Responsable de traitement RGPD : qualifier les rôles

Le responsable de traitement est celui qui détermine les finalités et les moyens essentiels d’un traitement. Pour qualifier une relation avec un prestataire, il faut donc examiner les décisions effectivement prises. Le nom inscrit dans le contrat constitue un élément du dossier, mais ne peut contredire la réalité du service. Commencez par décrire une opération et ses décideurs, avant de choisir entre un accord de responsabilité conjointe et un contrat de sous-traitance.

Repérer les décisions essentielles

L’Art. 4(7) du RGPD définit le responsable ; l’Art. 4(8) définit le sous-traitant qui agit pour son compte. Posez quatre questions : à quoi servent les données, quelles personnes sont concernées, quelles informations sont nécessaires et qui décide de leur circulation et de leur conservation ?

Un fournisseur peut choisir des moyens techniques d’exécution sans devenir responsable. Les lignes directrices 07/2020 du CEPD, notamment les paragraphes 39 à 41, distinguent les moyens essentiels des choix pratiques laissés au sous-traitant.

Le CEPD distingue ainsi l’administration de la paie sur instructions d’une mission comptable indépendante. Il serait trompeur de qualifier tout cabinet comptable de responsable pour toute mission, ou de qualifier toute prestation de sous-traitance.

Ne pas confondre destinataire et exécutant

Le destinataire, au sens de l’Art. 4(9), reçoit les données. Cette définition ne lui interdit pas de prendre des décisions sur leur utilisation. Une banque, un partenaire ou une autre société peut être destinataire et responsable pour un traitement propre.

Inversement, deux sociétés qui échangent des données ne sont pas nécessairement responsables conjointes. La responsabilité conjointe suppose une analyse des décisions prises sur les opérations concernées, pas seulement l’existence d’un partenariat commercial.

L’Art. 26 exige une répartition transparente des obligations entre responsables conjoints, dont les grandes lignes sont mises à disposition des personnes. L’accord ne peut empêcher celles-ci d’exercer leurs droits à l’égard de chacun, selon l’Art. 26(3). Voir le chapitre IV du RGPD.

Organisation, dirigeant et DPO

Dans une société ou une association, le responsable est généralement la personne morale. Un salarié qui choisit un outil dans ses fonctions ne devient pas, pour ce seul motif, un responsable distinct. Un indépendant exerçant en son nom peut en revanche être lui-même responsable.

Le DPO accompagne l’analyse, conseille et contrôle la conformité. Il ne reçoit pas par sa désignation la charge de décider toutes les finalités, ni de payer les sanctions de l’organisme. Ses autres fonctions ne doivent pas créer de conflit d’intérêts : consultez les critères de désignation du DPO.

Un détournement de fichier pour un usage personnel ou professionnel autonome appelle une analyse distincte. Il peut faire naître une responsabilité de l’auteur du détournement sans effacer les obligations de sécurité de l’organisation qui détenait le fichier.

Traduire la qualification en actions

Si vous êtes responsable, définissez les finalités, les bases légales, l’information, les durées et les modalités de droits. Organisez la sécurité, les éventuelles analyses d’impact et la gestion des violations. Si vous recourez à un sous-traitant, vérifiez ses garanties et l’accord exigé par l’Art. 28(3).

Le sous-traitant a aussi des obligations propres : sécurité, respect des instructions, assistance, encadrement de ses prestataires et alerte en cas de violation. Ce n’est pas un acteur juridiquement invisible. Une entreprise qui agit dans les deux rôles doit distinguer sa documentation, notamment le registre de sous-traitant.

Une sanction ou une réparation ne résulte pas automatiquement du seul intitulé du rôle. Les manquements, le régime de responsabilité applicable et les circonstances doivent être examinés. L’accord commercial ne décharge pas une partie de ses obligations légales envers les personnes ou l’autorité de contrôle.

Cas pratique : deux organisateurs et une plateforme

Exemple entièrement hypothétique. L’association Les Ateliers du Quartier et la société Maison des Métiers organisent une journée de découverte professionnelle à Lyon. Elles choisissent ensemble les ateliers, les publics admis et la gestion des inscriptions. Leur réunion préparatoire fixe un formulaire commun : nom, courriel et atelier choisi. La liste sert à confirmer les réservations, répartir les places et accueillir les participants.

L’association finance la plateforme ; la société met deux personnes à l’accueil. Aucun de ces faits ne désigne, à lui seul, un responsable unique. Les comptes rendus montrent surtout que les deux organismes approuvent le même objectif, les champs collectés, les accès et la suppression de la liste opérationnelle trente jours après la journée. Cette durée est un choix du cas, à justifier par les besoins de clôture ; ce n’est pas un délai légal événementiel.

Le prestataire technique, Inscription Locale, réalise le formulaire et l’envoi des confirmations suivant ces instructions. Il choisit son architecture informatique, sans pouvoir ajouter des destinataires, conserver les inscriptions pour lui-même ou utiliser les adresses pour une autre activité. Ces caractéristiques conduisent les organisateurs à le qualifier de sous-traitant pour cette prestation.

