L avocat «Correspondant Informatique et Libertés»

Transcription

1 ASSEMBLÉE GÉNÉRALE DES 3 ET 4 AVRIL 2009 COMMISSION DES RÈGLES ET USAGES L avocat «Correspondant Informatique et Libertés» Avant-projet de décision à caractère normatif Portant réforme du Règlement Intérieur National RAPPORT Aux termes de l article 6.1 du RIN, l avocat est un «auxiliaire de justice et acteur essentiel de la pratique universelle du droit, [il] a vocation à intervenir à titre professionnel dans tous les domaines de la vie civile, économique et sociale». La question s est posée, dans le cadre précité, de savoir si l avocat pouvait être investi de la mission de «correspondant informatique et libertés» (CIL), fonction également dénommée «correspondant à la protection des données personnelles» instituée par la loi n du 6 janvier 1978 relative à l informatique, aux fichiers et aux libertés et instituant la Commission Nationale de l Informatique et des Libertés. Cette réflexion est apparue nécessaire à la fois en raison d une incertitude pesant sur «l assurabilité» d une telle activité par les polices groupes de la profession d avocat, et d une possible incompatibilité entre nos principes essentiels et l obligation apparente du correspondant informatique et libertés de porter un certain nombre de faits à la connaissance de la Commission. En raison de l interprétation du texte par la CNIL, il semble qu une solution puisse être trouvée permettant aux avocats d investir sans crainte ce nouveau champ d activité. 1/7

2 1. TEXTES APPLICABLES La loi n du 6 janvier 1978 «relative à l informatique, aux fichiers et aux libertés» a été modifiée par la loi n du 6 août 2004 qui a introduit dans son article 22 un paragraphe III qui fait une exception à l obligation générale de déclaration à la CNIL des traitements automatisés de données à caractère personnel, pour ceux dont le responsable a désigné un Correspondant des données à caractère personnel chargé d assurer d une manière indépendante le respect des obligations de la loi. Ce correspondant qui est une «personne bénéficiant des qualifications requises pour exercer ses missions et dont la désignation est notifiée à la commission» doit «tenir une liste des traitements effectués immédiatement accessible à toute personne en faisant la demande» et peut «saisir la commission des difficultés qu il rencontre dans l exercice de ses missions.» Le décret du 20 octobre 2005 pris pour l application de la loi du 6 janvier 1978 précité (et qui a été modifié par le décret du 25 mars 2007), détermine de façon plus fine en son article 49 les droits et obligations du Correspondant informatique et libertés. Celui-ci peut faire l objet de consultations, de demandes et de réclamations des personnes intéressées, relatives aux traitements dont il a la responsabilité ; spécialement l article 49 prévoit qu il «informe le responsable des traitements des manquements constatés avant toute saisine de la Commission Nationale de l Informatique et des Libertés». Précisément, l article 51 du décret précité prévoit que la Commission «peut être saisie» à tout moment par le correspondant de toutes difficultés et qu elle peut «solliciter à tout moment les observations du correspondant». La Commission Nationale de l Informatique et des Libertés a élaboré en vue d une réunion qu elle a tenue le 27 janvier 2009 avec le Conseil de l Ordre des avocats du Barreau de Paris une «note de travail» constituée en forme d argumentaire et qui conclut ainsi : - «Il convient de rappeler avec force que l avocat est un acteur tout à fait pertinent pour remplir les missions d un CIL ; - Il dispose à n en pas douter des garanties de compétence technique et d indépendance qui sont requises par la loi ; - Il est, de par sa fonction même, en charge de la protection des libertés publiques et individuelles de sorte que son rôle est essentiel dans les mécanismes de protection des données à caractère personnel définies par les responsables de traitement». L article P du règlement intérieur du barreau de Paris, adopté le 3 mars 2009, dispose : «Avant d exercer l activité de correspondant à la protection des données personnelles, l avocat doit en faire la déclaration au Bâtonnier. Il est tenu au sein de l Ordre un registre des avocats correspondants à la protection des données personnelles. 2/7

