Groupe Lumen : DPO juge et partie et partenariat Fidélio mal qualifié

La qualification ne dépend pas du contrat, mais des faits. Le critère est la participation conjointe à la détermination des finalités et des moyens (CEPD, lignes directrices 07/2020 ; CJUE, Wirtschaftsakademie C-210/16, Fashion ID C-40/17, Témoins de Jéhovah C-25/17). Un contrat qui qualifie une partie de sous-traitant ne lie ni la CNIL ni le juge.

Application.

• Décision commune des segments clients : participation conjointe à la finalité marketing.
• Envoi de SMS par Fidélio pour son propre compte : Fidélio poursuit sa propre finalité, elle n'agit pas sur instruction.
• Réutilisation pour ses partenaires : finalité distincte, donc responsabilité distincte.

Conclusion : responsables conjoints (art. 26) pour les finalités communes, et responsable distinct pour les traitements propres de Fidélio. Le contrat actuel est inadapté sur deux plans : il applique à tort le régime du sous-traitant (art. 28), et il ne contient aucun accord art. 26.

Conséquences.

1. Rédiger un accord art. 26 répartissant les obligations (information, exercice des droits, sécurité, violations) et prévoyant un point de contact unique, l'essence de l'accord devant être mise à disposition des personnes concernées.
2. Informer les personnes sur les deux responsables, les finalités et les droits, et permettre l'exercice des droits auprès de chacun.
3. Pour les traitements propres de Fidélio : base légale autonome, information autonome, et probablement consentement pour la prospection (art. L.34-5 CPCE).
4. Responsabilité solidaire pour les traitements conjoints, chacun pouvant être sanctionné pour l'ensemble.

Ce qu'il faut dire à la direction. L'audit ne peut pas valider le dispositif en l'état : la validation de Sophie, dans sa position actuelle, serait de toute façon contestable.

1. Obligation de désignation : oui. Art. 37-1-b : suivi régulier et systématique des personnes concernées à grande échelle - 4 millions de clients, segmentation, prospection, canaux numériques et magasins. La désignation est également à examiner au titre de l'art. 37-1-c si des données sensibles sont traitées à grande échelle. En France, la désignation est communiquée à la CNIL via le téléservice dédié, avec les coordonnées du DPO.

2. Cumul : en principe incompatible. Les lignes directrices du WP29 sur les DPO (WP243 rev.01, entérinées par le CEPD) posent que le DPO ne peut pas être placé dans une position lui permettant de déterminer les finalités et les moyens d'un traitement, car il devrait ensuite contrôler ses propres décisions. Les fonctions de direction opérationnelle (DSI, RSSI, direction financière, DRH, direction marketing) sont en principe incompatibles.

Ici, le conflit n'est pas théorique : Sophie arbitre les budgets de sécurité et valide les habilitations, c'est-à-dire qu'elle décide des moyens d'un traitement qu'elle devrait ensuite surveiller. Elle serait juge et partie sur l'essentiel des manquements constatables (art. 32).

3. Garanties d'indépendance à satisfaire dans tous les cas (art. 38). Absence d'instructions, pas de licenciement ni de sanction pour l'exercice des missions, rattachement au niveau le plus élevé de la direction, moyens suffisants, accès aux traitements et aux locaux. Le DPO peut être mutualisé entre plusieurs entités (art. 37-2) s'il est joignable, et la fonction peut être externalisée : c'est une solution réaliste pour un groupe de 62 filiales.

4. Deux options.

• Sophie reste DPO et abandonne la direction de la sûreté (transfert hiérarchique effectif, pas seulement sur le papier).
• Sophie reste directrice de la sûreté et un autre DPO est désigné - interne dans une autre filiale, ou externe.

Dans les deux cas, formaliser une lettre de mission, un budget, un rattachement et une procédure d'implication en amont des projets.

Posture d'abord. Ne pas publier un communiqué de minimisation avant d'avoir les faits. La CNIL apprécie la coopération, la célérité et la sincérité ; une communication publique contredite par les constats aggrave l'appréciation. Préparer un point de contact unique et une réponse écrite structurée.

Priorité 1 - gouvernance du DPO (jours). Séparer les fonctions : soit Sophie cesse de diriger la sûreté, soit un nouveau DPO est désigné et la CNIL est informée. Formaliser la lettre de mission, les moyens, le rattachement au plus haut niveau, et la procédure d'implication « dûment et en temps utile » (art. 38-1). Le lancement du CRM sans elle est un manquement visible : le documenter et corriger le processus d'approbation des projets.

Priorité 2 - Fidélio (semaines). Requalifier la relation, signer un accord art. 26, cartographier les finalités propres de Fidélio, revoir les mentions d'information, vérifier la base légale des SMS (art. L.34-5 CPCE), suspendre les réutilisations non couvertes en attendant la mise en conformité.

Priorité 3 - documentation (semaines). Remettre à jour le registre (art. 30) sur les filiales à risque, lancer les AIPD manquantes (CRM, fidélité, segmentation), vérifier les contrats de sous-traitance (art. 28) et les analyses de transfert.

Priorité 4 - preuve et remédiation (mois). Plan d'action daté et budgété, comité de conformité trimestriel, formation des équipes marketing, procédure de gestion des violations, audits fournisseurs. Conserver la trace de chaque décision : c'est l'accountability qui sera examinée, pas la perfection.

Anticipation des griefs. Trois manquements sont facilement caractérisables : indépendance du DPO (art. 37-38, niveau 2 %), qualification erronée du partenariat et information des personnes (art. 5, 6, 13, 26, niveau 4 %), prospection sans base valable (art. L.34-5). Travailler en priorité ceux qui sont déjà démontrables par les documents saisis, et documenter les mesures correctives déjà engagées.