Partage de données : rédiger un accord entre responsables

Deux entreprises s’échangent des coordonnées pour exécuter leurs prestations respectives. Leur premier réflexe est de signer un contrat de sous-traitance. Pourtant, si chacune décide de ses propres traitements, des clauses imposant des instructions ou un effacement sur simple demande peuvent décrire une relation qui n’existe pas.

L’accord doit organiser un partage licite entre des acteurs correctement qualifiés. Il ne fournit ni une autorisation générale d’utiliser les données ni une base légale nouvelle. Voici comment construire son périmètre et négocier ses clauses, avec un exemple renseigné.

Qualifier chaque opération avant de choisir le document

Le responsable détermine les finalités et les moyens du traitement ; le sous-traitant agit pour son compte. Si plusieurs organismes déterminent ensemble les finalités et les moyens, l’Art. 26(1) régit leur responsabilité conjointe. Ces qualifications résultent des faits, selon les Art. 4(7), 4(8), 26 et 28 du RGPD.

Un échange entre deux responsables distincts est possible. Recevoir les mêmes données, convenir d’un format ou sécuriser ensemble le canal ne démontre pas, à lui seul, une détermination commune des finalités et moyens essentiels. Inversement, une plateforme conçue ensemble pour un objectif commun peut conduire à une autre analyse. La CNIL rappelle que le contrat ne permet pas de choisir librement son rôle.

Écrivez qui choisit les personnes concernées, les usages, les destinataires et les durées. Examinez les opérations successives : transmission initiale, utilisation chez le destinataire, éventuelle réutilisation. La qualification d’une opération ne couvre pas automatiquement toute la relation commerciale. En présence de décisions communes, examinez plutôt la responsabilité conjointe.

Un partage limité entre deux prestataires autonomes

Exemple entièrement fictif. Mobilier Silex fournit du mobilier à des entreprises. Transport Orme conclut directement avec l’entreprise cliente un contrat distinct pour son enlèvement et son acheminement. Dans le scénario, Orme organise cette prestation autonome et décide des traitements nécessaires à sa propre activité. Silex ne lui confie pas l’exécution d’un traitement sur ses instructions.

L’entreprise cliente demande que Silex communique à Orme les coordonnées de la personne qui réceptionnera les meubles. Les parties ne créent ni fichier commercial commun ni service commun de profilage. Leur analyse retient des responsables distincts pour le flux décrit ci-dessous. Cette conclusion ne qualifie pas tous les transporteurs : un autre montage peut présenter des faits différents.

L’annexe reste courte parce qu’elle délimite un flux réel. Elle ne remplace pas les notices, registres ou règles de conservation propres aux deux entreprises.

Justifier la transmission et la réception séparément

Le contrat commercial est conclu avec l’entreprise cliente, pas avec son salarié réceptionnaire. Les parties ne retiennent donc pas mécaniquement l’Art. 6(1)(b) pour toutes les coordonnées de ce salarié. Elles examinent chacune l’intérêt légitime prévu à l’Art. 6(1)(f).

Dans l’exemple, Silex documente l’organisation de la remise commandée ; Orme documente l’organisation de sa livraison. Le contact professionnel a été désigné pour cette opération, les données sont limitées et aucun enrichissement commercial n’est prévu. Les parties examinent les effets possibles pour le salarié et les solutions moins intrusives, notamment un contact de service lorsque celui-ci suffit. Ces éléments étayent leur analyse ; ils ne rendent pas tout partage professionnel automatiquement licite.

Pour chaque côté, conservez l’objectif, la nécessité et la mise en balance. Précisez aussi comment une opposition serait examinée. Le guide des bases légales RGPD aide à distinguer les conditions de chaque fondement.

Un autre usage, par exemple constituer une base de prospects, exige sa propre analyse. L’Art. 6(4) encadre l’examen de compatibilité dans les situations qu’il vise ; il ne transforme pas l’accord en permission générale. Les données sensibles nécessitent en outre une condition applicable de l’Art. 9(2). Art. 5(1)(b)/(c), 6(1)(f)/(4) et 9 du RGPD.

Trois clauses à corriger avant signature

Les formulations suivantes sont des propositions de travail adaptées au scénario, pas un contrat complet prêt à signer dans toutes les situations.

1. Remplacer les instructions fictives par un périmètre précis

La formule « Orme ne traite les données que sur instruction de Silex » contredit l’analyse retenue. Elle est remplacée par :

Chaque partie agit comme responsable distinct pour les opérations décrites dans l’annexe F-01. Les données reçues dans ce cadre servent à l’organisation et à la réalisation de la livraison identifiée. Leur intégration dans une base de prospection n’est pas autorisée par le présent accord. Tout nouveau flux fait l’objet d’une analyse préalable des rôles, de la licéité et de l’information des personnes.

Cette clause borne la relation sans prétendre que toute évolution serait interdite par le RGPD. Si les faits changent, les documents doivent évoluer. Les obligations du responsable de traitement restent applicables indépendamment du vocabulaire choisi.

