Article 26 RGPD : responsables conjoints et accord

L’Art. 26 RGPD s’applique lorsque plusieurs responsables déterminent conjointement les finalités et les moyens d’un traitement. Il impose une répartition transparente des obligations, reflétant les rôles réels, et protège la possibilité pour les personnes d’exercer leurs droits auprès de chacun.

Analyse vérifiée le 28 septembre 2026 à partir du texte de l’Art. 26. La qualification doit précéder la rédaction de l’accord : un intitulé contractuel ne suffit pas à décrire les décisions réellement prises.

Art. 26(1) : déterminer conjointement les finalités et moyens

Examinez une opération définie : qui décide de son objectif, des personnes concernées, des données et des modalités essentielles ? Ne remplacez pas le critère légal « finalités et moyens » par une règle selon laquelle toute influence sur n’importe quel paramètre suffit.

Une relation commerciale, un intérêt économique partagé ou un accès aux mêmes données ne démontrent pas seuls une responsabilité conjointe. Inversement, l’absence d’accès direct aux données ne suffit pas à l’exclure. Une même organisation peut occuper des rôles différents selon les opérations.

Le dossier co-responsabilité RGPD fournit des exemples de qualification. Si un acteur agit pour le compte d’un responsable, examinez plutôt les conditions de la sous-traitance de l’Art. 28, sans déduire le rôle du seul nom du contrat.

La portée de l’arrêt Fashion ID

Dans l’arrêt C-40/17 du 29 juillet 2019, rendu sous la directive 95/46 et présenté dans le communiqué de la Cour, la CJUE examine un site intégrant un bouton social. Elle distingue collecte et transmission, pour lesquelles une détermination conjointe est possible dans les circonstances examinées, et les traitements ultérieurs sur lesquels le site n’intervient pas.

Les lignes directrices 07/2020 du CEPD, paragraphes 56 à 58, précisent également que la responsabilité conjointe n’exige pas un accès de chaque acteur aux données ni une participation égale. Cette analyse ne permet pas de déclarer automatiquement tout outil de mesure d’audience ou tout composant tiers soumis à l’Art. 26 : il faut examiner les décisions et opérations concernées.

Répartir les obligations par accord

L’Art. 26(1) demande une répartition transparente, notamment pour les droits et l’information des Art. 13 et 14. L’accord intervient sauf si, et dans la mesure où, le droit de l’Union ou de l’État membre définit déjà les obligations respectives. Un point de contact peut être désigné ; le texte n’en fait pas une condition universelle.

Formalisez une matrice exploitable. Elle doit préciser les tâches et les modalités de coordination, pas seulement déclarer que les partenaires « respectent le RGPD ».

Pour appliquer cette matrice à un cas concret, utilisez le webinaire coorganisé. La collecte partagée et la réutilisation ultérieure par chaque organisateur doivent être analysées séparément.

Art. 26(2) : rendre les grandes lignes accessibles

L’accord doit refléter les rôles respectifs et les relations avec les personnes concernées. Ses grandes lignes doivent leur être mises à disposition ; le règlement n’exige pas, par cette disposition, la publication systématique de l’intégralité du contrat.

Préparez une présentation compréhensible du périmètre, des acteurs, de la répartition utile à la personne et du point de contact éventuel. Vérifiez sa cohérence avec les informations des Art. 13 et 14. Une synthèse qui masque l’identité d’un responsable ou rend le parcours des droits incompréhensible ne remplit pas sa fonction.

Art. 26(3) : les droits peuvent être exercés auprès de chacun

La personne peut exercer les droits du règlement à l’égard et contre chacun des responsables, indépendamment de leur accord. Une attribution interne à un partenaire ne justifie donc pas un rejet automatique de la demande par l’autre.

Organisez la transmission interne et conservez la date de réception. La coordination ne doit pas remettre le délai à zéro. Un exercice sur une demande fictive permet de vérifier que les informations sont effectivement accessibles aux personnes chargées de répondre.

Un accord commenté pour une plateforme commune

Considérons un projet entièrement fictif. Les sociétés Orme et Saule organisent un programme commun de réparation d’appareils. Elles décident ensemble du formulaire de demande, des critères d’orientation, du calendrier des rendez-vous et de la liste des équipes autorisées à consulter les dossiers. Une plateforme permet de répartir les demandes entre leurs ateliers.

Pour cette réception et cette orientation communes, chacune intervient sur la finalité et les moyens essentiels. La qualification de responsables conjoints est donc justifiée par les faits posés. En revanche, la facturation propre à chaque atelier après attribution n’entre pas automatiquement dans ce périmètre : elle doit être analysée séparément. L’hébergeur qui ne fait qu’exécuter leurs instructions relève, dans cette hypothèse, de la sous-traitance. Le même projet comporte ainsi plusieurs relations juridiques.

L’accord ne fournit pas à lui seul une base légale. Pour la prise en charge demandée par un particulier, les parties doivent déterminer si les opérations sont nécessaires aux mesures précontractuelles prises à sa demande, au sens de l’Art. 6(1)(b). Une réutilisation pour leur publicité exige une analyse distincte. La signature entre Orme et Saule ne vaut pas consentement des clients ni autorisation d’ajouter des finalités.

