Même après tant d'années depuis la mise en œuvre de la Loi Générale sur la Protection des Données (LGPD) au Brésil, de nombreuses entreprises continuent de ne pas respecter la norme. La LGPD, qui est entrée en vigueur en septembre 2020, a été créée dans le but de protéger les données personnelles des citoyens brésiliens, en établissant des règles claires sur la façon dont les entreprises doivent collecter, stocker et traiter ces informations. Cependant, malgré le temps écoulé, de nombreuses entreprises ont peu progressé dans la mise en œuvre de la norme.
Récemment, l'Autorité Nationale de Protection des Données (ANPD) a intensifié la surveillance des entreprises qui ne disposent pas d'un délégué à la protection des données, également connu sous le nom de Data Protection Officer (DPO). L'absence d'un DPO est l'une des principales infractions identifiées, car ce professionnel est essentiel pour garantir que l'entreprise soit conforme à la LGPD. Le DPO agit en tant qu'intermédiaire entre l'entreprise, les titulaires des données et l'ANPD, étant responsable de surveiller la conformité des politiques de protection des données et d'orienter l'organisation sur les meilleures pratiques.
Et ces données peuvent n'être que la "pointe de l'iceberg". En réalité, personne ne sait combien d'entreprises n'ont pas encore adopté la norme. Il n'existe pas de recensement officiel unique consolidant les chiffres exacts de toutes les entreprises non conformes à la LGPD. Des recherches indépendantes indiquent qu'en termes généraux, le pourcentage peut varier entre 60 % et 70 % des entreprises brésiliennes, en particulier parmi celles de petite et moyenne taille. Dans le cas des grandes, le pourcentage est encore plus élevé, pouvant atteindre 80 %.
Pourquoi l’absence de DPO fait une différence
En 2024, le Brésil a sûrement dépassé le nombre de 700 millions d'attaques de cybercriminels. On estime qu'il y a près de 1 400 arnaques par minute et, bien sûr, les entreprises sont les principales cibles des criminels. Des crimes tels que le ransomware – dans lequel les données deviennent généralement des « otages » et que, pour ne pas être publiées en ligne, les entreprises doivent payer une somme financière énorme – sont devenus courants. Mais jusqu'à quand le système – les victimes et les assureurs – va-t-il supporter un tel volume d'attaques ?
Il n'est pas possible de répondre à cette question de manière appropriée, d'autant plus lorsque les victimes elles-mêmes cessent de prendre les mesures nécessaires pour protéger les informations. L'absence d'un professionnel spécialisé dans la protection des données ou, dans certains cas, lorsque la personne responsable de ce domaine cumule tellement de fonctions qu'elle ne peut pas remplir cette tâche de manière satisfaisante, aggrave encore davantage cette situation.
Il est évident que la désignation d'un responsable ne résout pas à elle seule tous les défis d'adaptation, mais elle montre que l'entreprise s'engage à mettre en place un ensemble de pratiques cohérentes avec la LGPD. Cependant, ce manque de priorisation ne se limite pas à la possibilité de sanctions, mais comporte également des risques réels d'incidents de sécurité, qui entraîneront un préjudice considérable. Les amendes applicables par l'ANPD ne représentent qu'une partie du problème, car les pertes intangibles, telles que la confiance du marché, peuvent être encore plus douloureuses. Dans ce contexte, une surveillance plus intensive est considérée comme une action nécessaire pour renforcer les mécanismes de conformité à la législation et encourager les organisations à mettre la confidentialité des titulaires au premier plan.
Engager un DPO ou externaliser ?
Engager un DPO à temps plein peut être une tâche compliquée, car il n'y a pas toujours la demande ou l'intérêt à allouer des ressources internes à cette demande.
Dans ce sens, la sous-traitance est de plus en plus considérée comme une solution pour les entreprises qui souhaitent respecter la législation de manière efficace, mais qui ne disposent pas d'une grande structure ou de ressources pour maintenir une équipe pluridisciplinaire dédiée à la protection des données. Lorsqu'on fait appel à un prestataire de services spécialisé, l'entreprise accède à des professionnels ayant plus d'expérience pour gérer les exigences de la LGPD dans différents secteurs du marché. De plus, avec un responsable externe, l'entreprise commence à considérer la protection des données comme quelque chose d'intégrée à la stratégie, plutôt que comme un problème ponctuel auquel on prête attention uniquement lorsqu'une notification arrive ou qu'une fuite se produit.
Cela contribue à la création de processus robustes sans qu'il soit nécessaire d'investir massivement dans le recrutement, la formation et la rétention des talents. La externalisation du responsable des données va au-delà de simplement nommer une personne extérieure. Le prestataire fournit généralement une consultation continue, réalisant des activités de cartographie et d'analyse des risques, aidant à l'élaboration de politiques internes, menant des formations pour les équipes et suivant l'évolution de la législation et des normes de l'ANPD.
De plus, il y a l'avantage de disposer d'une équipe qui possède déjà une expérience dans des cas pratiques, ce qui réduit la courbe d'apprentissage et aide à prévenir les incidents pouvant entraîner des amendes ou des dommages à la réputation.
Jusqu'où va la responsabilité du DPO externalisé ?
Il est important de souligner que la sous-traitance n'exonère pas l'organisation de ses responsabilités légales. L'idée est que l'entreprise maintienne l'engagement de garantir la sécurité des données qu'elle collecte et traite, car la législation brésilienne précise que la responsabilité en cas d'incidents ne revient pas uniquement à la personne en charge, mais à l'ensemble de l'institution.
Ce que la sous-traitance offre, c'est un support professionnel qui comprend les démarches nécessaires pour maintenir l'organisation en conformité avec la LGPD. La pratique de déléguer ce type de tâche à un partenaire externe est déjà adoptée dans d'autres pays, où la protection des données est devenue un point critique de gestion des risques et de gouvernance d'entreprise. L'Union européenne, par exemple, avec le Règlement général sur la protection des données, exige que de nombreuses entreprises désignent un délégué à la protection des données. Là, plusieurs entreprises ont opté pour la sous-traitance du service en faisant appel à des cabinets de conseil spécialisés, apportant lacompétencepour « à la maison », sans avoir besoin de créer tout un département pour cela.
Le responsable, conformément à la législation, doit avoir l'autonomie pour signaler les défaillances et proposer des améliorations, et certaines directives internationales suggèrent que le professionnel doit être libéré de pressions internes qui limiteraient sa capacité de contrôle. Les cabinets de conseil qui offrent ce service élaborent des contrats et des méthodologies de travail garantissant ce type d'indépendance, en maintenant une communication transparente avec les gestionnaires et en établissant des critères clairs de gouvernance.
Ce mécanisme protège à la fois l'entreprise et le professionnel lui-même, qui doit avoir la liberté d'indiquer les vulnérabilités même si cela va à l'encontre des pratiques établies dans un secteur ou un département donné.
L'intensification de la surveillance de l'ANPD est un signe que le contexte de tolérance cède la place à une posture plus ferme, et ceux qui choisiront de ne pas traiter ce problème maintenant pourraient faire face à des conséquences plus lourdes dans un avenir pas si éloigné.
Pour les entreprises qui recherchent une voie plus sûre, la sous-traitance est un choix capable d'équilibrer coût, efficacité et fiabilité. Avec ce type de partenariat, il est possible de combler les lacunes dans l'environnement interne et de structurer une routine de conformité qui protégera l'entreprise à la fois contre les sanctions et contre les risques liés au manque de transparence et de sécurité concernant les données personnelles dont elle a la responsabilité.
