Partenariat sans sous-traitance : vérifier les données
Avant un partenariat, vérifiez pourquoi chaque donnée circule, qui décide de son usage et si une solution moins intrusive suffit.
- Ce qu’il faut retenir
- Décrire le flux en une phrase vérifiable
- Qualifier les acteurs avant de choisir l’accord
- Comparer trois architectures avant de partager un fichier
- Dossier P-08 : une demande d’installation ciblée
- La décision par champ de P-08
- Informer sans confondre notice et permission
- Fixer les limites et traiter les changements
- Réagir à un export trop large ou à la fin du partenariat
- FAQ
Deux entreprises souhaitent coopérer et envisagent de partager leurs fichiers. Avant de rédiger un accord de confidentialité, elles doivent décider quelles opérations nécessitent réellement des données personnelles. « Faciliter le partenariat » ne suffit pas pour autoriser un export de clients, un accès permanent ou un rapprochement d’historiques.
Ce guide sert à prendre cette décision en amont du contrat : définir le flux, qualifier les rôles, comparer les alternatives et fixer ses limites. Il concerne une coopération opérationnelle. Une réutilisation publicitaire doit faire l’objet d’une analyse distincte, avec les règles propres à la prospection.
Ce qu’il faut retenir
- Le besoin commercial ne justifie pas automatiquement la communication de chaque champ disponible.
- Les rôles dépendent des décisions prises, pas de l’étiquette « partenaire » ou du nombre de contrats.
- Chaque responsable doit justifier les opérations qui relèvent de lui ; leurs bases juridiques peuvent différer.
- Un accord formalise un flux licite et ses garanties. Il ne remplace ni son fondement ni l’information des personnes.
Décrire le flux en une phrase vérifiable
Écrivez qui transmet quoi, à qui, pour quelle action et à quel moment. Comparez ces deux formulations :
« A partage ses clients avec B pour développer les services » laisse tout indéterminé. « À la demande d’un client, A transmet son nom, son adresse électronique et les caractéristiques du meuble à B pour que B prépare une proposition d’installation » décrit une opération dont on peut examiner la nécessité.
Ajoutez ce que B peut renvoyer. Un simple accusé de réception peut suffire ; A n’a pas nécessairement besoin du devis détaillé, des échanges ultérieurs ou d’un historique de paiement. Le retour d’informations constitue lui aussi un traitement à analyser.
La finalité doit être déterminée et les données limitées au nécessaire. Chaque responsable doit pouvoir démontrer le respect de ces principes et disposer d’une base juridique applicable. Art. 5(1)(b), (c), Art. 5(2) et Art. 6(1), RGPD.
Cette description révèle souvent un besoin beaucoup plus limité que le projet initial de base partagée. Elle fournit également un périmètre concret à examiner avec les équipes métier et le DPO, lorsqu’il a été désigné.
Qualifier les acteurs avant de choisir l’accord
La CNIL rappelle que la qualification s’apprécie à partir des faits : objectifs poursuivis, décisions sur les moyens essentiels et opérations exécutées. Les termes choisis par les parties ne lient pas l’autorité si l’organisation réelle est différente. CNIL, identifier le rôle des acteurs.
Trois situations doivent être distinguées :
| Organisation observée | Question juridique |
|---|---|
| B traite exclusivement pour le compte d’A, selon ses instructions | Examiner la sous-traitance de l’Art. 28 |
| A et B déterminent ensemble les finalités et moyens essentiels d’une opération | Examiner la responsabilité conjointe de l’Art. 26 |
| A et B poursuivent chacun leurs finalités et décident de leurs traitements respectifs | Examiner les conditions d’un échange entre responsables distincts |
Un intérêt économique commun ne suffit pas à trancher. Deux contrats séparés ne prouvent pas non plus une indépendance effective. Il faut regarder, par exemple, qui choisit les personnes concernées, les champs, les durées, les accès et les utilisations du résultat. Art. 4(7) et (8), RGPD.
La responsabilité conjointe peut concerner une opération précise sans couvrir toutes les activités ultérieures. Un même partenariat peut aussi comporter une prestation exécutée sur instructions et un autre traitement effectué de manière autonome. Documentez ces périmètres au lieu de chercher une qualification unique pour toute la relation.
