RGPD et DPO externalisé

Audit de conformité RGPD et plan de mise en conformité

Nous relevons l'écart entre ce que vous faites et ce que le règlement exige, puis nous le traduisons en un plan daté et hiérarchisé. Le détail du périmètre et des livrables figure plus bas.

DPO externalisé et suivi dans la durée

Nous exerçons la fonction de délégué à la protection des données pour votre compte, sur la base d'un contrat de service. Missions, rythme et modalités de désignation : voir également plus bas.

Registre des traitements, politiques et mentions d'information

Le registre de l'article 30 n'est pas un tableau à remplir une fois : c'est le document que la CNIL demande en premier lors d'un contrôle, et celui qui doit refléter vos traitements réels au jour du contrôle. Nous le construisons avec vos équipes métier, puis nous rédigeons ce qui en découle — mentions d'information des articles 13 et 14, politique de confidentialité, politique de conservation, procédure de traitement des demandes de droits, procédure de notification de violation. Nous formons également les personnes qui devront s'en servir : un registre que personne ne sait mettre à jour est périmé en six mois.

Contrats du numérique : sous-traitance, hébergement, SaaS

Chaque prestataire qui touche vos données appelle un accord de sous-traitance conforme à l'article 28 §3. S'y ajoutent, quand les serveurs ou le support sortent de l'Union, les garanties du chapitre V — clauses contractuelles types de la Commission et analyse d'impact du transfert. Nous auditons vos contrats fournisseurs existants, nous rédigeons ceux que vous imposez à vos propres clients, et nous négocions les annexes que les grands éditeurs présentent comme non négociables — elles le sont plus souvent qu'on ne le croit. Ce travail rejoint celui que nous menons sur vos conditions générales et vos contrats de prestation, et, pour l'actif logiciel lui-même, sur la protection de votre code et de vos bases de données.

L'audit de conformité RGPD : périmètre, durée, livrables

Aucun texte n'impose un audit. Ce que le règlement impose, c'est l'article 5 §2 : vous devez être en mesure de démontrervotre conformité. L'audit est la façon la plus courte d'y parvenir — et la seule qui produise une preuve datée si la CNIL vous interroge.

Notre audit couvre huit blocs : la cartographie des traitements, la base légale de chacun (art. 6), les durées de conservation, l'information des personnes (art. 13 et 14), l'exercice des droits (art. 15 à 22), la sécurité (art. 32), la chaîne de sous-traitance (art. 28) et les transferts hors Union (chapitre V). S'y ajoute la revue du site : traceurs et consentement relèvent de l'article 82 de la loi Informatique et Libertés, distinct du RGPD et souvent le point le plus visible depuis l'extérieur.

Il se déroule en trois temps : entretiens avec les responsables métier — commerce, RH, informatique, marketing —, revue documentaire et technique, puis restitution. Vous repartez avec le registre des traitements renseigné, la liste des écarts hiérarchisés par risque et non par ordre alphabétique, le plan d'action daté avec un responsable par action, et les modèles documentaires à déployer.

Le DPO externalisé : missions, rythme, désignation

L'article 37 §6 le prévoit expressément : le délégué peut être un membre du personnel ouexercer ses missions « sur la base d'un contrat de service ». L'externalisation n'est donc pas un arrangement toléré, c'est une modalité inscrite dans le texte.

Ses missions sont fixées par l'article 39 : informer et conseiller, contrôler le respect du règlement, dispenser des conseils sur l'analyse d'impact (art. 35), coopérer avec la CNIL et servir de point de contact. L'article 38 §3 protège cet exercice : le délégué ne reçoit aucune instruction sur ses missions, ne peut être sanctionné pour les avoir exercées, et rend compte au niveau le plus élevé de la direction.

Concrètement, la mission prend la forme d'un point récurrent, d'une veille sur les décisions de la CNIL et du Comité européen, du traitement des demandes de droits qui arrivent, de la conduite des analyses d'impact lorsqu'un nouveau traitement le justifie, et d'une astreinte utile le jour où un incident déclenche le délai de 72 heures. Une fois désigné, le délégué doit être publié et communiqué à la CNIL (art. 37 §7).

Pourquoi un avocat plutôt qu'un consultant

Deux raisons, toutes deux juridiques et vérifiables.

Le secret professionnel.Les consultations adressées par un avocat à son client et les correspondances échangées avec lui sont couvertes par l'article 66-5 de la loi n° 71-1130 du 31 décembre 1971, dont la violation est sanctionnée par l'article 226-13 du code pénal. Un rapport d'audit qui recense noir sur blanc vos non-conformités est, entre les mains d'un consultant, un document comme un autre : communicable, saisissable, transmissible. C'est une différence de nature, pas de degré — et elle pèse au moment précis où le document devient sensible.

