Entreprises, il est temps de dénicher votre Data Privacy Officer

Par Marc Désenfant, Directeur général ACTITO France

Avec l’entrée en vigueur du RGPD le 25 mai 2018, un nouveau poste émerge pour veiller à la bonne application de cette nouvelle réglementation : celui de Data Privacy Officer (DPO). Il succède ainsi au Correspondant Informatique et Liberté (CIL) et concerne toutes les entreprises ou organisations amenées à traiter des données personnelles.

Aujourd’hui, relativement à la précédente loi, 5000 Correspondants Informatique et Liberté agissent auprès de 18 000 personnes morales. Dix fois plus de profils de Data Privacy Officer sont nécessaires pour être en conformité avec le RGPD et exercer un véritable contrôle de l’application de la réglementation, en toute indépendance. En attendant que les universités diplôment les premiers DPO, il est primordial de définir le périmètre d’actions de ce poste clé en favorisant son accès à l’information, son indépendance et son autorité.

Quelle sera la place du DPO dans l’entreprise ? Comment sera-t-il formé ? Quelle sera la meilleure organisation pour lui assurer un rôle optimal ? ACTITO France revient sur le rôle et les enjeux de ce nouveau métier qui cristallisent de nombreuses questions.

Data Privacy Officer : le garant de la protection des données dans l’entreprise

Pensé pour être le garde-fou de la protection des données au sein des entreprises, le DPO devra concrètement veiller à la bonne application de la réglementation en interne. Cela suppose un rôle assez large dans l’entreprise, regroupant aussi bien des objectifs informatifs que d’autorité de contrôle. Le DPO incarne donc un point de contact, un intermédiaire avec les autorités. C’est le garant de la protection des données personnelles dans l’entreprise.

Néanmoins, le DPO ne concerne pas toutes les entreprises. L’Article 37 de la réglementation prévoit l’obligation de nommer un DPO pour les entreprises exécutant « des traitements à grande échelle de suivi régulier et systématique des personnes ou de données sensibles ». Le DPO sera ainsi obligatoire pour toutes les entreprises du secteur de la Data au sens large, mais aussi celles qui traitent les données personnelles de leurs  consommateurs à grande échelle. Cela va concerner par exemple les entreprises faisant la collecte des données transactionnelles de leurs clients (donc potentiellement tout le secteur du retail) mais aussi celles qui font le suivi nominatif des visites sur leurs sites internet (comme les media). Toutefois, il est conseillé à toutes les entreprises traitant des données personnelles de nommer un DPO.

Au-delà d’un rôle technique, le DPO fera office de modèle pour démocratiser l’importance de la protection des données personnelles. En mettant ce poste en place sans y être juridiquement contraintes, les entreprises montrent qu’elles placent la protection des données personnelles au centre de leurs préoccupations. Au travers du DPO, la nécessité de protéger les données devient visible dans l’entreprise.

Une fois en place, une de ses missions sera de sensibiliser l’interne à cette importance et de promouvoir les bonnes pratiques pour l’assurer.

Le métier de DPO n’existe pas encore : quel profil pour l’incarner ?

Un DPO doit mobiliser de nombreuses connaissances. Il doit connaître la loi mais n’a pas nécessairement une formation de juriste. Il doit avoir une connaissance assez fine de la sécurité des données sans en être forcément un expert en cyber sécurité. Toutefois, alors qu’une certaine tension existe déjà dans les entreprises à ce niveau, le talent principal du DPO ne se situe pas tant au niveau des hard skills que des soft skills, donc de la pédagogie.

Ce nouveau poste cristallise une position de contre-pouvoir face à des dirigeants et des conseils d’administration : c’est sa capacité à fédérer les équipes autour de la protection des données qui fera d’un profil un bon candidat pour ce poste.

Malgré des masters intégrant des cursus « protection des données », les profils de DPO sont encore très rares, car en cours de formation. Se pose alors la question, pour les entreprises, d’internaliser ou d’externaliser le poste.

Vers une externalisation du DPO

Si toutes les entreprises traitant des données personnelles sensibles ou ayant recours à leur analyse massive doivent intégrer un Data Privacy Officer à leur équipe, le RGPD n’exige pas de temps de travail minimum. En effet, le poste se négocie selon la taille et le besoin des entreprises, qui peuvent aussi bien nécessiter un mi-temps, un temps plein ou même plusieurs DPO : externaliser la fonction auprès d’un tiers (consultants ou cabinet d’avocats par exemple) est envisageable, notamment pour éviter la quête de ces profils encore très rares.

Bien que l’externalisation soit une solution pour les entreprises n’ayant pas les moyens d’engager une personne à plein temps et pour lesquelles la charge de travail ne le justifierait pas, elle présente de réels inconvénients. Il peut être difficile de faire d’un élément extérieur le porte-drapeau de la politique en termes de vie privée.

Par ailleurs, le coût n’est pas à négliger. En effet, compte tenu des honoraires des cabinets spécialisés, le DPO interne peut finalement s’avérer plus économique.

De plus, internaliser le poste est préférable en raison de son rôle fondamental qui est de permettre la prise en compte de la vie privée dans l’entreprise.

Néanmoins, malgré tous les bénéfices que peuvent offrir la synergie et la connaissance des habitudes de travail, donner cette nouvelle responsabilité à un collaborateur déjà présent dans l’entreprise peut provoquer des tensions avec la direction et placer le DPO dans une situation délicate. Ainsi, cela peut potentiellement nuire à l’indépendance indissociable du poste.

Chaque solution présente des avantages et des inconvénients, mais il n’existe pour l’instant aucune solution idéale. Pour les entreprises, la clé se trouve donc dans l’audit : la meilleure option reste celle qui répondra au mieux aux besoins d’une entreprise donnée.