3 L avocat correspondant à la protection des données personnelles doit : - Remettre le bilan annuel de ses activités, ainsi que la liste des traitements automatisés pour lesquels il est désigné, à la personne responsable des traitements au sein de l organisme concerné. Le responsable des traitements a la charge de tenir à la disposition de la CNIL ces documents. - Mettre un terme à sa mission s il rencontre de graves difficultés après avoir préalablement informé et effectué les démarches nécessaires auprès de la personne responsable des traitements ; en aucun cas il ne peut dénoncer son client. - Refuser de représenter toute personne ou organisme pour laquelle il exerce, ou a exercé, la mission de correspondant à la protection des données personnelles, dans le cadre de procédures administratives ou judiciaires mettant en cause le responsable des traitements. Dans son activité de correspondant à la protection des données personnelles, l avocat reste tenu de respecter les principes essentiels et les règles du conflit d intérêt». 2. LA PROBLEMATIQUE La lecture des textes précités met en évidence l intérêt qu aurait un avocat d accepter une telle fonction compte tenu de son contenu essentiellement juridique et de son caractère par principe indépendant. Elle peut cependant laisser penser qu il existe une incompatibilité entre les règles déontologiques gouvernant la profession d avocat et les obligations déterminées par la loi et le décret précités. Le correspondant à la protection des données personnelles semble en effet investi d une mission de contrôle et d information tout à fait comparable à celle du commissaire aux comptes des sociétés qui en sont dotées. Informés des réticences de la profession, les services de la Commission Nationale de l Informatique et des Libertés, semble-t-il très désireux que les avocats puissent être désignés en tant que CIL, ont élaboré un document de travail en vue de la réunion du 27 janvier 2009 avec le Conseil de l Ordre : 2.1 Ils exposent, à propos du secret professionnel de l avocat, et, «s agissant de la prétendue obligation de dénonciation du CIL concernant les manquements commis par le responsable du traitement» que : «l article 22 du décret précité ne permet pas à un CIL de saisir directement la CNIL puisqu il doit obtenir préalablement à toute saisine l accord de son client ou de son représentant» (le responsable des traitements). La Commission considère au surplus qu un CIL qui saisirait la CNIL sans l accord préalable d un responsable de traitements s exposerait à engager sa responsabilité professionnelle. La Commission précise que, depuis la mise en œuvre de la fonction de CIL en 2005 et alors que plusieurs avocats ont déjà été désignés dans ces fonctions, il n existe à ce jour aucun contentieux judiciaire ou disciplinaire en cours à propos de la violation dans ce cadre du secret professionnel de l avocat. 3/7

4 La Commission va même jusqu à affirmer qu aucune règle déontologique n oblige l avocat à se limiter à une activité de conseil ou de contentieux et qu il peut a priori tout à fait conseiller son client dans le cadre de ses missions de correspondant, même dans un contentieux éventuel devant la commission restreinte de la CNIL. Selon la CNIL, l avocat CIL peut parfaitement être amené à défendre son client dans le cadre d un contentieux judiciaire. On doit citer la dernière remarque du document de la Commission : «si un avocat CIL constatait par exemple que ses préconisations n étaient pas retenues et s il était amené dans un second temps à représenter son client devant la formation restreinte de la CNIL ou devant une juridiction, rien ne lui interdirait, s il l estimait opportun sur le plan déontologique, de démissionner de sa fonction de CIL et de s abstenir de défendre ce client». La Commission insiste sur le fait que «l avocat est un acteur tout à fait pertinent pour remplir les conditions d un CIL parce qu il dispose des garanties de compétences techniques et d indépendance requises par la loi ( ) il est, de par sa fonction même, en charge de la protection des libertés publiques et individuelles de sorte que son rôle est essentiel dans les mécanismes de protection des données à caractère personnel définis par les responsables de traitement». Dans la mesure où la Commission elle-même considère que l avocat, s il n est pas soumis, contrairement à l apparence de la loi et du décret, à l obligation de dénoncer à l autorité publique, qu est la Commission, les faits qu il a constaté et qui sont imputables au responsable des traitements, on peut concevoir que la mission de CIL ne soit pas de ce fait incompatible dans son principe avec son statut principal. Il faut seulement préciser à quelles conditions. 2.2 L autre question à traiter est l éventuelle incompatibilité au titre du conflit d intérêts, pour un même client, entre les fonctions habituelles de l avocat (conseil, rédaction d actes et contentieux) et les fonctions de CIL. Ces dernières comprennent, à titre principal, une mission de contrôle et de saisine d une autorité et, à titre accessoire, une mission de dialogue et de conciliation ; elles paraissent de ce fait incompatibles avec les missions habituelles de l avocat dans le cadre desquelles celui-ci recueille les confidences de son client et a connaissance d informations confidentielles qui peuvent concerner des irrégularités ou avoir trait à des questions conflictuelles. Il ne faut cependant pas oublier qu aucune saisine directe de la CNIL ne peut être faite par l avocat, celui-ci rendant compte de sa mission à son seul client. Il appartenait dès lors à la Commission des Règles et Usages de déterminer si cette incompatibilité devait être totale ou si elle pouvait, comme l a suggéré le barreau de Paris, être limitée aux procédures administratives ou judiciaires mettant en cause le seul responsable des traitements. 4/7