L'absence de conflit d'intérêts. L'article 38 §6 interdit que les autres missions du délégué entraînent un conflit d'intérêts. La Cour de justice de l'Union européenne l'a précisé dans son arrêt du 9 février 2023 (X-FAB Dresden, C-453/21) : le délégué ne peut se voir confier des fonctions qui le conduiraient à déterminer les finalités et les moyens des traitements. Un DPO interne qui est aussi directeur des systèmes d'information, directeur juridique ou dirigeant est structurellement exposé à ce reproche. Un avocat extérieur à l'organigramme ne l'est pas — et il vérifie de son côté l'absence de conflit avant d'accepter la mission, l'article 4 du Règlement Intérieur National de la profession le lui imposant déjà.

Nous suivons ici les quatre étapes que nous suivons sur tous nos dossiers, déclinées à la protection des données.

1. Nous écoutons votre situation.Un premier échange, en cabinet ou en visioconférence, pour établir vos qualifications — responsable, sous-traitant, ou les deux — et l'origine réelle de la demande : un client, un investisseur, la CNIL, ou une décision interne.
2. Nous bâtissons une stratégie sur mesure.Vous recevez une proposition écrite : périmètre de l'audit, options, délai, montant convenu. Rien ne démarre sans votre accord.
3. Nous traitons le dossier.Audit, registre, documentation, contrats de sous-traitance, analyses d'impact, ou exercice de la fonction de délégué : votre interlocuteur reste le même du début à la fin.
4. Nous restons disponibles.La conformité n'a pas de fin : un nouvel outil, un nouveau pays, une nouvelle offre rouvrent le dossier. C'est ce que la mission de DPO externalisé couvre en continu.

Nos honoraires suivent les trois formats pratiqués par le cabinet, détaillés avec les montants de nos forfaits et de notre grille : l'abonnement mensuelpour un accompagnement continu — c'est la formule de la mission de délégué à la protection des données, dont la charge est régulière par nature ; le forfait par missionpour l'audit RGPD, dont le périmètre se délimite avant de commencer ; la convention d'honoraires détaillée pour un contentieux ou une procédure de sanction devant la CNIL.

Le montant est annoncé et accepté avant que la mission ne démarre. C'est un engagement du cabinet, pas une formule : vous ne découvrez jamais le coût d'une intervention après coup.

Le cabinet se présente comme un cabinet d'affaires digital depuis bien avant que la conformité ne devienne un sujet de comité de direction, et le droit du numérique fait partie de ses domaines historiques.

• Le parcours. Me Jérôme Pujol a prêté serment en 2000. Master ESSEC, passage chez Gide Loyrette Nouel à Bucarest, avocat associé du cabinet.
• Trois bureaux. Paris, Perpignan et Barcelone — ce dernier sur inscription en Liste E au barreau de la ville.
• L'écosystème startup.Mécénat de l'incubateur UPVD iN CUBE, présence au Mobile World Congress 2021 : les entreprises dont le produit est le traitement de données ne nous sont pas étrangères.
• La transparence tarifaire, pratiquée publiquement par le cabinet depuis des années — c'est rare dans la profession, et c'est vérifiable.

Un dernier point, que nous préférons dire nous-mêmes : ce site relève l'origine de vos visites — paramètres de campagne, identifiants de clic, référent — afin de savoir quelles actions de communication fonctionnent. Cette mesure ne relève pas des exemptions de consentement prévues par l'article 82 de la loi Informatique et Libertés. Elle est décrite dans notre propre politique de confidentialité. Nous conseillons rarement une entreprise sur un sujet que nous ne nous appliquons pas.

Le RGPD est un règlement : il s'applique dans les mêmes termes partout dans l'Union, et l'autorité française est nationale. Le lieu du bureau ne change donc rien au droit applicable — il change le reste : la capacité à conduire des entretiens métier sur site, et la présence régulière qu'attend un délégué à la protection des données.

Depuis notre bureau du 7e arrondissement, nous intervenons auprès des éditeurs de logiciels, des groupes et des investisseurs, chez qui le volet données arrive le plus souvent par la due diligence ou par le questionnaire d'un donneur d'ordre.

À Perpignan, la demande vient plutôt des PME et des ETI du Roussillon qui désignent leur premier délégué, souvent après le contrat d'un grand compte ou d'une collectivité qui l'exige.

Notre implantation catalane traite les flux franco-espagnols. Pour un groupe établi des deux côtés de la frontière, l'article 56 du RGPD désigne une autorité de contrôle chef de fileselon le lieu de l'établissement principal : le mécanisme du guichet unique décide si votre interlocuteur est la CNIL ou l'AEPD espagnole. Cette question se tranche à la structuration, pas au moment du contrôle.