Comment Dentsu Aegis Network France a recruté son DPO

L’enjeu

La nomination d’un DPO est rendue obligatoire par les articles 37, 38 et 39 du nouveau règlement européen, qui entrera en application le 25 mai 2018, pour toute entreprise qui manipule de la data de façon régulière et à grande échelle. “Les agences médias, en s’inscrivant dans un écosystème où les données circulent entre les régies publicitaires, les acteurs technologiques, voire d’autres agences médias, sont donc concernées”, indique Guillaume Tollet, délégué à la protection des données chez Dentsu Aegis Network France.

Auparavant senior manager data intelligence chez iProspect, agence de performance digitale du groupe Dentsu, et doté d’un parcours professionnel dans le conseil et la data, il a été promu à ce poste en janvier 2018. Il précise : “Dentsu a choisi de confier cette mission à un profil non-juridique, à l’inverse de la plupart des annonceurs, car la principale difficulté dans la mise en conformité avec le RGPD pour une agence média réside dans son application aux spécificités du métier plus que dans sa compréhension”.

L’organisation

Étant donné que la CNIL requiert du DPO une certaine expertise en matière de législation, sans pour autant définir de profil-type, Guillaume Tollet suit depuis décembre 2017 le certificat “DPO / Délégué(e)e à la protection des données” dispensé par Sciences Po Executive Education et le cabinet Bird & Bird.

Parmi les autres critères qui doivent être pris en compte dans sa nomination, l’autorité administrative prévoit également une indépendance du délégué à la protection des données, garantie notamment par le non-exercice d’un autre métier qui pourrait amener des conflits d’intérêts. Guillaume Tollet consacre ainsi 100 % de son temps chez Dentsu à ses missions de DPO, dans lesquelles il est secondé par un collaborateur. Directement rattaché à Thierry Jadot, président-directeur général de Dentsu Aegis Network France, comme le prévoit la CNIL, il s’appuie également sur des “relais fonctionnels”, appelés les “data champions”, soit au moins une personne en charge du sujet de la protection des données au sein des 13 réseaux d’agences que compte le groupe (iProspect, Carat, Vizeum…).

En parallèle, “Dentsu Aegis Network France a renforcé la gouvernance de la data au sein de son organisation” incarnée par des profils comme le directeur des systèmes d’information (DSI), l’équipe juridique, ou le chief data officer, poste qu’occupe Karine Lucas, directrice générale d’iProspect Data Consulting, depuis avril. “Ces derniers sont des interlocuteurs réguliers du DPO, en plus du département des ressources humaines, qui a tendance à être oublié mais qui manipule des données très sensibles des employés (identité, adresse, sécurité sociale, salaire…)”, ajoute-t-il.

Et après ?

“Personne sur le marché (agences, annonceurs, éditeurs) ne sera prêt à la date d’entrée en application du RGPD car ce n’est pas un règlement figé” estime Guillaume Tollet. “Il oblige à une conformité dynamique, et nécessite d’être prêt à diffuser les efforts dans le temps”, détaille-t-il. Pour cela, il préconise une organisation en chantiers prioritaires, à la fois autour des données internes et externes que l’entreprise manipule. Le groupe Dentsu en a défini une quinzaine, qui vont de la protection des contrats de travail des 1 300 employés à la sensibilisation des clients annonceurs à sa vision du RGPD.