Comparer trois architectures avant de partager un fichier
Pour une orientation vers un autre professionnel, plusieurs circuits sont possibles :
| Circuit envisagé | Données qui circulent | Conséquence pratique |
|---|---|---|
| A remet les coordonnées de B au client | A ne transmet aucun dossier à B | Le client choisit les informations qu’il adresse directement à B |
| A transmet une demande ciblée voulue par le client | Coordonnées et caractéristiques nécessaires à cette demande | A doit justifier la transmission ; B doit justifier la réception et la suite |
| A ouvre son fichier clients à B | Ensemble potentiellement beaucoup plus large | Nécessité, accès et usages supplémentaires à démontrer ; ne pas retenir par commodité |
La première voie peut résoudre le besoin sans partage entre entreprises. La deuxième peut rendre un service réel, à condition de respecter son périmètre. La troisième ne devient pas proportionnée parce que l’outil commun existe déjà.
Évaluez l’efficacité de l’alternative : transmettre les coordonnées de B fonctionne-t-il pour le client ? Un message ciblé suffit-il ? Le partenaire a-t-il réellement besoin d’un accès permanent, ou seulement d’une information ponctuelle ? Notez le motif du choix et les options écartées.
Dossier P-08 : une demande d’installation ciblée
Voici un exemple fictif. Atelier Rivage vend des meubles. Pose Claire propose ses propres prestations d’installation, fixe ses prix, accepte ou refuse ses demandes et gère ses dossiers de manière autonome. Atelier Rivage ne lui donne pas d’instructions sur l’exécution de ces traitements. Aucune base commune ni opération d’analyse conjointe n’est prévue.
Dans ces hypothèses, les entreprises retiennent une qualification de responsables distincts pour les opérations décrites. Cette conclusion repose sur leurs décisions effectives ; elle ne découle pas simplement du fait que le client signera éventuellement un second contrat.
Lina achète un meuble puis demande à être mise en relation avec Pose Claire. Elle peut contacter directement cette entreprise. Elle choisit toutefois que Rivage lui transmette une demande limitée. La vente du meuble n’est pas conditionnée à cette transmission et le refus n’entraîne aucune réduction du service acheté.
Rivage choisit, pour cette transmission facultative, le consentement de l’Art. 6(1)(a). Il recueille une action positive, spécifique et éclairée, puis conserve une preuve proportionnée. Ce choix est propre au dispositif ; tout échange entre responsables distincts n’exige pas systématiquement le consentement. Art. 4(11), Art. 6(1)(a) et Art. 7, RGPD.
Pose Claire examine la demande de devis initiée par Lina. Pour les données nécessaires à ces mesures précontractuelles demandées par elle, le fondement envisagé est l’Art. 6(1)(b). Cette base ne couvre pas une prospection ultérieure étrangère à la demande ni des données inutiles au devis.
La décision par champ de P-08
La fiche préparée avant transmission tranche les demandes de données, au lieu de renvoyer toutes les décisions au futur contrat.
| Information envisagée | Décision | Justification dans l’exemple |
|---|---|---|
| Nom et adresse électronique de Lina | Transmettre | Identifier la demande et lui répondre |
| Référence et dimensions du meuble | Transmettre | Comprendre la prestation d’installation souhaitée |
| Commune de l’intervention | Transmettre | Vérifier la zone de déplacement avant préparation du devis |
| Adresse complète du logement | À recueillir directement par Pose Claire lorsque nécessaire | Pas indispensable à cette première prise de contact dans le scénario |
| Historique des achats chez Rivage | Exclure | Aucun besoin démontré pour cette demande |
| Moyen de paiement et commentaires internes | Exclure | Sans utilité pour préparer la proposition d’installation |
| Résultat détaillé des échanges avec Pose Claire | Aucun retour systématique à Rivage | Rivage n’a pas besoin de suivre la négociation autonome |
Si Pose Claire demande ensuite une photographie de la pièce, elle doit en examiner la nécessité et donner des consignes adaptées. Cela n’autorise pas Rivage à envoyer les autres documents qu’il détient. Une demande nouvelle doit être examinée comme telle.