5 3. PROPOSITION L avocat CIL dispose d une totale liberté à l égard de son client qu est l entreprise ; il peut, et doit, en toute indépendance attirer l attention de celui-ci sur toutes les difficultés dont il a à connaître, au regard de la législation applicable : il est en quelque sorte dans le même situation que celle d un expert-comptable ou d un auditeur à qui est confiée une mission de révision de la situation juridique, fiscale ou sociale de l entreprise. Certes, il est totalement tenu par son statut de CIL, mais il reste indépendant dans sa fonction de dire le droit à son client, quitte à devoir mettre fin à sa mission pour le cas où son client refuserait totalement son message. Bien évidemment, l avocat acceptant une mission de CIL reste avocat et tenu à ce titre de respecter les principes essentiels de la profession, dont la nécessité de gérer les conflits d intérêts. Il convient seulement de renforcer l obligation, pour l avocat, de cesser ses fonctions pour le cas où une difficulté apparaîtrait dans sa relation avec son client. Ainsi, pourrait-on décider que l avocat peut occuper, (comme il le fait d ailleurs semble-til depuis plus de quatre ans) les fonctions de correspondant informatique et libertés dès lors qu il n a pas accepté, antérieurement ou simultanément, les fonctions traditionnelles de l avocat de l entreprise auquel s applique son mandat. Un aménagement approprié des termes du décret du 20 octobre 2005 pourrait être de nature à rendre l adéquation des fonctions de correspondant à la protection des données avec les principes essentiels gouvernant la profession d avocat indiscutable. En cet état la Commission des Règles et Usages, après un débat approfondi, a approuvé les dispositions ci après, qui pourraient être insérées dans le RIN au terme de la procédure habituelle : «Avant d exercer l activité de correspondant à la protection des données personnelles, l avocat doit en faire la déclaration au Bâtonnier. Il est tenu au sein de l Ordre un registre des avocats correspondants à la protection des données personnelles. Dans son activité de correspondant à la protection des données personnelles, l avocat reste tenu de respecter les principes essentiels et les règles du conflit d intérêt. L avocat correspondant à la protection des données personnelles doit mettre un terme à sa mission s il estime ne pas pouvoir l exercer, après avoir préalablement informé et effectué les démarches nécessaires auprès de la personne responsable des traitements ; en aucun cas il ne peut dénoncer son client». Paris, le 27 mars 2009 Arnaud LIZOP Guillaume LE FOYER DE COSTIL 5/7

6 ASSEMBLEE GENERALE DES 3 ET 4 AVRIL 2009 Commission des Règles et Usages L activité de correspondant à la protection des données personnelles Avant-projet de décision à caractère normatif n portant réforme du règlement intérieur national (R.I.N.) de la profession d avocat Document de travail Soumis à la concertation de la profession Conseil National Révision RIN Avant-projet de décision à caractère normatif n /04/2009 DOCUMENT DE TRAVAIL SOUMIS A LA CONCERTATION DE LA PROFESSION CE DOCUMENT EST SUSCEPTIBLE D ETRE MODIFIE ULTERIEUREMENT 6/7

7 Avant-projet de décision à caractère normatif n portant réforme du RIN portant sur l activité de correspondant à la protection des données personnelles Document de travail soumis à la concertation de la profession Article nouveau : l activité de correspondant à la protection des données personnelles (L. n du 6 janv. 1978, art. 22 ; D. n du 20 oct. 2005, art. 49 et s.) Principes Dans son activité de correspondant à la protection des données personnelles, l avocat reste tenu de respecter les principes essentiels et les règles du conflit d intérêt Déclaration à l Ordre Avant d exercer l activité de correspondant à la protection des données personnelles, l avocat doit en faire la déclaration au Bâtonnier. Il est tenu au sein de l Ordre un registre des avocats correspondants à la protection des données personnelles Devoirs L avocat correspondant à la protection des données personnelles doit mettre un terme à sa mission s il estime ne pas pouvoir l exercer, après avoir préalablement informé et effectué les démarches nécessaires auprès de la personne responsable des traitements ; en aucun cas il ne peut dénoncer son client. Conseil National Révision RIN Avant-projet de décision à caractère normatif n /04/2009 DOCUMENT DE TRAVAIL SOUMIS A LA CONCERTATION DE LA PROFESSION CE DOCUMENT EST SUSCEPTIBLE D ETRE MODIFIE ULTERIEUREMENT 7/7