Demandez à toute personne qui travaille depuis quelque temps dans le domaine de la protection des données : elle reconnaîtra certainement cette situation. Le service juridique et le DPO ne sont pas toujours sur la même longueur d’onde. Parfois, il s’agit simplement d’une divergence d’opinions constructive, qui se règle autour d’un café. D’autres fois, ce sont des tensions récurrentes qui ralentissent les décisions, voire empêchent discrètement qu’elles soient prises.
Dans cet article, nous examinons l’origine de ces tensions, pourquoi elles sont rarement liées aux personnalités et comment les organisations peuvent les transformer en quelque chose de constructif.
Signé, classé… sans jamais être passé entre les mains du DPO
Imaginez une situation assez courante. Un accord de sous-traitance des données (Data Processing Agreement ou DPA) arrive sur le bureau d’un collaborateur, souvent glissé en annexe d’un contrat plus large. Le service juridique l’examine, comme il se doit. De nombreux DPO sont d’ailleurs tout à fait à l’aise avec l’idée de laisser l’examen des DPA au service juridique, ce qui constitue une répartition des tâches tout à fait raisonnable.
Les problèmes commencent lorsque personne n’a défini au préalable ce qui est « acceptable » du point de vue de la protection des données, ni établi de critères clairs permettant de déterminer quand le service juridique doit solliciter l’expertise du DPO. Sans ces accords, un DPA peut être examiné, signé et classé sans que le DPO ne l’ait jamais vu. Celui-ci ne le découvre qu’après coup, parfois par hasard.
C’est là que les tensions apparaissent. Le DPO relève un problème : par exemple, un transfert de données à caractère personnel vers un pays situé en dehors de l’Espace économique européen (EEE), ou une liste de sous-traitants ultérieurs que personne n’a vérifiée. Le service juridique rappelle que le contrat est déjà signé et que les équipes opérationnelles attendent de pouvoir avancer. Le DPO a le sentiment d’avoir été écarté, tandis que le service juridique a l’impression que son travail est remis en question. Et chacun a ses raisons. Puis la même discussion se reproduit avec le contrat suivant, et encore avec celui d’après.
Deux fonctions, deux missions
Il est tentant de se réfugier derrière des stéréotypes et d’attribuer ces tensions aux personnalités : « le juriste trop orienté business » d’un côté, et « le DPO trop rigide » de l’autre. Pourtant, ce que nous constatons généralement, c’est plutôt un manque de gouvernance : personne n’a défini dès le départ qui est responsable de quoi, ni comment les désaccords doivent être résolus.
Pour comprendre d’où vient ce problème, il est utile de revenir sur le rôle de chacune de ces fonctions.
- Le service juridique gère les risques à l’échelle de l’ensemble de l’organisation, qu’il s’agisse des contrats, de la responsabilité, des litiges ou des risques réglementaires.
- Le DPO veille à la protection des droits des personnes dont l’organisation traite les données. Pour ce faire, il informe, conseille et contrôle le respect de la réglementation (article 39 du RGPD). Le DPO ne dispose pas d’un droit de veto, mais son avis doit être sollicité en temps utile et pris au sérieux.
Ces deux fonctions sont importantes et contribuent toutes deux à la conformité de l’organisation. Mais leurs missions sont différentes, et c’est souvent lorsqu’on les confond que les tensions commencent. Cette confusion est d’autant plus fréquente que de nombreux DPO ont une formation juridique. Leurs collègues continuent donc de les considérer comme des membres du service juridique, alors que leur fonction est, par définition, indépendante.
Leurs réflexes professionnels sont également différents. Les équipes juridiques sont habituées à rechercher des solutions, à négocier et à faire avancer les accords tout en maîtrisant les risques. Le DPO aborde les situations sous un autre angle. Conformément au RGPD, il examine chaque activité de traitement du point de vue des personnes concernées. Cette différence d’approche peut créer des tensions. Ce que l’organisation envisage de faire n’est pas toujours légalement possible sous sa forme actuelle. Lorsque le DPO le signale, il remplit précisément le rôle que lui confie le règlement.
Sans distinction claire entre ces deux fonctions, chaque examen de contrat, chaque nouvelle activité de traitement et chaque collaboration avec un nouveau fournisseur devient une nouvelle discussion sur les responsabilités de chacun, plutôt qu’un processus déjà compris et maîtrisé par les deux équipes.
Trois situations que nous rencontrons régulièrement
D’après notre expérience, les trois mêmes situations reviennent régulièrement, quelle que soit la taille de l’entreprise ou son secteur d’activité.
