Avocat RGPD et DPO externe à Lyon & Annecy
Structuration de la mise en conformité, revue des contrats de sous-traitance, gestion des risques — ipolit accompagne les directions de PME et ETI dans la maîtrise durable de leurs traitements de données personnelles et assure la fonction de délégué externalisé à la protection des données (DPO) pour veiller à leur conformité RGPD.
La conformité RGPD : un processus, pas un projet.
Le RGPD s'applique dès qu'une activité de l'entreprise implique un traitement de donnée personnelle. Un dossier de conformité constitué puis laissé de côté perd sa valeur en quelques mois : les outils changent, les traitements évoluent, les prestataires se succèdent. La difficulté n'est pas d'atteindre la conformité, elle est de la tenir dans la durée.
ipolit intervient aux deux temps : la structuration initiale du dispositif de conformité, puis son pilotage dans la durée — ponctuellement, ou dans le cadre d'une mission de DPO externe, à Lyon et Annecy.
Identifier les traitements mis en œuvre et les risques associés, mettre en oeuvre les actions de conformité nécessaires et construire le dossier de conformité de l'entreprise. C'est le socle sur lequel repose toute démonstration de conformité RGPD.
Encadrer par contrat chaque relation commerciale impliquant des traitements de données personnelles : contrats clients, accords de sous-traitance, accords de responsabilité conjointe, outils de transfert de données hors Espace Economique Européen. C'est là que se joue la répartition des responsabilités.
Faire vivre la conformité dans la durée : contrôle de conformité régulier, arbitrage des nouveaux projets, gestion des incidents et des demandes d'exercice de droits, correspondance avec la CNIL. C'est l'objet de la mission de DPO externe proposée par ipolit.
Quand faire appel à un avocat en protection des données ?
Vous souhaitez lancer ou reprendre votre démarche de conformité RGPD ?
Cartographie des traitements, rédaction du registre des traitements, qualification des bases légales, définition des durées de conservation, rédaction des mentions d'information et de la politique de confidentialité, plan d'action hiérarchisé sur les écarts identifiés.
Vous devez déterminer si un traitement impose une analyse d'impact (AIPD) ?
Analyse du traitement au regard des critères européens et de la liste publiée par la CNIL, réalisation ou revue de l'AIPD, formalisation des mesures de réduction du risque et, dans certains cas, consultation préalable de la CNIL.
Un client ou un investisseur vous demande de démontrer votre conformité ?
Constitution du dossier de conformité opposable : registre, mentions d'informations, contrats de sous-traitance signés, procédure internes, traces de sensibilisation du personnel — et réponse argumentée aux questionnaires de due diligence ou d'appel d'offres.
Vous confiez le traitement de données à un prestataire (hébergeur, éditeur SaaS, prestataire de paie) ?
Rédaction ou négociation de l'accord de sous-traitance (DPA) : périmètre et durée du traitement, mesures de sécurité, régime de la sous-traitance ultérieure, conditions d'audit, assistance en cas de violation, sort des données en fin de contrat.
Vos clients vous imposent leur propre annexe de protection des données ?
Analyse de l'annexe transmise, identification des engagements disproportionnés ou inexécutables (délais de notification très courts, audits illimités, garanties de localisation), rédaction des contre-propositions et accompagnement de la négociation.
Vous structurez un partenariat dans lequel deux entreprises décident ensemble des finalités ?
Qualification de la responsabilité conjointe et rédaction de l'accord prévu à l'article 26 du RGPD : répartition des obligations, point de contact des personnes concernées, articulation des responsabilités vis-à-vis des tiers.
Vous éditez une solution SaaS et devez fournir une documentation RGPD à vos clients ?
Construction du pack contractuel de l'éditeur : accord de sous-traitance annexé aux conditions générales, description des mesures techniques et organisationnelles, liste des sous-traitants ultérieurs, procédure de notification des violations.
Vous devez déterminer si la désignation d'un DPO est obligatoire pour votre entreprise ?
Analyse au regard de l'article 37 du RGPD : suivi régulier et systématique de personnes à grande échelle, traitement à grande échelle de données sensibles ou relatives à des infractions, obligation sectorielle. Formalisation de la décision, qu'elle conduise ou non à une désignation.
Vous souhaitez externaliser la fonction de DPO auprès d'un avocat ?
Mission de DPO externe assurée sur la base d'une lettre de mission : animation du comité RGPD, conseil régulier, contrôle de la conformité, point de contact de la CNIL et des personnes concernées, reporting à la direction. Le détail figure plus bas sur cette page.
Votre DPO interne a besoin d'un appui juridique sur les dossiers sensibles ?
Assistance ponctuelle du délégué en place : sécurisation des arbitrages difficiles, revue des analyses d'impact, qualification des violations, préparation des échanges avec la CNIL, formation des relais internes.
Vous êtes confronté à une violation de données (intrusion, rançongiciel, envoi erroné, perte d'un support) ?
Qualification juridique de la violation, appréciation du risque pour les personnes, rédaction et dépôt de la notification à la CNIL dans le délai de 72 heures, décision sur l'information des personnes concernées, inscription au registre des violations, articulation avec le dépôt de plainte et la déclaration à l'assureur.
Vous recevez un avis de contrôle ou une demande d'information de la CNIL ?
Préparation du contrôle sur place ou sur pièces, revue du dossier de conformité avant transmission, assistance pendant les opérations de contrôle, rédaction des observations sur le procès-verbal et des réponses aux demandes complémentaires.
