La nouvelle loi informatique et libertés a été votée en juillet . Elle prévoit la création de «  correspondants à la protection des données à caractère personnel » dans les entreprises : « Celles qui choisiront de créer ce poste n'auront plus à déclarer ce type de fichiers à la Cnil, hormis pour les fichiers de type liste noire ou devant être transmis hors de l'UE », explique Xavier Leclerc, délégué à la protection des données chez Experian. Toutes les entreprises collectant ou diffusant des données à caractère personnel sont donc concernées.

Ce correspondant est « chargé d'assurer, d'une manière indépendante, le respect des obligations prévues dans la loi », indique le texte. « Le correspondant doit tenir un répertoire des fichiers mis en oeuvre et contacter la Cnil en cas de doute », précise Xavier Leclerc.

Appliquée en Suède et en Allemagne, cette loi est issue d'une directive européenne. En France, son décret d'application n'est pas prévu avant mars 2005. L'AFCDP (Association française des correspondants à la protection des données à caractère personnel), créée par Experian, Cecurity et le cabinet Alain Bensoussan, a pris les devants : « Nous voulons développer une réflexion sur les statuts de ce correspondant, assurer une veille sur la législation, encadrer la profession et organiser des formations. L'association pourra mettre en place un code de déontologie, car la Cnil ne pourra pas tout labelliser. Beaucoup de points restent à clarifier », estime Xavier Leclerc.

Par exemple, l'intérêt même de ce correspondant pour l'entreprise n'est pas évident : « Plus que supprimer de la paperasserie pour l'entreprise, il va surtout simplifier le travail de la Cnil », estime Xavier Leclerc. Son indépendance par rapport à l'entreprise est un autre point sensible.

Ainsi, la loi prévoit que le correspondant « ne peut faire l'objet de sanction de la part de l'employeur du fait de l'accomplissement de ses missions ». Reste qu'on imagine mal un employé dénoncer une pratique illégale de son employeur.