2. Organiser les droits sans rendre le destinataire invisible

La formule « Silex répond seul aux personnes » masque les traitements propres d’Orme. Préférez :

Chaque partie identifie un contact chargé des droits et répond aux demandes concernant ses traitements. Lorsqu’une demande concerne également l’autre partie, elle organise avec celle-ci la coopération nécessaire en limitant les informations échangées. Elle explique à la personne quel périmètre elle traite et comment joindre l’autre responsable. Les délais légaux ne sont pas suspendus par cette coopération.

Les coordonnées fonctionnelles et leur suppléant figurent en annexe. Une demande de correction reçue par Silex ne doit pas rester dans une boîte commerciale. L’Art. 19 prévoit la notification des rectifications, effacements ou limitations aux destinataires, sauf impossibilité ou efforts disproportionnés ; les destinataires sont indiqués à la personne si elle le demande. Art. 12(2) à (4), 16 et 19.

3. Éviter la suppression générale sur ordre de l’émetteur

La formule « Orme détruit toute donnée dès que Silex le demande » peut ignorer une livraison en cours ou une conservation légalement justifiée. L’alternative est :

À la fin du partage, les accès et transmissions futurs sont arrêtés. Chaque partie détermine le sort des données déjà reçues selon les finalités, bases légales et durées documentées qui lui sont applicables. Les données devenues inutiles sont supprimées ; toute conservation résiduelle est circonscrite à son besoin, avec accès limités et échéance ou événement de réexamen identifié.

Ce texte ne crée pas une exception d’archivage illimitée. Les Art. 5(1)(e) et 17 restent applicables. Il faut également traiter les copies chez les prestataires et les modalités de sauvegarde, sans promettre un effacement instantané que les systèmes ne permettent pas de vérifier.

Prévoir l’information avant le premier échange

Déterminez comment chaque organisme obtient les données. Une collecte auprès du salarié relève de l’Art. 13 ; des coordonnées reçues de son employeur ou du partenaire appellent l’examen de l’Art. 14. La notice du premier organisme ne couvre pas automatiquement le second.

Dans l’exemple, Orme fournit son information au contact de réception lors de sa première communication, sans dépasser le délai raisonnable, au maximum un mois, prévu par l’Art. 14(3). Si une communication à un autre destinataire intervient avant, la condition correspondante doit aussi être respectée. L’information expose notamment la source, les finalités, la base, les destinataires, la conservation et les droits pertinents.

Une transmission de la notice par Silex peut contribuer à l’information d’Orme si elle est effectivement complète et fournie à la bonne personne. Il faut pouvoir l’établir. Une clause affirmant que « le partenaire a informé tout le monde » ne suffit pas. Les exceptions de l’Art. 14(5) sont à examiner précisément, pas à présumer. Art. 13 et 14.

Sécurité, incidents et conditions d’arrêt

L’accord nomme les interlocuteurs de sécurité, les habilitations, le canal et les modalités de signalement. Il prévoit une alerte rapide avec les faits disponibles, puis leur complément, plutôt qu’une attente jusqu’à la fin d’une enquête interne. Chaque responsable apprécie ses propres obligations de notification et de communication selon les Art. 33 et 34 ; une clause ne peut remettre leurs délais à zéro. Art. 32 à 34.

Avant activation, Silex vérifie le destinataire habilité et le périmètre du dossier. Si Orme demande finalement tout l’annuaire client, le flux F-01 ne couvre pas cette demande : Silex transmet seulement les données justifiées ou suspend la transmission tant que la difficulté n’est pas résolue. La signature ne remplace pas cette décision.

Les prestataires, destinataires suivants et éventuels transferts hors Espace économique européen doivent également être identifiés. Un accord entre responsables distincts ne remplace pas les garanties du chapitre V du RGPD lorsqu’elles sont nécessaires.

Conservez qualification, analyses et version signée dans le dossier de conformité. Le circuit des échanges entre partenaires précise ensuite qui exécute les corrections, alertes et fermetures d’accès.

Ce qu’il faut retenir

• Qualifiez les opérations avant de choisir entre accord de partage, responsabilité conjointe et sous-traitance.
• Justifiez séparément la transmission et les utilisations du destinataire.
• Remplissez l’annexe du flux : finalités, données, exclusions, canal et contacts.
• Préservez l’information, les droits et les obligations propres de chaque responsable.

FAQ

Un accord entre responsables distincts est-il toujours obligatoire ?

Le RGPD n’impose pas un modèle général équivalent à l’Art. 28(3) pour tout partage entre responsables distincts. Un écrit aide à démontrer et organiser la conformité ; des règles sectorielles ou propres à l’opération peuvent exiger des engagements particuliers.

Peut-on utiliser les mêmes clauses pour tous les partenaires ?

Une structure commune est possible. Les rôles, flux et obligations doivent cependant être renseignés selon les faits. Une annexe vide ou une qualification copiée ne remplace pas cette analyse.

L’accord suffit-il pour envoyer des données hors UE ?

Non. Il faut vérifier si un transfert soumis au chapitre V existe et quel mécanisme l’encadre. La licéité du traitement et l’information restent également nécessaires.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.