Par Haas Avocats
En tant que professionnel des affaires publiques, les cabinets ou services d’entreprises spécialisés en conseil en affaires publiques/ représentation d’intérêt sont amenés à traiter des données personnelles dans le cadre de leurs activités.
Afin de s’approprier le RGPD pour plus de sécurité juridique, tout en aidant leurs pairs à mener des actions concrètes pour protéger les données personnelles, les professionnels des affaires publiques ont ainsi publié un guide, en concertation avec la CNIL.
Au-delà de rappeler les qualifications juridiques des acteurs prévues par le RGPD et applicables aux professionnels des affaires publiques[1], le guide donne des exemples concrets de statuts appliqués au métier du « conseil en affaires publiques ».
Pour rappel, le responsable de traitement est celui qui détermine les finalités et les moyens essentiels du traitement. A cet égard, plusieurs scénarios sont envisagés:
Pour fonder légalement le traitement des données personnelles, le guide explicite différentes bases légales pouvant être invoquées :
Le guide va même jusqu’à prévoir le cas où les données traitées par ces professionnels sont des données sensibles[2] (telles que des données relatives aux opinions politiques ou syndicales ou à la santé des personnes concernées). Parmi ces données, seules celles manifestement rendues publiques ou celles pour lesquelles la personne concernée a consenti explicitement à leur traitement pourront être collectées par ces professionnels[3].
Si le responsable de traitement doit déterminer la durée opérationnelle du traitement en fonction des finalités prévues, il doit également prendre en compte les obligations de conservation et les délais de prescription applicables[4].
A titre d’exemple, les représentants d’intérêt ont l’obligation de conserver et de tenir à la disposition de la HATVP les éléments relatifs à leurs actions de représentation d’intérêt, aux dépenses qu’ils y ont consacré, ainsi que les pièces permettant de justifier du respect des règles déontologiques pendant cinq ans à compter de l’exercice comptable suivant celui au cours duquel l’activité de représentation d’intérêt a été menée[5].
En outre, les données des clients des avocats ne doivent pas être conservées au-delà d’un an à l’issue de la relation contractuelle au sein de la base active, mais ne peuvent toutefois être effacées avant l’écoulement de la durée de prescription de la responsabilité civile professionnelle de l’avocat (cinq ans) en archivage intermédiaire.
Les principes de transparence et de loyauté des traitements de données personnelles imposés aux organismes par le RGPD se manifestent par une obligation d’information de la personne concernée par le traitement. Cette information doit être délivrée de manière concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples[6].
A ce titre, une information individuelle de la personne concernée est nécessaire lorsque ses données de contact sont traitées, et notamment en vue d’actions de représentation d’intérêt[7].
Cependant, dans le cas où un professionnel des affaires publiques traite des données personnelles, il peut ne pas informer individuellement la personne concernée dans certains cas :
Pour satisfaire à leurs obligations au titre du RGPD, les professionnels des affaires publiques devront tout de même mettre en œuvre des garanties appropriées pour protéger les droits et libertés des personnes concernées, et notamment publier une information générale sur leur site web.
A travers ce guide, la CNIL tente de couvrir les traitements propres aux professionnels des affaires publiques ou traitements dits « cœur de métier » avec un certain succès. Espérons donc que les différents acteurs s’en serviront dans leur mise en conformité.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.
[1] Dans quel cas le professionnel peut se retrouver responsable de traitement ou sous-traitant
[2] Dont le traitement est par principe interdit (article 9 du RGPD)
[3] (p.27)
[4] (p.53)
[5]Délibération de la Haute Autorité pour la Transparence de la Vie Publique (HATVP) du 2019-28 du 20 mars 2019
[6] Article 12 du RGPD
[7] Décision de la CNIL n° SAN-2021-012 du 26 juillet 2021