Un délégué à la protection des données est recherché
Le 31 mai dernier, la Commission nationale de l’informatique et des libertés (Cnil) a mis en demeure 22 villes n’ayant pas de délégué à la protection des données. Dont Saint-Dizier. L’appel à candidatures a été lancé en interne pour éviter des sanctions.
L’annonce s’est faite en totale transparence, publiquement, « en raison du rôle central de la fonction de délégué à la protection des données », justifie la Commission nationale de l’informatique et des libertés. Le 31 mai dernier, l’organisme qui est plus connu sous le nom de Cnil, publiait une annonce de mise en demeure de 22 villes françaises ne disposant pas d’un délégué à la protection des données (DPO). Chose rendue obligatoire depuis l’entrée en vigueur en 2018, du Règlement général sur la protection des données (RGPD), promulgué en avril 2016 par le Parlement européen.
Parmi ces villes, une seule est située dans la région Grand Est : Saint-Dizier.
Un poste vacant
En lien avec cette RGPD, la Cnil a effectué un contrôle, en juin 2021, pour les communes de plus de 20 000 habitants. L’occasion de dresser un petit rappel pour celles qui n’étaient pas encore dans les clous. Avant un nouveau point, un an plus tard, qui se traduit par un carton jaune pour 22 collectivités donc.
Bien avant de recevoir ce courrier de la part de la Cnil, la municipalité bragarde était au courant de la situation. Par le passé, une personne avait été nommée déléguée à la protection des données : « Une personne des archives s’était portée volontaire pour s’occuper de cette mission. Mais il se trouve qu’elle est partie en congés maternité », contextualise Pauline Picard, chargée de relations médias.
Depuis, selon Pauline Picard, le directeur général des services a lancé un appel à candidatures en interne. « Dès qu’un successeur sera trouvé, la Cnil sera recontactée pour qu’elle lève sa mise en demeure ».
Les risques de sanctions
S’il n’y a pas d’urgence absolue, les délais sont quand même assez restreints : la Ville a quatre mois – à compter de la réception du courrier de la Cnil – pour se mettre en conformité. Autrement, la présidente de la Cnil Marie-Laure Denis pourra « saisir la formation restreinte qui pourra décider d’une amende et la rendre également publique », précise l’organisme. Selon les manquements, les sanctions peuvent varier. Un simple à rappel à l’ordre, une injonction de se mettre en conformité (le montant pouvant aller jusqu’à 100 000 € par jour de retard), la suspension des flux de données adressés à un destinataire, voire une amende administrative (pouvant se compter en millions d’euros pour les cas extrêmes).
Si la Ville de Saint-Dizier fait le choix de se tourner d’abord vers ses agents, la Cnil précise que « la personne désignée DPO peut-être extérieure, et peut être mutualisée avec d’autres collectivités. En revanche, pour des questions de conflits d’intérêts, « un élu ne peut pas être désigné par sa propre collectivité ».
Saint-Dizier a jusqu’à la fin du mois de septembre 2022 pour trouver le sien.
Louis Vanthournout
l.vanthournout@jhm.fr
Les missions du délégué
Le délégué à la protection des données joue un rôle important dans la conformité des traitements des données. D’après la Cnil, son rôle principal est « de veiller au respect du RGPD par les responsables des traitements de données personnelles ». Ce qui nécessite « d’analyser, investiguer, auditer et contrôler ». Capable de répondre « à toute question en matière de protection des données », il doit en interne « veiller à une bonne connaissance des premiers gestes RGPD en cas d’attaque informatique ». Il a également un rôle de médiateur, en recevant d’éventuelles réclamations de citoyens à propos de leurs droits. Enfin, il est le contact privilégié de la Cnil avec laquelle il peut être amené à coopérer en cas de litiges. Par exemple, la présence de données jugées « confidentielles » par le citoyen, sur un moteur de recherche.