- Le DPO intervient trop tard. Son intervention est considérée comme une simple formalité finale, plutôt que comme une étape à intégrer dès le départ. Lorsqu’il prend connaissance du dossier, l’organisation a déjà pris des engagements. Toute préoccupation qu’il soulève est alors perçue comme un obstacle. Pourtant, le RGPD prévoit exactement l’inverse : le DPO doit être associé « d’une manière appropriée et en temps utile » (article 38, §1).
- Les lignes hiérarchiques sont différentes. Le service juridique et le DPO dépendent de différentes parties de l’organisation, qui peuvent parfois avoir des niveaux de tolérance au risque différents, sans qu’une personne à un niveau supérieur ne soit chargée de rapprocher leurs points de vue. Le RGPD prévoit que le DPO fait directement rapport au niveau le plus élevé de la direction (article 38, §3). Le service juridique rend généralement lui aussi compte à la direction. Mais si celle-ci n’est pas en mesure d’évaluer et de concilier les différents points de vue, cette organisation fonctionne rarement de manière satisfaisante.
- Les désaccords restent sans solution. Il n’existe aucune procédure commune et documentée précisant comment les questions relatives à la protection des données doivent être soulevées, remontées et résolues. Chaque désaccord est donc traité de manière informelle, au cas par cas, et c’est généralement celui qui insiste le plus qui finit par l’emporter.
Si ces lacunes ne sont pas corrigées, leurs conséquences deviennent de plus en plus coûteuses avec le temps. Les contrats prennent du retard, les décisions manquent de cohérence et, tôt ou tard, un incident lié à la protection des données survient alors que la bonne personne aurait pu le détecter plus tôt.
Comment améliorer la collaboration entre le DPO et le service juridique ?
Un certain niveau de tension entre le service juridique et le DPO est sain. Cela montre que chacun remplit son rôle. L’objectif est de canaliser ces tensions de manière constructive, et cela repose sur trois éléments.
- Associer le DPO dès le départ. Faites intervenir le DPO dès les premières étapes de réflexion et de conception, en particulier lorsqu’il s’agit de nouveaux flux de données, de nouveaux fournisseurs ou de nouveaux produits. Un DPO qui ne découvre un dossier qu’à la dernière minute ralentira les choses, et à juste titre, car c’est souvent sa dernière occasion de soulever une préoccupation. À l’inverse, un DPO impliqué dès le premier jour peut contribuer à définir les modalités d’un accord plutôt que de devoir le bloquer.
- Donner au DPO un accès direct à la direction. La direction doit définir la manière dont les désaccords sont remontés lorsque le service juridique et le DPO ne parviennent pas à s’entendre, plutôt que de laisser la décision à celui qui insiste le plus ou qui occupe la position hiérarchique la plus élevée. Cette procédure doit respecter à la fois l’indépendance du DPO et la nécessité pour l’organisation de prendre des décisions. Et lorsque la direction décide de ne pas suivre l’avis du DPO, les raisons de cette décision doivent être documentées. Cela protège à la fois l’organisation et le DPO, tout en transformant un désaccord en une décision claire et documentée.
- Gouvernance : définir les règles à l’avance. Déterminez qui examine quoi, à quelle étape et ce qui doit se passer lorsque le service juridique et le DPO ne sont pas d’accord. Pour les DPA, cela signifie définir ensemble ce qui est « acceptable » du point de vue de la protection des données et établir des critères clairs pour déterminer quand le service juridique doit faire intervenir le DPO, par exemple en cas de transferts de données en dehors de l’EEE, de traitement de données sensibles ou de recours à de nouveaux sous-traitants ultérieurs. Personne ne devrait avoir besoin d’une longue chaîne d’e-mails pour savoir si le DPO peut suspendre la signature d’un contrat. La réponse devrait être claire bien avant même que le contrat n’existe.
En théorie, rien de tout cela n’est compliqué. En pratique, cela nécessite d’avoir une discussion parfois un peu délicate sur les rôles et les responsabilités de chacun, puis de les documenter clairement.
Place aux négociations de paix.
Chez CRANIUM, nous sommes assis des deux côtés de la table. Comme nous comprenons les deux points de vue, nous pouvons vous aider à tracer une frontière claire entre les deux.
Cette situation vous parle ? Prenez contact avec nous et nous vous aiderons à fixer les conditions de la paix. Café facultatif, mais recommandé.
Contactez-nous
