités concernées. En outre, en
pratique, l'harmonisation est relative car on est
bien obligé de tenir compte de l'interprétation du
règlement par chaque autorité de contrôle. Nous
avons bien un texte homogène, mais qui n'est pas
interprété de la même manière par les autorités
de contrôle et par les juges. S'ajoutent à cette
complexité les législations locales, en application
du RGPD qui prévoit des marges de manœuvres.
Plusieurs Etats membres en ont profité pour
rajouter du droit local, comme la France.

Or, une difficulté pour les entreprises réside dans
le fait qu'elles ne peuvent pas mettre un drapeau
sur toutes les données. Il faut donc les aider à
trouver des lignes de force, des dénominateurs
communs à tous les pays, par exemple en matière
d'information des personnes. Concernant les
salariés, il faut tenir compte du droit du travail
car il est très interpénétré avec la protection des
données personnelles et il varie selon les pays.
Quand on met en place un dispositif d'alerte, une
charte d'utilisation des systèmes d'information
ou un contrôle des emails, on est confronté à
beaucoup de différences d'un pays à l'autre. Nos
clients nous demandent souvent de leur apporter
une réponse globale « one size fits all », expression
difficile à traduire en français : une approche
unique, une même charte éthique ou une même
privacy policy pour l'ensemble de l'UE. On ne peut
pas toujours y parvenir complètement mais on
essaie de s'en approcher.

Le brexit représente-t-il une difficulté ?
Dire que le règlement a simplifié la tâche des
Certainement. Au regard des données personnelles,
multinationales est excessif dans la mesure où il
nous sommes dans l'expectative. Nous attendons
a considérablement augmenté leurs obligations.
l'adoption de l'accord de retrait de l'UE car le projet
Nous avons toujours vingt-huit lois locales même
d'accord comporte des dispositions sur les données
si leurs particularités sont moins importantes
personnelles. Il y aura ensuite d'autres négociations.
qu'avant. Et certains secteurs d'activité sont plus
Le Royaume-Uni deviendra un pays tiers, hors
impactés que d'autres par le droit local. Prenons
UE et donc tous les flux de données à destination
par exemple le secteur de la santé : en France, les
du Royaume-Uni devront respecter les garanties
dispositions de la loi Informatique et libertés sur la
spécifiques prévues par le RGPD pour les transferts
recherche ont un champ d'application territorial
de données hors UE. S'agissant des organismes
différent de celui du RGPD puisque les dispositions
internationaux établis à titre principal en Grandede la loi Informatique et libertés modifiée sur
Bretagne, ils doivent pour certains reconsidérer
la recherche en santé s'appliquent dès lors qu'il
leur organisation s'ils veulent continuer à bénéficier
y a un patient concerné en France. Donc, avec
d'une autorité chef de file au sens du RGPD, car
la loi française, n'importe quel organisme où
lorsqu'un organisme est
qu'il soit en France, dans
établi à titre principal hors
l'Union européenne ou
de l'UE il n'a plus droit à une
ailleurs dans le monde,
« Il faut faire très attention à la qualification
autorité chef de file.
à partir du moment où il
de ses partenaires, prestataires,
effectue un essai clinique
fournisseurs, car cette qualification -
Nous venons d'obtenir pour
sur des patients en France,
responsable de traitement, co-responsable
un groupe international
va devoir appliquer la loi
de traitement ou sous-traitant - est
établi au Royaume-Uni les
française qui prévoit une
lourde de conséquences juridiques. »
premières BCR (Binding
autorisation de la Cnil ou une
Corporate Rules) adoptées
déclaration de conformité
en vertu de l'article 64 du RGPD, après avis de
aux méthodologies de référence alors que le RGPD
l'EDPB au niveau européen. Ce groupe a dû
a aboli toutes les demandes d'autorisation et les
adapter ses BCR et les soumettre à l'EBDB. Il a
déclarations.
dû également changer d'autorité chef de file,
L'Allemagne a prévu, quant à elle, d'autres
c'est-à-dire trouver une autre autorité principale
dispositions spécifiques sur la santé. Voilà un
dans l'Union européenne que l'ICO - l'autorité
exemple de secteur d'activité où le RGPD n'a
britannique. Nous l'avons accompagné dans toutes
pas harmonisé les règles. Autre exemple, les
les actions nécessaires à l'obtention des BCR dans
durées de conservation des données ne sont
la perspective du Brexit.
pas harmonisées d'un Etat membre à l'autre car
les durées de prescriptions dépendent du droit
Les
sous-traitants
sont
devenus
conational ;de plus les préconisations de chaque
responsables. La relation contractuelle entre
autorité nationale de protection des données ne
responsable de traitement et sous-traitant
sont pas les mêmes.
EXPERTISES Janvier 2020

Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia