FAQ
Questions fréquentes
Vous trouverez ici les réponses aux questions que me posent le plus souvent les éditeurs de sites, d'applications et de jeux vidéo, les régies et les plateformes : désignation d'un DPO externalisé, consentement aux cookies, analyse d'impact (AIPD), exploitation commerciale des données, due diligence avant une levée de fonds et programme anti-corruption. Ces réponses sont données à titre d'information générale ; chaque situation mérite une analyse adaptée.
DPO externalisé
Qu'est-ce qu'un DPO externalisé ?
Le délégué à la protection des données (DPO) est la personne chargée de piloter la conformité RGPD d’une organisation : tenue du registre des traitements, conseil sur les analyses d’impact, supervision du traitement des demandes des personnes et relation avec la CNIL. Lorsqu’il est externalisé, cette fonction est confiée à un prestataire extérieur, désigné officiellement auprès de la CNIL. Une avocate DPO ajoute le secret professionnel et l’indépendance attachés à sa profession.
DPO externalisé
Mon entreprise doit-elle désigner un DPO ?
La désignation est obligatoire dans trois cas (article 37 du RGPD) : organisme public, activité de base impliquant un suivi régulier et systématique des personnes à grande échelle, ou traitement à grande échelle de données sensibles. En pratique, un éditeur de site, d’application ou de jeu vidéo exploitant une base B2C importante, du tracking publicitaire ou de la télémétrie entre fréquemment dans le deuxième cas. Hors obligation, la désignation reste possible et constitue un signal de sérieux auprès des partenaires et investisseurs.
DPO externalisé
Quelle différence entre DPO externalisé et conseil ponctuel ?
Le DPO externalisé est désigné auprès de la CNIL et suit la conformité dans la durée, selon un forfait d’heures calibré sur l’activité. Le conseil ponctuel répond à un besoin précis : lancement d’un produit, rédaction d’un contrat, analyse d’impact. Pour les entreprises disposant déjà d’un DPO interne, un troisième format existe : l’accompagnement du DPO en binôme, pour partager l’analyse et absorber les pics de charge.
Lancer un nouveau produit web
Faut-il une analyse d'impact (AIPD) avant de lancer une application ?
L’analyse d’impact relative à la protection des données (AIPD ou DPIA) est obligatoire lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les personnes : profilage, géolocalisation, suivi comportemental, données sensibles ou croisement de bases. La CNIL publie une liste de traitements pour lesquels l’AIPD est requise. Pour une application collectant des données de navigation, de localisation ou de comportement en jeu, la réponse est le plus souvent oui, et l’analyse se mène avant la mise en production.
Lancer un nouveau produit web
Quels documents juridiques prévoir pour la création de comptes utilisateurs ?
Au minimum : une politique de confidentialité, des mentions d’information sous chaque formulaire de collecte, des conditions générales d’utilisation et, pour les applications et jeux, des clauses RGPD dans l’EULA. S’y ajoutent un bandeau cookies si des traceurs non essentiels sont déposés, et un registre des traitements en interne. L’ensemble doit être cohérent avec le parcours réel de l’utilisateur, d’où l’intérêt d’une revue des écrans avant lancement.
Lancer un nouveau produit web
Qu'est-ce qu'un dark pattern et pourquoi l'éviter ?
Un dark pattern est une interface conçue pour orienter l’utilisateur vers un choix qu’il n’aurait pas fait spontanément : case pré-cochée, bouton « Tout accepter » mis en avant sans équivalent pour refuser, parcours de désinscription plus long que l’inscription. Le RGPD, le Digital Services Act et la CNIL les sanctionnent car ils vicient le consentement. Les identifier avant le lancement évite une refonte coûteuse des parcours.
Exploiter intelligemment vos données
Peut-on vendre ou louer une base de données clients ?
Oui, à des conditions strictes. Les personnes doivent avoir été informées de cette finalité lors de la collecte, disposer d’une base légale adaptée (consentement pour la prospection électronique, intérêt légitime documenté dans certains cas B2B) et pouvoir s’y opposer facilement. Le contrat avec l’acquéreur ou le locataire encadre les usages autorisés, la durée et la sécurité. Une base constituée sans cette anticipation est difficilement monétisable en l’état.
Exploiter intelligemment vos données
Peut-on enrichir ses données clients avec des données tierces ?
L’enrichissement consiste à compléter un profil client par des données issues d’autres sources (courtiers, partenaires, open data). Il suppose de vérifier l’origine licite des données tierces, d’informer les personnes de cet enrichissement et, selon les cas, de réaliser une analyse d’impact. Le ciblage comportemental qui en résulte doit reposer sur une base légale solide et offrir un droit d’opposition effectif.
Exploiter intelligemment vos données
Le règlement européen sur l'IA (AI Act) concerne-t-il mes algorithmes de recommandation ?
L’AI Act classe les systèmes d’IA par niveau de risque. Un moteur de recommandation de contenus ou de produits relève en général d’un risque limité, avec des obligations de transparence. Un système de scoring ayant un impact sur l’accès à un service ou sur une décision individuelle peut relever du risque élevé, avec documentation technique et évaluation d’impact. La première étape consiste à qualifier chaque système pour identifier le régime applicable.
Monétiser vos espaces publicitaires
Le consentement est-il obligatoire pour la publicité ciblée ?
