Entretien Alessandro Fiorentino, DPO chez Adequacy : « La majorité des systèmes

LMI : Quelle est votre mission en tant que DPO chez Adequacy ?

Alessandro Fiorentino : En tant que DPO chez Adequacy, un éditeur qui propose une plateforme SaaS d’accompagnement à la mise en conformité RGPD, ma mission est double. D’une part, je dois assurer la conformité des données à caractère personnel dans mon entreprise pour toute la partie RH (ressources humaines) et pour toute la partie clients & prospects où nous avons un rôle de « responsable de traitement ». D’autre part, comme nous agissons en tant que sous-traitant, je dois aussi m’assurer des obligations envers nos clients, le DPO sert à fluidifier la démarche avant-vente et à optimiser le facteur de confiance. Nous avons une obligation d’assistance qui se traduit principalement par la fourniture d’information, les catégories d’activités de traitement que nous assurons et la garantie des mesures de sécurité mises en œuvre.

Face aux enjeux actuels, la souveraineté revient sur le devant de la scène, qu’est-ce que cela vous inspire, les entreprises doivent-elles choisir en priorité des solutions françaises et européennes dans leur transformation numérique ?

Les enjeux d’extraterritorialité des textes ont impacté le droit à la vie privée et ont également mis en exergue des effets de bords concomitants à notre souveraineté technologique. L’Europe est aujourd’hui dépendante d’un grand nombre de services américains et prend tout juste conscience de l’impact de ses usages sur le respect de sa vie privée et sur sa souveraineté. Nous avons laissé les choses se faire en choisissant la facilité d’usage à la place de créer nos propres solutions. Le résultat, c’est vingt ans de retard et un réveil difficile. Aucune stratégie de dégafamisation ne viendra de l’Europe, les impacts économiques pour notre continent seraient trop importants. Pour un décideur, ce dont nous parlons se traduit nécessairement par des budgets de fonctionnement à rebasculer sur de l’investissement alors qu’ils ont tous fait l’inverse il y a dix ans. Malheureusement, assurer notre autonomie stratégique aura forcément des impacts sur notre compétitivité à court terme. Pour faire simple, tant que notre vision sera voilée par nos objectifs de productivité ou de résultats à court terme, rien ne changera. Nous devons prendre position par des actes forts, bousculer nos habitudes, arrêter d’avoir une vision à court terme pour protéger notre société d’une économie mondialisée. La souveraineté n’est pas synonyme d’autarcie, elle est synonyme d’autonomie. Il s’agit de garder notre faculté de choisir, de décider.

Justement, que pensez-vous de ce coût pharaonique, 264 milliards d’euros, dû à la dépendance de l’Europe aux entreprises américaines dans le domaine du cloud et des logiciels ?

Ce constat n’est pas une surprise, mais il est alarmant. Nous vivons dans une économie de marché où la majorité des systèmes d’information sur lesquels elle repose sont contrôlés par les Gafam. Dans une Europe où Microsoft Office 365 est la solution collaborative retenue par la Commission européenne et dans une France qui a laissé l’ensemble des données de santé des citoyens être hébergées chez Microsoft Azure, il faut espérer que le sursaut que nous observons actuellement puisse nous aider à construire notre autonomie stratégique en matière de numérique. Il faudrait un engagement et accompagnement fort de l’Europe pour accélérer l’émergence de champions européens. Elle pourrait commencer par valider la mise en place de l’EUCS intégrant, pour le niveau d’exigence le plus élevé, des critères clairs d’immunité au droit non européen en plus des règles de sécurité techniques et opérationnelles.

Quel rôle joue un DPO dans cette souveraineté ? Et est-ce que cela simplifie sa mission ?

Souveraineté ou pas, pour un DPO cela ne change pas grand-chose. Les transferts de données transatlantiques ne sont pas interdits, ils doivent uniquement faire l’objet d’un encadrement juridique, il en existe plusieurs au chapitre V du RGPD. Beaucoup de DPO privilégient les solutions sans transferts de données hors UE, mais ce n’est pas pour optimiser la sécurité juridique de l’entreprise, c’est dans une optique de sécurité pour leur entreprise face à des ingérences étrangères

De votre point de vue, n’y a-t-il pas malgré tout dans les entreprises une migration plus importante vers des solutions françaises ou européennes ?

