GuiGui's Show

Dans cette affaire, le responsable désigné est le directeur général adjoint du groupe en charge des stratégies financières et du business support. Ce dernier avait signé en mai 2018 un document officiel lui confiant une mission précise, à savoir s'assurer que toutes les directions sous son autorité respectent le RGPD, le règlement européen qui encadre la protection des données personnelles. En clair, la sécurité des données clients, c'était contractuellement son périmètre. Il était, à ce titre, titulaire d'une délégation de pouvoir validée par la présidente du groupe.

Son contrat de travail, étudié par les juges, montre qu'il devait piloter la stratégie informatique du groupe dans son ensemble et en garantir le bon fonctionnement. Autrement dit, il lui était impossible de prétendre que le piratage du site marchand ne le regardait pas. Le cadre dirigeant a pourtant essayé, en pointant du doigt sa directrice générale. La cour d'appel de Paris n'a pas été convaincue.

Face à ce qui est l'une des crises les plus graves de l'entreprise, le mis en cause n'a produit qu'un seul mail daté du 20 janvier 2020. Le message est d'ailleurs si flou que la cour elle-même l'a qualifié de « vague et général ». […]

[…]

Au-delà du cas évoqué, cette décision va résonner chez tous les cadres dirigeants. Une délégation de pouvoir en matière de cybersécurité ou de conformité RGPD n'est pas une simple formalité administrative. C'est un engagement juridique qui vous rend personnellement responsable en cas de défaillance, et comme le montre cet arrêt, un juge peut s'en saisir pour valider un licenciement.

Pour les entreprises, il est crucial de savoir qu'être responsable de la cybersécurité en interne ne suffit pas, encore faut-il que cette personne mesure pleinement ce que cela implique. La cour rappelle par ailleurs un point souvent mal compris. Nommer un DPO, un délégué à la protection des données, ne transfère pas la responsabilité du dirigeant. Les deux fonctions existent en parallèle, et en cas de problème, chacun peut être tenu de rendre des comptes.

Via https://bsky.app/profile/aeris.eu.org/post/3mh6rqbuqus24.