Arbitrage RGPD : documenter un désaccord métier

La direction peut ne pas retenir une recommandation du DPO. Elle doit toutefois respecter les obligations applicables, préserver l’indépendance du délégué et pouvoir démontrer pourquoi le traitement reste conforme. Une signature « risque accepté » ne remplace ni une base légale, ni une mesure de sécurité nécessaire, ni une consultation préalable obligatoire.

Le document utile n’est donc pas une décharge signée par le DPO. C’est une décision qui expose les faits, les positions, la solution retenue et les conditions de sa mise en œuvre. Elle permet aussi de distinguer un choix différent mais défendable d’un lancement auquel manque une condition juridique.

Qui conseille, qui décide et qui contrôle ?

Le DPO informe, conseille et contrôle le respect du RGPD, selon l’Art. 39(1)(a) et (b). Le responsable du traitement met en œuvre les mesures appropriées et doit pouvoir démontrer la conformité, selon l’Art. 24(1). Le fait de demander un avis ne transfère pas cette obligation au délégué. RGPD, Art. 24 et 39.

L’Art. 38(1) impose d’associer le DPO de manière appropriée et en temps utile. Lui transmettre un dossier la veille du lancement, après un engagement fournisseur irréversible, risque de priver sa participation d’effet. La consultation doit pouvoir influer sur le projet : périmètre, fonctionnalités, contrat ou calendrier.

L’Art. 38(3) interdit les instructions relatives à ses missions et les sanctions motivées par leur exercice. Il prévoit un rapport direct au niveau le plus élevé de la direction. Cela ne signifie pas que le DPO décide de tous les achats ou dispose d’un veto général. Le cadre de l’article 38 protège sa capacité d’analyse et d’alerte ; il n’en fait pas le responsable opérationnel du traitement.

La CNIL recommande de consigner les raisons pour lesquelles son avis n’a pas été suivi. Cette bonne pratique documentaire ne transforme pas chaque recommandation en ordre obligatoire. Elle permet de retrouver un raisonnement plutôt qu’une simple opposition de signatures. Guide pratique du DPO, fiche 5, association du délégué aux décisions.

Déterminer ce qui fait réellement désaccord

Avant de réunir la direction, formulez le point à trancher en une phrase vérifiable. « Le DPO bloque l’outil » est inutilisable. « Le prestataire affirme que les pièces jointes sont désactivables, mais nous n’avons aucune preuve que ce réglage concerne aussi les anciens tickets » permet une action.

Un fait non établi reste une incertitude ; il ne devient pas vrai parce que plusieurs personnes l’estiment probable. Une évaluation des preuves du fournisseur peut alors constituer un préalable. L’arbitrage porte sur la manière de lever le blocage, pas sur la permission d’ignorer l’information manquante.

Pour un désaccord juridique sérieux, un avis complémentaire peut éclairer la décision. Donnez à son auteur le même dossier, y compris l’analyse initiale et les objections. Rechercher uniquement une phrase favorable en dissimulant les faits gênants ne produit pas une justification solide.

Comparer les solutions sans confondre préférence et obligation

Exemple hypothétique. Une PME vend du mobilier aux particuliers. Son équipe après-vente veut transmettre au support technique d’un éditeur des captures montrant un défaut d’affichage de son outil de suivi des commandes. Les captures peuvent contenir noms, adresses de livraison et commentaires clients.

Le DPO demande d’éviter ces données lorsqu’elles ne sont pas nécessaires au diagnostic. Cette exigence découle de la minimisation de l’Art. 5(1)(c). Il recommande, comme moyen de l’appliquer, un outil automatique de masquage avant toute ouverture du nouveau circuit de support. La direction estime que cet outil retardera le projet. Principe de minimisation et obligation de justification, Art. 5(1)(c) et 5(2).

Trois options sont examinées. Envoyer toutes les captures telles quelles est écarté : la commodité ne démontre pas que les coordonnées sont utiles à un problème de mise en page. Attendre le masquage automatique répondrait à la recommandation. La troisième option consiste à reproduire le défaut avec une commande fictive ; si cela ne suffit pas, un circuit séparé examine les seules informations réellement nécessaires avant un éventuel transfert.

La direction retient la troisième option. Elle ne prétend pas avoir rendu inutiles les contrats, les habilitations ou l’analyse des transferts éventuels. Ceux-ci restent à vérifier pour les opérations réellement confiées au fournisseur. Elle accepte seulement un démarrage plus limité que celui demandé par l’équipe métier.

Le DPO maintient sa préférence pour une automatisation future et recommande de surveiller la charge du circuit manuel. Il ne juge pas nécessaire d’inventer un interdit légal contre toute autre méthode. La direction conserve cet avis tel quel, sans réécrire « accord du DPO sur le projet initial ».

