Une responsabilité sous-estimée Quand on parle de sanction RGPD, on pense amende administrative, chiffre d'affaires, entreprise. Rarement aux personnes qui la dirigent. C'est pourtant un angle mort, et il n'a rien de théorique. Ce que prévoit le droit français Le code pénal comporte des infractions propres aux données personnelles. Traiter des données sans les mesures de sécurité prescrites. Les conserver au-delà de la durée prévue. Pour une personne physique, les peines peuvent atteindre cinq ans d'emprisonnement et 300 000 euros d'amende. Les poursuites restent rares. Elles existent. Et à côté du pénal, la responsabilité civile du dirigeant peut être recherchée lorsqu'une faute de gestion est caractérisée. Des carences banales Les situations à risque n'ont rien d'exceptionnel. Un registre des traitements absent, ou figé depuis des années. Des demandes d'accès laissées sans réponse au-delà du délai légal d'un mois. Un DPO nommé, mais tenu à l'écart des projets, notamment des déploiements d'IA, ou cumulant des fonctions qui le placent en conflit d'intérêts. Prise isolément, chacune ressemble à une erreur de service. Ensemble, elles dessinent un défaut d'organisation. Et l'organisation, c'est la direction. L'accountability, une exigence de preuve Le RGPD ne demande pas au dirigeant de connaître chaque traitement. Il lui demande de pouvoir démontrer qu'une organisation capable de les maîtriser existe. Des moyens attribués. Des arbitrages documentés. Des alertes remontées, puis traitées. Sans trace écrite, impossible de prouver quoi que ce soit. La meilleure volonté du monde ne se démontre pas. Le rôle du DPO, interne ou externalisé C'est là que la fonction de DPO prend tout son poids. Un DPO, qu'il soit salarié ou externalisé, doit disposer d'un canal formel vers la direction, d'un accès aux projets dès leur conception, et d'une indépendance réelle. Un DPO externalisé apporte parfois un avantage : l'absence de cumul de fonctions internes et un regard extérieur sur les priorités. Concrètement, la question à poser en comité de direction change. Non plus « sommes-nous conformes ? », mais « pouvons-nous montrer comment nous avons décidé ? ». Un point trimestriel, un compte rendu, des arbitrages consignés : ça suffit souvent à transformer une exposition personnelle diffuse en gouvernance démontrable.
