En 2004, la loi Informatique et libertés innovait en permettant aux entreprises de s'affranchir des formalités déclaratives les plus courantes devant la Cnil (Commission nationale de l'informatique et des libertés), par la désignation d'un correspondant à la protection des données à caractère personnel (CIL) ⁽¹⁾ . Il manquait toutefois un décret d'application pour que ce nouveau dispositif se mette en place. Le manque de précisions de la loi sur la possibilité de désigner un CIL « externe » a généré maintes incertitudes en termes de visibilité et de stratégie pour les entreprises. Le décret ⁽²⁾ du 20 octobre 2005 apporte certaines réponses.

Tout d'abord, la question du correspondant « interne-externe » est définitivement arbitrée. Il peut être externe à l'entreprise, mais doit avoir une connaissance de l'activité et du fonctionnement interne de celle-ci ou de son administration. Ensuite, son choix dépend du nombre de personnes « chargées de la mise en oeuvre des traitements ou y ayant directement accès » . En d'autres termes, tous ceux qui, en raison de leurs fonctions ou pour les besoins de service, accèdent aux données enregistrées (service informatique, les directions marketing, achats, comptabilité, RH...).

La loi pose aussi des limites aux possibilités d'externalisation de cette fonction. Lorsque « plus de 50 personnes sont chargées de la mise en oeuvre ou ont directement accès aux traitements ou catégories de traitements automatisés » , le choix d'un CIL externe n'est pas entièrement libre. Il ne peut s'agir que d'un CIL « exclusivement attaché au service de la personne, de l'autorité publique ou de l'organisme, ou appartenant au service qui met en oeuvre ces traitements » . En clair, un salarié d'une autre société du groupe ou du GIE dont fait partie le responsable du traitement, ou une personne (salariée ou non) mandatée à cet effet par un organisme professionnel (syndicat, chambres de commerce, des métiers). Mais si ce nombre est inférieur à 50, la fonction de CIL peut être librement externalisée (avocat, consultant, groupements professionnels...).

(1) Loi n° 78-17 du 6 janvier 1978 modifiée par la loi n° 2004-801 du 6 août 2004.(2) Décret 2005-1309, JO du 22 octobre 2005.