Une décision renseignée, avec un périmètre opposable aux équipes

Voici la note retenue dans cet exemple. Les noms de circuit et les étapes constituent une proposition pratique ; aucun délai réglementaire de validation n’est créé.

Dans le déroulement fictif, les quatre preuves préalables sont réunies. Le premier diagnostic utilise une commande de démonstration et l’éditeur reçoit uniquement la capture correspondante. Le compte professionnel de l’expéditeur reste une donnée personnelle : l’entreprise ne décrit donc pas tout le service de support comme « hors RGPD ».

Un second problème ne se reproduit pas avec le modèle disponible. L’équipe ne transmet pas alors le dossier client par habitude. Elle complète d’abord la reproduction ; si elle estime indispensable une information réelle, elle documente cette nécessité et fait examiner les destinataires, la sécurité et le cadre juridique avant l’envoi. La décision S-4 continue à autoriser uniquement son périmètre initial.

Cette distinction évite deux erreurs : immobiliser une activité qui peut être menée sans les données litigieuses, ou utiliser une autorisation limitée comme approbation permanente de tous les usages futurs.

Ce qu’une acceptation de risque ne peut pas couvrir

Le RGPD prévoit une approche tenant compte du risque, notamment aux Art. 24(1) et 32(1). Elle aide à déterminer des mesures appropriées ; elle ne permet pas de remplacer une condition obligatoire par le budget que l’entreprise accepte de perdre en cas de sanction.

Si aucune base légale ne couvre l’opération, cherchez une conception licite ou renoncez à cette opération. Si une information requise manque, organisez sa délivrance au moment prévu. Si une analyse d’impact est obligatoire, elle doit précéder le traitement selon l’Art. 35(1). Le DPO conseille sur cette analyse lorsqu’il est désigné, selon l’Art. 35(2) ; son avis ne tient pas lieu d’analyse.

Lorsque la situation remplit les conditions de consultation préalable de l’Art. 36(1), un comité interne ne remplace pas l’autorité de contrôle. Il faut traiter cette exigence avant l’opération. Un changement du risque peut aussi imposer de réexaminer l’AIPD, conformément à l’Art. 35(11). Art. 32, 35 et 36.

Conserver l’avis et vérifier l’exécution

La note finale distingue trois pièces : l’avis reçu, la décision du responsable et les preuves de mise en œuvre. Une échéance dans un tableau prouve une intention ; une configuration relevée, une instruction effectivement diffusée ou un résultat de contrôle documenté permet d’apprécier son exécution.

Conservez la version de l’avis sur laquelle la direction s’est prononcée. Une reformulation courte peut accompagner l’original, à condition de préserver les réserves. La case « DPO consulté » peut attester la consultation ; « DPO favorable » ne doit apparaître que si elle correspond réellement à sa position et à son périmètre.

Si la décision n’est pas appliquée, le responsable du projet signale l’écart et empêche la poursuite de l’opération concernée dans des conditions non autorisées. Le DPO peut faire directement rapport à la direction. Il doit disposer des accès et ressources nécessaires au contrôle, en application de l’Art. 38(2), sans recevoir l’ordre de transformer une action en retard en conformité acquise.

Limitez l’accès au dossier aux acteurs utiles. Une note peut contenir des données de salariés, des incidents ou des informations sensibles sur la sécurité. Sa circulation incontrôlée n’est pas nécessaire pour démontrer que l’arbitrage a eu lieu.

Ce qu’il faut retenir

• La direction décide, tandis que le DPO conserve son indépendance de conseil et de contrôle.
• Séparez fait incertain, interprétation juridique et choix entre mesures appropriées.
• Documentez une décision précise, ses conditions et ses preuves ; préservez l’avis original.
• Une acceptation de risque ne dispense jamais d’une condition légale obligatoire.

FAQ

Le DPO doit-il signer une décision qu’il désapprouve ?

Une signature peut attester la réception ou la consultation, si cette portée est explicite. Elle ne doit ni inventer une approbation ni transférer les obligations du responsable du traitement au DPO.

Chaque désaccord doit-il être transmis à la CNIL ?

Non, il n’existe pas d’obligation générale de notifier les divergences internes. Les obligations propres au dossier restent applicables, notamment une consultation préalable ou une notification de violation lorsque leurs conditions sont réunies.

La direction peut-elle demander au DPO de corriger son analyse ?

Elle peut lui soumettre de nouveaux faits ou des arguments et demander des précisions. Elle ne peut lui imposer la conclusion de son avis dans l’exercice de ses missions, conformément à l’Art. 38(3).

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.