Futurs data protection officers, il est temps de se former !
Par
Dix mois. C’est le temps qu’il reste aux entreprises pour mettre en place les mesures issues du règlement européen sur la protection des données personnelles. Winston Maxwell, associé du cabinet Hogan Lovells, nous explique les enjeux de cette nouvelle réglementation entre formation des équipes et procédures parfois complexes.
Vous avez récemment fondé avec le professeur Bénédicte Fauvarque-Cosson un diplôme universitaire de délégué à la protection des données à l’université Paris II Panthéon-Assas. Pourquoi ?
Winston Maxwell : La volonté de créer ce diplôme universitaire (DU) part du constat que le « data protection officier » (DPO) va avoir une fonction stratégique au sein de l’entreprise. Nous souhaitons préparer les futurs DPO non seulement à comprendre les nuances du nouveau règlement européen (RGPD), mais à être écouté et influent. C’est une approche du type MBA : il faut trouver un consensus, et être capable de présenter les options en comité de direction en moins de 5 minutes !
Notre première promotion est constituée de 25 étudiants et la deuxième promotion, celle de 2018, est déjà quasiment remplie. Les étudiants sont généralement des personnes déjà en poste avec 5 ou 6 ans d’expérience.
En quoi consiste cette formation ?
W. M. : La formation dure 12 mois à raison de deux jours par mois, le vendredi et le samedi, ce qui est assez gérable pour l’employeur et démontre une motivation personnelle de l’étudiant, puisqu’il consacre un samedi par mois de son temps libre. Des cours sont animés par des juristes et DPO expérimentés au sein de grands groupes français et internationaux (Renault, BNP Paribas, Schneider Electric, Sanofi, Cap Gemini, Banque Postale, Google, Microsoft, etc.). Nous comptons également sur l’intervention de quelques grands témoins du secteur public (CNIL, ANSSI, Conseil d’État) et des professeurs d’université. Nous explorons les défis sectoriels liés à la mise en œuvre du règlement dans différentes industries (pharma, énergie, automobile, banque, etc.). Certains cours sont mutualisés avec le DU-DPO Compliance de Paris II Panthéon-Assas, dirigé par Antoine Gaudemet, professeur à Paris II, et Emmanuel Breen, avocat.
À l’issue de la formation, les étudiants et les enseignants rédigent ensemble des articles sur la protection des données personnelles, dont certains seront publiés dans la Revue Dalloz IP / IT, ainsi que dans une nouvelle revue intitulée la Revue française de gestion des données à caractère personnel.
Selon vous, quel est le profil idéal d’un « data protection officer » ?
W. M. : Dans le DU, nous avons une majorité de juristes, mais aussi des personnes des ressources humaines et des services informatiques. La fonction se prête assez bien à un juriste s’ouvrant aux autres métiers de l’entreprise, mais l’inverse est aussi vrai. Pour être efficace, le DPO doit avoir assez de connaissances pour dialoguer efficacement avec les différentes « business units » de l’entreprise et pour fédérer des équipes hétérogènes. Le nouveau DPO doit être perçu comme un manager qui oriente les équipes vers différentes solutions possibles en présentant les avantages et les inconvénients de chaque solution. Ce ne sera pas facile, car les propositions du DPO seront challengées. Il devra avoir le sens du compromis, et savoir où se situent les lignes rouges que son entreprise ne doit pas franchir.
Le nouveau règlement européen sur la protection des données personnelles entre en vigueur dans un peu moins d’un an. Pensez-vous que les entreprises seront prêtes à temps ?
W. M. : Les grandes entreprises mettent en œuvre des moyens considérables pour avancer sur le règlement européen. Cela est plus compliqué pour les petites et moyennes entreprises qui ne disposent pas forcément des ressources suffisantes. Le règlement européen est un processus autant qu’une finalité.
Le plus important est de mettre en place des chantiers et des structures internes pour réaliser les chantiers. Dès lors que vous commencez à marcher dans la bonne direction, les régulateurs vont constater que vous vous inscrivez dans la démarche « accountability ».
Que doivent faire les entreprises en priorité ?
W. M. : La plupart des grosses entreprises ont créé des groupes de travail pour mener à bien les dizaines de chantiers nécessaires à la mise en application du règlement. Les avocats interviennent souvent sur l’important volet contractuel soulevé par le nouveau texte. Il faut regarder tous les contrats du groupe – sous-traitance, partenariat, cloud – pour voir comment les données sont traitées dans le contrat.
Certains groupes profitent de cette occasion pour revoir entièrement leur politique de gouvernance des données afin de mieux les valoriser. Il ne s’agit pas seulement de données à caractère personnel, mais de données au sens large. Lorsque nous accompagnons un client sur le règlement européen, nous lui suggérons d’en profiter pour définir un plan de gouvernance global pour valoriser et encadrer les données de l’entreprise. Nous sommes alors dans une conversation de création de valeur et non pas seulement de compliance.
