Données personnelles : les entreprises vont devoir embaucher

Le règlement européen de protection des données sera applicable en mai 2018. Les sociétés qui brassent de nombreuses informations auront tout intérêt à se doter d'un data protection officer.

Dans un peu plus d'un an les normes européennes en matière de données personnelles vont être harmonisées. A compter de mai 2018, le règlement du Vieux continent sera applicable, et ce sans transposition en droit français. Le cadre va imposer de nouvelles responsabilités aux entreprises en matière de cybersécurité et de traitement des datas. Le renforcement des liens entre pays est également de mise. Les sociétés qui voudront bien faire les choses auront intérêt à se doter d'un oiseau rare : le data protection officier.

Les nouvelles obligations seront imposées à tous les organismes privés et publics qui collectent, traitent et stockent des données personnelles dont les propriétaires peuvent être identifiés directement ou indirectement. Ce qui va venir responsabiliser les différents acteurs. "Les entreprises devront identifier le type de données collectées, obtenir le consentement des personnes concernées, assurer le droit d'accès et de rectification de ces données, assurer leur portabilité, se conformer aux règles spécifiques pour les mineurs de moins de 16 ans etc.", souligne Vanessa Bouchara, avocate spécialiste de la propriété intellectuelle.

"Le data protection officer est là pour informer et conseiller les employés, les services, les sous-traitants… Il a un rôle de coopération avec les autorités de contrôle"

Dans un premier temps, les spécialistes s'attendent à ce que la Cnil aide les entreprises dans leurs démarches et les alerte en cas de non-conformité. Néanmoins, en cas de sanction de la part du régulateur, l'addition pourra être salée : jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires annuel. Des interdictions pourront également être prononcées. "Pour les entreprises qui se mettront bien en conformité, cela aura un coût. Se doter d'un data protection officier peut leur permettre de s'assurer que les choses sont bien faites", estime Vanessa Bouchara. Et d'ajouter : "Ce dernier doit être un chef d'orchestre de la conformité. Il est là pour informer et conseiller les employés, les services, les sous-traitants… Il a un rôle de coopération avec les autorités de contrôle".

Certaines entreprises brassant des données sensibles/nombreuses ou pour lesquelles le risque de réputation est très important, sont déjà dotées d'un spécialiste. Toutefois, beaucoup de firmes n'ont pas encore sauté le pas. Les chasseurs de têtes commencent à avoir quelques missions en la matière. "Il y a beaucoup de gens qui s'y prennent au dernier moment", constate Marc Bartel, partner au sein du cabinet Heidrick & Struggles. Les firmes ont pourtant intérêt à s'y prendre tôt car il y a peu de spécialistes sur ce segment. "C'est un peu comme la compliance. Il n'y a pas de formation spécifique, que des gens qui sont tombés dedans. Ce peut être des personnes qui ont des connaissances réglementaires et une appétence technologique ou l'inverse, par exemple. Il y en a peu sur le marché, et il faudra donc que certaines entreprises les forment", explique Marc Bartel. Côté Etats-Unis, les sociétés optent ainsi plutôt pour des juristes, moins pour des profils business.

La fonction data protection officier va demander énormément de travail à ceux qui l'incarneront car les données personnelles vont des contrats, aux formulaires clients en passant par les serveurs où elles sont stockées. Les spécialistes travaillent ainsi à la fois avec les RH, les juristes, les experts en informatique ou les régulateurs mais sont également assez seuls dans leur univers propre. " Il leur faudra être convaincants et d'assez bons communicants car ils vont souvent devoir ou vouloir lancer des chantiers considérables qui ne vont pas forcément faire plaisir aux différents services ", termine Marc Bartel.

Article originel publié sur WanSquare par Olivia Vignaud le 21/03/2017.