Avocat aux Barreaux de New York et Paris, Compliance Evangelist et Professeur à l’Ecole de Droit de Sciences-Po Paris.
Pouvez-vous nous décrire en quelques mots l’activité de votre société ?
Notre Cabinet d’avocats intervient dans tous les champs de la vie des affaires, que ce soit le droit des sociétés, des contrats, du travail ou … de la conformité.
Quel est votre domaine d’expertise, à quelles problématiques répondez-vous ?
Notre expertise est transversale. Nous essayons d’accompagner nos clients dans leur problématiques juridiques et au-delà. Nous sommes souvent consultés sur des questions stratégiques. En ce moment nous sommes très sollicités sur la mise en place de la conformité RGPD.
Quel impact aura la RGPD sur votre métier ?
Le RGPD n’est pas pour nous qu’un champ de compétence en plus, les cabinets d’avocats doivent aussi se conformer au RGPD. De ce point de vue le Conseil National de Barreaux a anticipé la problématique particulière des cabinets d’avocats en sensibilisant l’ensemble de la profession. En effet, nous sommes amenés à mettre en œuvre un nombre important de traitements qui peuvent s’avérer d’une particulière sensibilité d’un point de vue Informatique et libertés :
- Traitements de données relatives aux infractions, condamnations ou mesures de sûretés
- Logiciels de facturation
- Traitements pour éviter un conflit d’intérêts, listes noires de personnes indésirables
- Interconnexions de fichiers…
Bref, les cabinets d’avocats vont comme toutes les entreprises de France et de l’Union Européenne devoir se mettre en conformité avec le RGPD.
Quels points du RGPD sont particulièrement importants pour votre activité ?
Tous les avocats qui font du droit pénal seront particulièrement impacté par le RGPD, car la donnée personnelle pénale est une donnée sensible.
Vos clients sont-ils réceptifs et informés des enjeux de cette réglementation européenne sur la protection des données ?
En tant qu’avocat, c’est notre devoir de conseil que d’informer nos clients sur la mise en œuvre du RGPD et sur l’importance de s’y conformer. Trop souvent, nos clients pensent qu’ils ne sont pas concernés ou qu’ils auront le temps de se mettre en conformité quand l’administration commencera à s’intéresser à leur cas.
Reporter le problème n’est évidemment pas la bonne approche à retenir et ce pour plusieurs raisons. D’abord la grande révolution du RGPD c’est la co-responsabilité. Si vous êtes sous-traitants d’un client grand compte, que vous collectez des données pour McDonald par exemple, c’est votre client qui va vous demander de lui démontrer que vous êtes en conformité avec le RGPD. Car si vous ne l’êtes pas, il est potentiellement responsable avec vous et peut se voir infliger une amende allant jusqu’à 4% de son chiffre d’affaires mondial !
Donc la conformité RGPD n’est pas juste un problème à régler, mais un véritable atout commercial.
Ensuite, le RGPD pose comme principe ce qu’on appelle dans notre jargon le « protection by design » et le « protection by default ». C’est deux principes nécessitent que les entreprises prennent à bras le corps la question de leur conformité. En effet, le principe du « protection by design » consiste à penser vos collectes de données dans leur principe comme dans leur exécution, comme conforme au RGPD. Et le « protection by default » vous oblige à adopter comme comportement par défaut la protection des données personnelles que vous collectez. Fini le far west. Fini l’époque où vous complétiez vos fins de mois en vendant vos fichiers de mail à la hussarde.
Enfin et c’est peut-être le point le plus important, le RGPD renverse la charge de la preuve. Avant, lorsque la CNIL vous contrôlait, elle avait la charge de la preuve, elle devait être en mesure de démontrer que vous ne remplissiez pas vos obligations au regard de réglementation informatique et libertés. Demain, à compter du 25 mai, en cas de contrôle de la CNIL c’est à l’entreprise de démontrer qu’elle est en conformité. Si vous n’avez pas pris les devants, vous serez donc automatiquement défaillant.
Comment vous êtes-vous préparés et serez-vous prêt pour la mise en conformité ?
Chez nous c’est très simple, nous nous appliquons les recommandations que nous faisons à nos clients. Nous auditons nos usages, formons nos équipes, mettons en place des procédures et avons nommé un délégué à la protection des données.
Un best practice à nous confier pour la mise en conformité ?
3 MOTS : AUDIT, FORMATION, SUIVI
Si vous respectez ce triptyque, et que vous suivez les recommandations de la CNIL, aucune inquiétude à avoir. L’important est de comprendre que la conformité à la réglementation des données personnelles est devenue un sujet sur lequel vous ne pouvez pas faire l’impasse.
Si cela vous paraît trop difficile à mettre en œuvre tout seul, faîtes vous accompagner. Notre cabinet et nombreux autres interviennent quotidiennement auprès des entreprises pour les aider dans la mise en place de leur conformité.
Quelles évolutions majeures sont prévues dans votre activité en lien avec le RGPD 2018 ?
Le RGPD vient renforcer pour nous l’importance de nos dossiers droit des données personnelles. Nous avons de plus en plus de demande dans ce domaine et nous mettons donc en place une offre de service lisible et accessible pour les TPE et PME que nous assistons quotidiennement.
Quels conseils donneriez-vous à un DPD (délégué de la protection de la donnée) pour l’aider à sensibiliser sur le RGPD en interne ?
Faites valoir l’enjeu commercial avant le risque juridique. Être en conformité avec le RGPD va devenir un enjeu commercial de taille que vous travaillez en B2B ou en B2C.
Le risque des sociétés qui ne seront pas en conformité avec le RGPD est évidemment bien réel, mais je pense que c’est en apportant la bonne parole de la conformité, et en annonçant la bonne nouvelle que vous aurez le plus de chance de faire avancer le chantier conformité interne de votre société.
Interview de Philippe PRADAL, Founder & Managing Partner – Wyzer Law
