Lorsqu’on évoque les sanctions liées au RGPD, il est naturel de penser immédiatement aux amendes administratives que la CNIL peut infliger à l’entreprise. Toutefois, d’autres sanctions peuvent viser le dirigeant d’une entreprise. En effet, dans certains cas précis le dirigeant peut être mis en cause.
Cet article a pour objectif de vous aider à comprendre comment vous protéger face aux risques liés au RGPD.
La protection des données personnelles fait partie des domaines dans lesquels la responsabilité personnelle du dirigeant peut être engagée :
- au pénal
- au civil,
- et à l’égard de sa propre entreprise, qui peut se retourner contre le dirigeant pour faute de gestion.
Le principe du cumul des sanctions
La sanction dite « classique » est la sanction administrative, celle que prononce la CNIL. Elle vise le responsable de traitement ou le sous-traitant, c’est-à-dire le plus souvent la personne morale. Elle peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Les sanctions moins connues sont celles relevant de la responsabilité personnelle du dirigeant. Ici, ce n’est plus l’entreprise qui est visée, mais la personne physique susceptible d’avoir manqué à ses obligations
La responsabilité pénale du dirigeant
Bien avant le RGPD, le législateur français avait inscrit dans le Code pénal une série d’infractions relatives aux fichiers et aux traitements de données.
La plupart de ces infractions sont punies de cinq ans d’emprisonnement et de 300 000 euros d’amende pour une personne physique.
Voici des exemples de situations à éviter :
- Collecter des données par un moyen frauduleux, déloyal ou illicite. Une collecte cachée, un consentement extorqué, un fichier constitué en contournant les règles.
- Traiter des données sensibles sans base légale.
- Divulguer à un tiers des données portant atteinte à la vie privée des personnes concernées.
Selon les circonstances, certaines négligences peuvent également engager la responsabilité du dirigeant. En l’absence de délégation de pouvoirs valable ou de circonstances particulières, le chef d’entreprise peut voir sa responsabilité recherchée pour certaines infractions commises dans le cadre du fonctionnement de la société.
Le second conseil est donc de structurer sa gouvernance RGPD. L’objectif est de démontrer que la conformité au RGPD a été mise en place.
Cet article pourrait aussi vous intéresser : RGPD 2018-2026 : que faut-il retenir ?
La responsabilité civile du dirigeant
Le RGPD reconnaît à toute personne ayant subi un dommage du fait d’une violation, un droit à réparation, à l’encontre du responsable de traitement. Par principe, c’est la société qui est attaquée et qui indemnise.
Toutefois, il existe la notion de faute détachable. Le dirigeant engage sa responsabilité personnelle envers les tiers lorsqu’il commet intentionnellement une faute d’une particulière gravité, incompatible avec l’exercice normal de ses fonctions sociales.
Transposée à la protection des données, cette grille de lecture désigne des comportements précis à éviter :
- Par exemple, le dirigeant qui organise sciemment une collecte illicite ou une revente de fichiers ;
- Celui qui, ayant été informé par son DPO, son DSI ou un prestataire d’une faille grave, ne donne pas suite à ces alertes.
- Celui qui détourne à son profit les données de l’entreprise, par exemple en emportant un fichier client.
La responsabilité du dirigeant envers sa propre entreprise
Un dirigeant qui, par sa négligence en matière de protection des données ou de sécurité, cause un préjudice à sa société expose celle-ci à des pertes financières, à une atteinte de réputation, à une perte de marchés, voire à la sanction de la CNIL. Or la société, ou ses associés, peuvent se retourner contre lui pour faute de gestion, sur le fondement des règles du Code de commerce qui régissent la responsabilité des dirigeants envers la personne morale.
Cet article pourrait aussi vous intéresser : Data Act : un nouveau cadre pour la gestion des données en Europe
Voici un moyen de protection à adopter : la délégation de pouvoir
Dans cette partie, nous vous proposons une solution permettant de transférer ces nombreux risques.
La délégation de pouvoirs permet au chef d’entreprise de confier à un collaborateur la charge d’un domaine déterminé. Cette délégation transfert ainsi les nombreuses responsabilités du dirigeant sur chacun des délégataires.
Voici les étapes à adopter pour mettre en place une délégation de pouvoirs exonérant le dirigeant de ses responsabilités :
- les délégataires doivent disposer de l’autorité nécessaire pour faire respecter les règles selon leur périmètre ;
- les délégataires doivent disposer des compétences techniques et juridiques pour accomplir la mission ;
- les délégataires doivent disposer de moyens suffisants, humains, techniques et budgétaires, pour exercer leur pouvoir.
Toutefois, la délégation couvre uniquement le domaine délégué. De plus, cela n’exclut pas que le dirigeant s’assure régulièrement que la mission est effectivement exercée.
Distinction avec le DPO : Le délégué à la protection des données conseille, alerte, contrôle et fait le lien avec la CNIL, mais il n’est pas le responsable de la conformité et n’engage pas sa responsabilité pénale à la place du dirigeant. La CNIL l’a rappelé. Désigner un DPO est indispensable, mais cette désignation ne transfère aucune responsabilité juridique vers lui.
Une bonne pratique consiste à désigner un ou plusieurs référents RGPD pour assurer la mise en conformité de l’entreprise.
Conclusion
La sanction administrative de la CNIL n’est qu’une des trois faces du risque. Le dirigeant cumule d’autres responsabilités personnelles.
Ce risque n’est pas une fatalité : il se pilote. Une gouvernance documentée, des délégations de pouvoirs, un DPO écouté et des arbitrages tracés ne sont pas des formalités administratives : ce sont les preuves qui font la différence. La protection des données se fait en équipe. Le dirigeant a pour responsabilité de mettre en place des moyens nécessaires à la mise en place d’une gouvernance des données.
à 
