Pour ce portrait, nous découvrons le parcours de Nathalie Chiche, avocate au Barreau de Paris, médiatrice numérique et déléguée à la protection des données (DPO). Elle revient sur son parcours atypique, le métier de DPO et ses conseils pour les jeunes avocats qui souhaitent se spécialiser dans cette filière.
Pouvez-vous vous présenter et nous présenter votre parcours ?
Je suis avocate au Barreau de Paris et déléguée à la protection des données depuis 2018. Auparavant, j’ai eu un parcours assez atypique après ma demande d’omission en 1997. J’ai d’abord privilégié ma vie familiale, avec quatre jeunes enfants, puis occupé différents postes au gré de mes rencontres : investisseuse en immobilier, directrice de la communication d’une institution politique, conseillère de l’Ambassadeur des droits de l’Homme au Quai d’Orsay et rapporteur d’une étude du CESE sur la gouvernance d’internet. La protection des données étant l’un des enjeux de cette gouvernance, j’ai décidé de reprendre mes études pour me former au droit des données et exercer mon métier d’aujourd’hui.
En quoi ce métier est-il une opportunité pour les futurs avocats ?
Un avocat peut se spécialiser depuis 2012 et obtenir un certificat attestant de ses compétences dans un domaine. Récemment, le « droit à la protection des données personnelles » a été ajouté à la liste des spécialisations du Conseil national des barreaux (20 octobre 2021). Les avocats peuvent donc désormais se faire certifier spécialistes en la matière.
L’objectif est de valoriser l’activité de DPO (Data Protection Officer), instaurée par le Règlement général sur la protection des données (RGPD), entré en application le 25 mai 2018. Le DPO est désigné « sur la base de ses qualités professionnelles et, en particulier, de ses connaissances spécialisées du droit et des pratiques en matière de protection des données » (art. 37.5 du RGPD). Aujourd’hui, cette activité est principalement exercée par des professionnels non-avocats – consultants RGPD ou sociétés commerciales — et c’est dommage.
En quoi consiste le métier de DPO externe ? Peut-on être avocat et DPO ?
Le DPO est un acteur clé de la conformité au RGPD. Sa fonction est réglementée et définie avec précision aux articles 37 à 39 du RGPD. Mes principales missions sont :
- informer, conseiller et accompagner l’organisme qui me désigne afin de faire respecter le règlement européen et le droit national en matière de protection des données ;
- sensibiliser, au sein de la structure, aux enjeux de la protection des données des employés comme des clients ;
- superviser des audits internes ;
- conseiller le responsable sur l’opportunité de réaliser une analyse d’impact relative à la vie privée et en vérifier l’exécution ;
- recevoir et répondre à toute question ou réclamation relative à la protection des données ;
- coopérer avec l’autorité de contrôle – en France, la CNIL — et en être le point de contact.
Il est tout à fait possible d’exercer comme avocat et DPO externe, en tenant compte des dispositions de l’article 6 du RIN, notamment l’obligation de déclarer ses fonctions de DPO au Bâtonnier par écrit (art. 6.4) et la réglementation des conflits d’intérêts, qui interdit de représenter une personne ou un organisme pour lequel on exerce ou a exercé la mission de DPO dans une procédure le mettant en cause (art. 6.3.3).
Pour devenir DPO, je conseille d’obtenir a minima un certificat de spécialisation « Protection des données », dispensé par le Cnam, et de suivre une formation diplômante, comme un diplôme universitaire de délégué à la protection des données. Je ne pense pas qu’une simple formation de cinq jours suffise.
Quelles qualités sont nécessaires pour exercer ce métier ?
Pour la CNIL, le DPO est le « chef d’orchestre » de la conformité en matière de protection des données au sein de son organisme. Il faut donc beaucoup de pédagogie pour sensibiliser et former les collaborateurs, sans oublier des compétences juridiques – le RGPD est un texte très technique — ainsi que des compétences techniques et organisationnelles. On dit souvent que le DPO est un mouton à cinq pattes.