La salle, quant à elle, reçoit seulement les effectifs par atelier, sans liste nominative. Le fait qu’elle fournisse les locaux ne lui confère aucun rôle dans ce traitement d’inscription. Ses éventuels fichiers propres, par exemple les coordonnées du signataire de sa convention de location, doivent être examinés séparément.

La fiche remplie avant ouverture des inscriptions

Cette qualification applique les Art. 4(7)/(8) et 26(1) aux faits choisis. Elle n’affirme pas que tous les événements à deux partenaires entraînent une responsabilité conjointe. Si une entreprise commande une prestation entièrement définie par elle et que l’autre se limite à l’exécuter, la conclusion peut changer. À l’inverse, signer seul la facture ne neutralise pas la participation effective de l’autre aux décisions.

Passer de la fiche aux instructions utilisables

Les directions valident la qualification ; la coordinatrice prépare les documents avec leur conseil. L’accord entre organisateurs décrit le traitement commun et attribue l’information des inscrits, la réponse aux droits, les habilitations et le traitement des incidents. La notice rend accessibles les grandes lignes de cet accord. Elle identifie les deux responsables : écrire seulement « notre prestataire protège vos données » laisserait les personnes sans interlocuteur intelligible.

Le point de contact facilite le travail, sans imposer un guichet exclusif. Si une participante demande une correction à la société, celle-ci ne la renvoie pas simplement vers l’association. Elle transmet la demande dans le circuit prévu et participe à son exécution. La répartition ne modifie pas le droit de solliciter chacun des responsables conjoints, garanti par l’Art. 26(3).

Dans le contrat de sous-traitance, les organisateurs traduisent leurs décisions en instructions : champs autorisés, personnes habilitées, confirmations permises, assistance aux demandes et restitution ou suppression en fin de prestation. L’Art. 28(3) impose d’autres clauses, notamment sur la confidentialité, la sécurité et les prestataires ultérieurs ; la fiche ne remplace pas ce contrat complet.

La qualification ne constitue pas davantage une base légale. Les organisateurs doivent encore justifier la licéité de l’inscription et fournir l’information requise, selon les Art. 6(1) et 13 du RGPD. Les obligations de l’organisme responsable s’organisent ensuite en interne. Le présent dossier sert à identifier les acteurs auxquels elles reviennent.

Que faire si le contrat contredit le service ?

Dans la suite du cas, avant l’ouverture au public, le prestataire transmet une annexe standard lui permettant de constituer son propre annuaire de participants. La coordinatrice repère cette clause en la comparant à la fiche. Elle suspend l’ouverture des inscriptions et demande si cet usage est activé, quelles données l’alimentent et s’il peut être retiré.

Une réponse « nous sommes sous-traitants » ne résout pas la contradiction. Décider d’un annuaire pour son propre compte appelle une qualification et une analyse de licéité distinctes. La CNIL rappelle que la qualification dépend des faits, et l’Art. 28(10) prévoit le cas où un sous-traitant détermine illicitement les finalités et moyens. Le requalifier ne régularise pas automatiquement l’utilisation.

Dans cet exemple, le fournisseur accepte de supprimer l’usage d’annuaire de la prestation et de son annexe. Il confirme les paramètres correspondants ; la coordinatrice vérifie le parcours avec des inscriptions fictives et conserve le compte rendu. Les directions autorisent alors l’ouverture sur ce périmètre corrigé. Si l’usage ne pouvait pas être retiré, elles devraient soit instruire réellement cette nouvelle opération, soit choisir une autre prestation. Elles ne pourraient pas simplement conserver leur première fiche inchangée.

Si des données avaient déjà été réutilisées, l’action serait plus large : arrêter le flux contesté, identifier les destinataires et copies, examiner les mesures correctrices et l’éventuelle violation de données. Une réécriture du contrat ne prouverait ni la suppression des copies ni l’absence d’atteinte aux personnes. Les faits constatés détermineraient alors les obligations des Art. 33 et 34.

Ce qu’il faut retenir

• Qualifiez une opération précise à partir des décisions réelles, puis choisissez l’accord adapté.
• Séparez les rôles lorsqu’un organisme intervient pour plusieurs finalités.
• Documentez les décisions des partenaires et les instructions du prestataire.
• Résolvez les contradictions entre service et contrat avant d’ouvrir le traitement ; si les données ont déjà circulé, examinez aussi les conséquences effectives.

FAQ

Le contrat suffit-il à désigner le responsable ?

Non. La qualification dépend des décisions et opérations réelles. Une clause incohérente avec le service doit être corrigée.

Deux responsables conjoints doivent-ils décider à égalité ?

Non. Leur participation peut être différente. Il faut déterminer les opérations pour lesquelles leurs décisions contribuent à fixer les finalités et les moyens essentiels.

Un prestataire peut-il avoir plusieurs rôles ?

Oui. Il peut traiter le contenu pour le client et poursuivre, pour d’autres opérations, une finalité propre. Les rôles se qualifient séparément et doivent être expliqués clairement.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.