Nous ne sommes qu’à l’aube d’une prise de conscience. Beaucoup d’entreprises aveuglées par les objectifs de compétitivité à court terme et par les impacts du changement en interne que pourraient engendrer des migrations vers des solutions souveraines attendront d’être au pied du mur. Le risque est de faire le pas en renonçant à des solutions américaines de qualité proposant des expériences utilisateurs à la pointe, alors que des concurrents miseront sur le statu quo attendant un retour à la normale en termes de situation géopolitique. L’alternative pourrait se traduire par le déploiement de technologies zero trust en surcouche pour gagner du temps en attendant des solutions pour garantir une autonomie stratégique.

Comment travaillez-vous en interne avec les autres décideurs IT ?

Si un DPO se doit d’avoir des compétences techniques et juridiques en fonction du secteur de l’entreprise dans lequel il évolue, il travaille aussi avec les différentes directions de l’entreprise. Si je prends mon exemple chez Adequacy, nous venons de changer notre logiciel de gestion de temps, congés, etc., ma mission est de faire un point avec notre directeur technique pour qu’il me renseigne sur les mesures de sécurité assurées par l’éditeur de cette solution. En parallèle, nous allons regarder avec le DRH les fiches de traitement afin de vérifier s’il y a de nouvelles données, de nouveaux usages prévus afin de maintenir notre conformité, et ce, à chaque évolution des traitements correspondants. Nous sommes une entreprise à taille humaine et nous avons mis en place une gouvernance adaptée à notre organisation, celle-ci peut être déclinable et enrichie chez nos clients ou dans d’autres entreprises pour assurer le maillage le plus adapté.

Comment peut-on aujourd’hui faire face à la pression réglementaire ?

En soi, le métier de DPO n’est pas nouveau, en 1977, l’Allemagne a créé le Datenschutzbeauftragter (délégué à la protection des données), obligatoire pour les entreprises de dix salariés et plus, l’Union européenne l’a généralisé en 1995. En France, la fonction de correspondant informatique et libertés (CIL) a été créée en 2005. C’est toutefois le RGPD en 2018 qui a rendu obligatoire de nommer un DPO pour les organisations publiques, pour les entreprises qui réalisent des traitements dont les finalités exigent un suivi régulier à grande échelle sans oublier, celles qui traitent des données sensibles à grande échelle. C’est vrai, depuis deux ou trois ans, nous faisons face à une inflation réglementaire entre les RGPD, DMA, DSA, DGA, etc., et plus récemment l’IA Act. Le DPO pourrait ainsi se transformer en un véritable compliance officer de la data capable de traiter toutes les données en lien avec ces réglementations incluant même NIS 2 où il pourrait aider le RSSI à répondre au principe d’accountability.

Dans ce cas, est-ce que des prestataires vous accompagnent dans votre travail quotidien et comment jugez-vous la qualité de leurs prestations ?

Bien sûr, le DPO travaille avec des prestataires. Avant de devenir éditeur, Adequacy était un cabinet de conseil, nous avons donc accompagné de nombreux DPO dans la mise en conformité de leur entreprise. Il existe de nombreux cabinets spécialisés qui proposent leurs services et fournissent même pour certains des DPO externes. N’oublions pas également les cabinets d’avocats, lesquels assurent des fonctions de DPO de transition dans certains grands groupes. Quant à la qualité de leurs prestations, il n’y a pas de problèmes particuliers, cependant les missions d’un cabinet ou d’un DPO externe sont toujours limitées dans le temps, budget oblige, celui-ci est trop souvent sous-évalué. Mais cette problématique, le DPO en interne la rencontre également, il dispose d’un budget limité et est parfois obligé d’aller chercher de l’argent dans d’autres services de l’entreprise pour le compléter. C’est encore plus impactant pour les nombreux DPO qui ne sont même pas à temps plein dans leur entreprise.