Les données relevant des Art. 9 ou 10 nécessitent un contrôle supplémentaire. La seule utilité économique d’un partenariat ne permet pas de contourner ces régimes. RGPD, catégories particulières et infractions.
Informer sans confondre notice et permission
Rivage présente à Lina le destinataire nommé, les champs transmis, le but et le caractère facultatif. Voici un fragment d’action, à accompagner des autres informations requises :
Je demande à Atelier Rivage de transmettre à Pose Claire mon nom, mon adresse électronique, la commune d’intervention et les caractéristiques du meuble, pour recevoir une proposition d’installation. Je peux contacter Pose Claire directement et mon achat reste inchangé si je refuse.
Ce fragment n’est pas une notice RGPD complète. Le parcours doit fournir notamment les bases juridiques, durées ou critères, droits et contacts prévus aux Art. 13 et 14. Pose Claire doit également informer Lina de son propre traitement et de la provenance des informations, selon les règles applicables à la collecte indirecte. Si elle contacte Lina, l’information intervient au plus tard lors de cette première communication, sans dépasser le délai applicable de l’Art. 14(3)(a). Art. 13 et Art. 14(1) à (3), RGPD.
Une nouvelle notice ne rend pas licite n’importe quelle réutilisation d’anciens fichiers. Si le projet ajoute une finalité, examinez l’Art. 6(4) lorsque ses conditions sont réunies, et l’information préalable des Art. 13(3) ou 14(4). Le guide du changement de finalité et de base légale détaille ce raisonnement.
Fixer les limites et traiter les changements
L’accord entre responsables de traitement distincts peut formaliser le flux approuvé : catégories exactes, finalités, canal, sécurité, conservation, contacts et coopération. Évitez une formule autorisant « tout usage utile au partenariat », incompatible avec le travail de délimitation effectué.
Dans P-08, l’instruction opérationnelle exclut tout accès au fichier clients. Le message transmis porte seulement sur la demande de Lina. L’équipe conserve la référence de l’envoi et la version de l’information associée, sans dupliquer son dossier d’achat complet dans le suivi du partenariat.
Si Lina retire son consentement avant la transmission, Rivage arrête celle-ci. Après transmission, le retrait n’annule pas rétroactivement sa licéité. Il ne supprime pas automatiquement le fondement distinct de Pose Claire pour une demande précontractuelle toujours souhaitée ; il faut comprendre et traiter les demandes effectivement exprimées. Art. 7(3), RGPD.
Une rectification doit être propagée aux destinataires selon l’Art. 19, sous ses exceptions. Si le numéro de meuble envoyé était erroné, conserver la correction seulement chez Rivage laisse Pose Claire préparer une proposition inadaptée. Art. 16 et Art. 19, RGPD.
Réagir à un export trop large ou à la fin du partenariat
Si un fichier complet part au lieu du message prévu, suspendez ce circuit, identifiez le contenu et demandez au destinataire de sécuriser les données concernées. Examinez la suppression des copies indues et l’éventuelle violation, sans considérer la confidentialité contractuelle comme une dispense des Art. 33 et 34. RGPD, sécurité et violations.
À la fin du partenariat, fermez les accès et flux devenus inutiles. Chaque responsable examine les conservations encore justifiées pour ses propres opérations. La fin de l’accord ne permet ni de tout garder sans terme ni d’exiger aveuglément la destruction de pièces qu’un partenaire doit encore conserver légalement.
FAQ
Un accord de confidentialité suffit-il à autoriser le partage ?
Non. Il peut organiser la confidentialité, mais ne démontre ni la nécessité des données, ni la base juridique, ni la qualification des rôles ou l’information des personnes.
Chaque entreprise doit-elle avoir la même base juridique ?
Pas nécessairement. Elle doit identifier le fondement de ses propres opérations. Dans P-08, le consentement à une transmission facultative et la préparation d’un devis demandé répondent à des opérations différentes.
Une base commune est-elle toujours une responsabilité conjointe ?
L’outil seul ne tranche pas. Examinez qui détermine les finalités et moyens essentiels de chaque opération. Une modification vers un traitement réellement décidé ensemble impose de revoir l’analyse initiale.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.