Délimiter les opérations dans une clause

Périmètre proposé. Orme et Saule déterminent conjointement la réception des demandes de réparation et leur orientation vers un atelier dans le programme commun. Ce périmètre couvre le formulaire, la qualification de la demande, l’attribution du rendez-vous et les échanges nécessaires à cette orientation. Il ne comprend pas, du seul fait du présent accord, la facturation propre à chaque atelier ni ses communications publicitaires. Toute modification des finalités, des catégories de données ou des destinataires doit faire l’objet d’une analyse préalable et d’une mise à jour documentée des responsabilités.

Cette clause est un extrait pédagogique, pas un contrat complet. Elle évite de qualifier globalement toutes les activités des partenaires. Son annexe doit décrire les données réelles : coordonnées utiles au rendez-vous, référence de l’appareil, demande du client et historique de l’orientation. Si les équipes ajoutent un champ libre sur la santé du client sans nécessité établie, le problème ne se résout pas en ajoutant simplement « données sensibles » au contrat.

Attribuer une tâche avec un livrable vérifiable

Un livrable ne devient pas une preuve par son intitulé. Une notice « validée » mais jamais affichée ne démontre pas l’information des personnes. Une liste des comptes ne montre pas nécessairement leurs droits effectifs. L’accord doit permettre de demander ces éléments et de corriger les écarts, avec un interlocuteur et un remplaçant identifiés.

Pour les incidents, une clause qui exige l’accord unanime avant toute action urgente peut bloquer la protection des personnes. Prévoyez qui sécurise l’accès, rassemble les faits et coordonne la notification éventuelle. La coordination ne modifie pas les conditions des Art. 33 et 34, ni leurs exigences de diligence. Le silence du partenaire ne constitue pas une décision de non-notification.

Préparer une synthèse utile aux clients

Grandes lignes proposées. Orme et Saule organisent ensemble la réception et l’orientation de votre demande de réparation. Orme vous informe et coordonne les réponses relatives à vos données ; Saule administre les accès à la plateforme commune. Vous pouvez exercer vos droits auprès de chacune des deux sociétés, même si un contact commun est proposé pour faciliter le suivi. Les activités de facturation propres à l’atelier qui réalise la réparation sont décrites séparément.

Cette présentation doit être complétée par les coordonnées réelles, les informations des Art. 13 ou 14 et un accès simple aux démarches. Elle ne remplace pas toute la notice. Évitez une formulation disant que « seul Orme est compétent » : elle contredirait le droit d’agir auprès de Saule prévu par l’Art. 26(3).

Vérifier l’accord lors d’un changement concret

Supposons que Saule souhaite ensuite enrichir les dossiers avec des données obtenues auprès d’un autre réseau. Les partenaires doivent examiner la provenance, la finalité, la base légale, l’information et les nouvelles décisions prises. Cette extension ne relève pas automatiquement de l’ancien périmètre « orientation des réparations ». Un avenant signé sans cette analyse ne suffit pas.

De même, à la sortie d’Orme, désigner Saule comme interlocuteur ne transfère pas magiquement toutes les obligations historiques. Il faut traiter les demandes en cours, déterminer le devenir des données et maintenir les éléments nécessaires pour expliquer les opérations antérieures. Les durées de conservation se justifient par les finalités et obligations applicables ; la fin commerciale du partenariat ne commande ni une destruction indistincte ni une conservation illimitée.

Sanction et indemnisation : distinguer les fondements

Le manquement propre à l’Art. 26 relève de l’Art. 83(4)(a) : plafond de 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. D’autres manquements peuvent relever d’autres dispositions ; ils ne sont pas automatiquement établis par l’absence d’accord.

L’indemnisation obéit aux conditions de l’Art. 82. Son paragraphe 4 prévoit la responsabilité pour le dommage entier lorsque plusieurs acteurs participent au même traitement et sont responsables du dommage dans les conditions de ses paragraphes 2 et 3. Ce régime ne doit pas être confondu avec une amende automatique. Notre analyse de l’Art. 82 précise cette distinction.

Ce qu’il faut retenir

• Qualifiez les décisions réelles pour chaque opération.
• L’accord répartit les obligations sans changer les faits.
• Rendez ses grandes lignes accessibles aux personnes.
• Organisez l’exercice des droits auprès de chacun et la coordination interne.

FAQ

Faut-il que chaque responsable ait accès aux données ?

Non. L’absence d’accès n’exclut pas à elle seule une détermination conjointe, comme l’illustre Fashion ID.

L’accord doit-il être intégralement public ?

L’Art. 26(2) impose de mettre ses grandes lignes à disposition des personnes concernées, pas nécessairement tout le contrat.

Peut-on refuser une demande parce que l’accord désigne l’autre partenaire ?

L’Art. 26(3) permet à la personne d’exercer ses droits auprès de chacun. La répartition interne doit permettre de traiter la demande, non de la bloquer.

Recevez nos analyses et grilles pratiques du RGPD.

Thiébaut Devergranne, docteur en droit, fondateur de donneespersonnelles.fr et de Legiscope, travaille depuis plus de vingt ans sur le droit des technologies.