3 questions à… Amine Talbi, Group Data Protection Officer

Quel est justement le rôle du Data Protection Officer chez Tessi ?

De par son rôle, le DPO est l’acteur central de la gestion de mise en conformité du Groupe au RGPD. Par ailleurs, pour convenablement exercer mon rôle de DPO auprès de Tessi, je m’appuie, tout d’abord, sur le directeur de conformité Groupe, Patrick Peillon, ensuite, sur l’équipe RGPD avec laquelle je collabore. Elle est constituée d’un DPO adjoint, d’un auditeur risques conformité, de deux juristes dédiés à la protection des données à caractère personnel et enfin d’un réseau de onze « relais DPO » aux profils variés selon nos filiales/BU. Nous nous coordonnons régulièrement pour assurer et maintenir la conformité du Groupe au RGPD. C’est donc un vrai travail d’équipe.

Au quotidien, pour le compte de Tessi, notre travail consiste, d’une part, à veiller au respect de la Politique Générale de Protection de Données du Groupe, et d’autre part, à appliquer les procédures et réaliser des contrôles de conformité pour une protection efficace des données à caractère personnel. Cela concerne les données des employés du Groupe Tessi, les données confiées par nos clients, ainsi que celles confiées à nos fournisseurs.

En outre, pour le compte de nos clients, nous avons le devoir de les informer et de les conseiller sur la conformité de leurs traitements mis en œuvre par Tessi. A ceci, s’ajoute une obligation d’assurer la bonne gestion des demandes d’exercice de droits, de réclamations et de requêtes soumises par les personnes concernées (clients finaux). Cela implique leur transmission aux services compétent, tout en apportant à ces derniers les conseils appropriés.

Enfin, nous sommes également les interlocuteurs privilégiés des autorités de contrôle, sur les questions relatives aux traitements mis en œuvre par le Groupe. Nous pouvons aussi être amené à faire des consultations sur tout type de sujet relatif à la protection des données. Cela nécessite naturellement une parfaite indépendance du service de protection de données par rapport au reste du Groupe.

Quelles sont les missions relatives à votre métier et les sanctions possibles ?

L’un de nos devoirs est bien entendu de rendre compte de nos actions. Tout au long de l’année, nous présentons une restitution complète et fidèle de nos activités à la Direction Générale du Groupe, notamment à travers une cartographie des risques de conformité RGPD et des indicateurs de performance.

Par ailleurs, nous nous chargeons aussi de l’intégration et de l’accompagnement des nouvelles filiales (lors d’une fusion ou d’une acquisition) dans la démarche de mise en conformité du Groupe. En guise d’exemple, nous pouvons citer les entités ADM Value et Proformation, que nous accompagnons dorénavant.

Afin d’assurer la légalité du traitement tout au long du cycle de vie de la donnée, nous appliquons le principe de Privacy By Design/Default en amont de chaque action et nous nous assurons de la mise en place des règles de sécurité adaptée à chaque risque.

Chacune de ces étapes étant essentielle, notre travail requiert une grande rigueur. En effet, en cas de méconnaissance des dispositions du RGPD, l’autorité de contrôle peut prononcer des sanctions pécuniaires pouvant s’élever jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial.

Quels sont les grands chantiers de 2022 ?

Pour l’année 2022, la feuille de route est déjà déterminée et engagée. La stratégie de Tessi pour cette année s’articule autour des axes suivants :

• Poursuivre l’application systématique de la démarche Privacy by Design/Default en tant que responsable traitement et en tant que sous-traitant, dans nos nouvelles offres, lignes de produits, etc. ;
• Réaliser les analyses d’impact identifiées au niveau de chaque filiale ;
• Animer la gouvernance opérationnelle, par le pilotage des actions de mise en conformité au RGPD et l’accompagnement des relais DPO au quotidien ;
• Intégrer les nouvelles filiales dans le dispositif RGPD du Groupe ;
• Réaliser les audits de conformité, en lien avec le planning d’audit 2021-2023 ;
• Assurer le respect des dispositions prévues dans les BCR (Binding Corporate Rules) du Groupe, après adoption de celles-ci par les autorités de contrôle.

Pour rappel : les BCR (ou règles d’entreprise contraignantes – en français) ont pour but d’établir des garanties appropriées et harmonisées à l’échelle du Groupe. Elles permettent aussi d’encadrer les transferts de données à caractère personnel réalisés et de prévenir les risques inhérents aux transferts de ces données vers des pays situés en dehors de l’Union Européenne.

Enfin, pour conclure, l’une des idéologies les plus importantes de la conformité au RGPD peut se résumer en un mantra, que j’apprécie tout particulièrement :
« La conformité RGPD, ce n’est pas un état. C’est un processus permanent ! ».