Vous avez reçu une mise en demeure ou êtes visé par une procédure de sanction ?
Analyse des griefs, définition de la stratégie de réponse, mise en œuvre et documentation des mesures correctrices dans le délai imparti, rédaction des observations en défense devant la formation restreinte.
Une personne exerce ses droits et la demande soulève une difficulté ?
Qualification de la demande (accès, effacement, opposition, portabilité), appréciation des exceptions applicables et des droits des tiers, rédaction de la réponse motivée dans le délai d'un mois, gestion des demandes manifestement infondées ou excessives.
Vos outils ou vos prestataires donnent accès aux données depuis un pays hors EEE ?
Recensement des transferts concernés, choix du mécanisme d'encadrement du transfert (décision d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes), analyse d'impact du transfert et définition des mesures supplémentaires.
Votre groupe échange des données entre ses entités françaises et suisses ?
Articulation du RGPD et de la loi fédérale suisse sur la protection des données : qualification des flux dans les deux sens, encadrement contractuel, désignation d'un représentant lorsqu'elle est requise, harmonisation des documents d'information.
Vous n'êtes pas établi dans l'Espace Economique Européen mais ciblez le marché français ?
Analyse du champ d'application territorial du RGPD, désignation du représentant prévu à l'article 27, mise en conformité de la documentation destinée au marché français.
La mission de DPO externe.
ipolit peut endosser la fonction de délégué externalisé à la protection des données pour le compte de l'entreprise. La mission couvre principalement les prestations suivantes.
Participation et animation des réunions du comité RGPD, constitué avec les opérationnels clés de l'entreprise.
Conseil régulier sur les projets et les questions courantes impliquant des données personnelles.
Contrôle de la conformité RGPD de l'entreprise et suivi des écarts identifiés.
Point de contact de la CNIL et des personnes concernées.
Reporting à la direction sur l'état de la conformité et les sujets d'arbitrage.
Les actions de mise en conformité en elles-mêmes ne sont, par principe, pas incluses dans les missions du DPO. La CNIL précise en effet que le DPO doit être indépendant et ne peut être "juge et partie" (faire puis contrôler son propre travail).
Il est néanmoins possible de confier au DPO certaines tâches comme l'assistance des opérationnels dans la tenue du registre des activités de traitements, la participation à la réalisation ou à l'évaluation des analyses d'impact ou la supervision des cas de violation de données personnelles, par exemple.
Mission de DPO externe — ETI
Mission de DPO externe pour une ETI du secteur de l'immobilier commercial — conseil, contrôle de conformité, point de contact, accompagnement des équipes sur les projets impliquant des données personnelles.
Les questions que se posent vos équipes.
La désignation est obligatoire dans certains cas : organismes publics, entreprises dont l'activité de base conduit à un suivi régulier et systématique de personnes à grande échelle, ou au traitement à grande échelle de données sensibles ou relatives à des infractions. En dehors de ces cas, la désignation est facultative mais reste souvent retenue volontairement, notamment lorsque des clients l'exigent dans leurs appels d'offres.
La mission et les garanties d'indépendance sont identiques : le RGPD admet expressément que le délégué exerce sur la base d'un contrat de service. La différence est organisationnelle — le DPO externe n'est pas placé dans la hiérarchie de l'entreprise, ce qui écarte le risque de conflit d'intérêts entre une fonction opérationnelle et une mission de contrôle, et il intervient selon un volume de temps défini contractuellement.
Pour une PME structurée ou une entreprise de taille intermédiaire, la phase initiale — cartographie, registre, documentation contractuelle, procédures internes, sensibilisation du personnel — s'étale généralement sur deux à six mois, selon le nombre et la complexité des traitements et la disponibilité des équipes. La conformité se maintient ensuite dans la durée, au rythme des nouveaux projets.
Trois actions en parallèle : contenir l'incident et préserver les traces techniques, documenter les faits dans le registre des violations, et apprécier le risque pour les personnes concernées afin de décider des actions de notification nécessaires, le cas échéant (CNIL et/ou personnes concernées). Le délai de 72 heures court à compter de la prise de connaissance de la violation, et une notification initiale peut être complétée par la suite.
Oui. Un contrôle sur pièces laisse un délai de réponse, et un contrôle sur place donne lieu à des observations consignées au procès-verbal. Dans les deux cas, la cohérence du dossier de conformité — registre des traitements, contrats, politiques et procédures internes, preuves de mise en œuvre — pèse davantage que l'exhaustivité de la conformité au jour du contrôle.
Non, mais le transfert doit être encadré. Les transferts vers des entreprises américaines certifiées au titre du Data Privacy Framework bénéficient d'une décision d'adéquation de la Commission européenne ; pour les autres destinataires, il est nécessaire de recourir à un autre mécanisme de transfert (ex: clauses contractuelles types), réaliser une analyse d'impact du transfert et, le cas échéant, prendre des mesures techniques complémentaires pour maîtriser les risques.
Un avocat en protection des données à Lyon & Annecy.
Éditeurs de logiciels, entreprises innovantes et directions d'ETI de l'agglomération lyonnaise — de la structuration initiale au pilotage courant de la conformité.
Voir le bureau de Lyon →Bassin annécien, Haute-Savoie et axe transfrontalier du Grand Genève — traitements et flux de données entre entités françaises et suisses.
Voir le bureau de Annecy →Une conformité à structurer, une fonction de DPO à externaliser ?
Premier échange gratuit. ipolit évalue votre situation et vous propose un accompagnement adapté à vos enjeux — Lyon & Annecy.