Oui dès lors que la publicité ciblée repose sur des cookies ou traceurs non essentiels, ce qui est le cas du ciblage comportemental et du reciblage. Le consentement doit être libre, éclairé et aussi simple à refuser qu’à donner. La publicité contextuelle, qui s’appuie sur le contenu de la page et non sur le profil de l’utilisateur, peut en revanche être diffusée sans consentement et constitue le socle d’une stratégie cookieless.
Monétiser vos espaces publicitaires
Quelles obligations pour un éditeur qui intègre une CMP et des partenaires programmatiques ?
L’éditeur reste responsable de la conformité de son bandeau cookies et du paramétrage de sa plateforme de gestion du consentement (CMP). Il doit vérifier que les partenaires listés (SSP, DSP, régies) correspondent aux traceurs réellement déposés, encadrer contractuellement la transmission des données et s’assurer que le refus est bien répercuté dans la chaîne programmatique. La revue des flux de données est le point de départ de cette vérification.
Monétiser vos espaces publicitaires
Quelles données « 1st party » peut-on exploiter pour la publicité ?
Les données 1st party sont celles que l’éditeur collecte directement auprès de ses utilisateurs : données de compte, historique de navigation sur le site, centres d’intérêt déclarés. Leur exploitation publicitaire est possible si les personnes en ont été informées et, selon la technique employée, ont consenti. Leur valeur tient précisément à cette traçabilité du consentement, qui rassure les annonceurs et les partenaires.
Préparer votre levée de fonds
Que vérifient les investisseurs sur les données pendant la due diligence ?
Les investisseurs examinent la licéité de la collecte (bases légales, information des personnes), l’existence d’un registre des traitements et des analyses d’impact, les contrats avec les sous-traitants et partenaires data, l’historique des violations de données et des éventuels échanges avec la CNIL. L’objectif est double : mesurer le risque de sanction et vérifier que la base de données, souvent au cœur de la valorisation, est réellement exploitable.
Préparer votre levée de fonds
Comment valoriser ses données auprès des investisseurs ?
Une base de données se valorise par sa taille, sa qualité et sa conformité. Documenter le modèle économique data-driven (revenus publicitaires, data licensing, personnalisation), cartographier les flux contractuels et préparer une data room ordonnée (registre, AIPD, contrats, procédures) permet de présenter la donnée comme un actif maîtrisé plutôt que comme un passif réglementaire. La conformité devient alors un argument de différenciation.
Préparer votre levée de fonds
Faut-il un audit RGPD avant une levée de fonds ?
L’audit préalable permet d’identifier et de corriger les écarts avant qu’ils n’apparaissent dans les questionnaires des investisseurs, où ils se traduisent par des garanties, des conditions suspensives ou une décote. Il porte sur la documentation, les contrats, les parcours utilisateurs et la sécurité. Mené quelques mois avant l’opération, il laisse le temps de mettre à niveau ce qui doit l’être.
Structurer votre démarche de conformité
Mon entreprise est-elle concernée par la loi Sapin 2 ?
L’obligation de mettre en place un dispositif anti-corruption s’applique aux entreprises d’au moins 500 salariés réalisant un chiffre d’affaires supérieur à 100 millions d’euros, ainsi qu’aux filiales de groupes atteignant ces seuils. En dessous, aucune obligation légale directe, mais les grands comptes et les investisseurs exigent de plus en plus de leurs partenaires un code de conduite, une procédure de due diligence des tiers et un dispositif d’alerte interne.
Structurer votre démarche de conformité
Qu'est-ce que le devoir de vigilance ?
Le devoir de vigilance impose aux grandes entreprises d’identifier et de prévenir les atteintes graves aux droits humains, à la santé, à la sécurité et à l’environnement résultant de leur activité et de celle de leurs fournisseurs. La loi française vise les sociétés de plus de 5 000 salariés en France ou 10 000 dans le monde ; la directive européenne CS3D étend progressivement le dispositif. Les entreprises plus petites y sont confrontées indirectement, via les questionnaires de leurs clients.
Structurer votre démarche de conformité
Un dispositif d'alerte interne est-il obligatoire ?
Depuis la loi du 21 mars 2022, toute entreprise d’au moins 50 salariés doit mettre en place une procédure de recueil et de traitement des signalements. Elle doit garantir la confidentialité de l’auteur, des personnes visées et des faits, prévoir un accusé de réception et un retour d’information dans des délais encadrés. Le dispositif peut être interne ou confié à un tiers.
Travailler ensemble
Quel est le prix d'un avocat pour la mise en conformité RGPD ?
Le coût dépend du périmètre : audit ponctuel, rédaction de documents, accompagnement d’un lancement ou mission de DPO externalisé dans la durée. Les missions ponctuelles font l’objet d’un devis après un premier échange ; les missions récurrentes sont proposées sous forme de forfaits d’heures adaptés au volume d’activité. Le premier rendez-vous permet de cadrer le besoin et d’établir une proposition.
Travailler ensemble
Intervenez-vous en contentieux ?
Non. Mon activité est exclusivement de conseil et d’accompagnement en amont : mise en conformité, documentation, contrats, pilotage de projets. En cas de contrôle de la CNIL ou de contentieux, je peux assister l’entreprise dans la préparation des réponses et l’orienter vers un confrère plaidant si nécessaire.
Travailler ensemble
Travaillez-vous avec des entreprises hors de Paris ?
Oui. La majorité des missions se déroulent à distance, avec des points réguliers en visioconférence et des déplacements lorsque le projet le justifie. J’accompagne des entreprises en France et, pour la documentation en anglais, des clients établis à l’étranger qui s’adressent au marché européen.