Webinaire coorganisé : répartir les responsabilités
Webinaire coorganisé : qualifiez chaque opération et préparez un accord utilisable pour l'information, les droits, les accès et les incidents.
Deux entreprises qui déterminent ensemble pourquoi et comment recueillir les inscriptions d’un webinaire peuvent être responsables conjointes de ce traitement. Elles doivent alors répartir leurs obligations par un accord conforme à l’Art. 26 du RGPD. Désigner l’entreprise qui possède le compte vidéo comme « seule responsable » ne règle pas la question si l’autre décide aussi des objectifs, des champs et des usages.
La qualification se fait opération par opération. L’inscription commune, l’envoi d’une invitation à partir d’un fichier propre et une campagne ultérieure peuvent relever de configurations différentes. Votre premier livrable est donc une carte de ces opérations ; le second est un accord que les équipes peuvent effectivement appliquer.
Qualifier les décisions, pas les logos
Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant traite pour son compte. Ces définitions figurent aux Art. 4(7) et 4(8). Un prestataire peut choisir des modalités techniques sans devenir automatiquement responsable, tandis qu’une société qui décide de ses propres usages ne devient pas sous-traitante par une simple clause.
La CNIL rappelle que les parties ne peuvent pas choisir la qualification qui les arrange dans ses bonnes pratiques sur les relations avec les sous-traitants. Pour votre webinaire, conservez les éléments qui montrent qui a décidé : échanges sur le formulaire, validation des destinataires, choix de l’outil et consignes d’export.
La présence de deux intervenants ou de deux logos ne suffit pas. Une société peut simplement fournir un expert sans décider des traitements des inscrits. À l’inverse, l’absence d’accès direct à la base ne suffit pas à exclure un rôle dans les décisions. Le cadre de la responsabilité conjointe doit être appliqué aux faits, sans attribuer d’office la même responsabilité à chaque partenaire pour toute la chaîne.
Une carte renseignée pour délimiter l’accord
Prenons deux sociétés fictives, Orbe Conseil et Lisière Formation. Elles préparent un webinaire destiné aux responsables de PME. Elles choisissent ensemble l’objectif de l’événement, les informations demandées aux inscrits, le public visé et le service de diffusion. Orbe tient matériellement le formulaire ; Lisière valide les champs et le suivi des participants. Le programme ne prévoit pas d’enregistrer leurs interventions.
La carte proposée repose sur ces hypothèses. Elle doit être revue si, en réalité, une société donne seulement des instructions à l’autre.
| Opération | Décision dans le cas Orbe/Lisière | Qualification retenue et conséquence |
|---|---|---|
| Invitation depuis le fichier propre d’Orbe | Orbe sélectionne seule les destinataires et son message | Orbe responsable ; son fichier n’est pas livré à Lisière |
| Inscription et gestion des accès au webinaire | Objectifs et moyens déterminés ensemble | Responsables conjointes ; accord Art. 26 pour ce périmètre |
| Hébergement du formulaire et diffusion | Service intervenant pour leur compte selon les instructions définies | Sous-traitance à encadrer ; vérifier aussi les éventuels traitements propres du service |
| Suite commerciale propre à Lisière | Lisière décide seule d’une offre et de sa campagne | Traitement distinct sous sa responsabilité, sous réserve de la licéité de la collecte et de la transmission |
| Nouvelle campagne conçue et ciblée ensemble | Décision commune supplémentaire | Qualification à reprendre ; pas incluse automatiquement dans l’accord initial |
Cette carte ne donne pas un droit général de réutilisation. Chaque opération doit respecter une base légale, l’information et les règles du canal employé. Le contrat entre les deux sociétés n’est pas un contrat avec chaque participant justifiant tous les traitements au titre de l’Art. 6(1)(b).
Pour le suivi B2B, la CNIL admet sous conditions une prospection électronique en rapport avec la profession, avec information et opposition simple. Ce n’est pas une permission de remettre toute la liste à n’importe quel partenaire. La doctrine doit être appliquée à l’offre, à la source et au destinataire concernés : prospection électronique. Le guide du partage des participants d’un webinaire traite cette décision séparée.
Relire quatre clauses avant de signer
Les formulations ci-dessous sont des exemples de rédaction à discuter, non un contrat complet. Elles montrent ce qu’une annexe opérationnelle doit résoudre.
« Orbe assume seule le RGPD »
Cette phrase contredit les décisions communes décrites. L’Art. 26(1)–(3) impose une répartition transparente qui reflète les rôles réels ; une personne conserve l’exercice de ses droits à l’égard de chacun des responsables conjoints.
Une formulation plus précise serait :
Orbe et Lisière déterminent conjointement les finalités et les moyens de la gestion des inscriptions et des accès au webinaire. Orbe exécute les opérations du formulaire et des confirmations. Lisière valide leur contenu et fournit les éléments nécessaires à l’information. La répartition des tâches ne prive pas les participants de leurs droits auprès de chacune des sociétés.
Il reste à identifier les entités, leurs coordonnées, le traitement, les données et les autres obligations. Le partage des coûts ou des recours entre entreprises mérite un examen contractuel distinct ; il ne doit pas être présenté comme une limitation des droits des personnes.
« Toutes les données seront partagées »
Cette clause ne distingue ni besoin ni usage. Dans l’exemple, l’animateur a besoin de la liste d’accès et des questions nécessaires à la séance, pas des permissions commerciales relatives à chaque marque. Le technicien doit pouvoir résoudre un problème de connexion sans disposer d’un export permanent de tous les contacts.
L’annexe doit nommer les accès autorisés : consultation, correction, export, suppression. Orbe administre la base commune ; Lisière dispose des vues nécessaires à son rôle. Un export commercial relève d’une validation distincte précisant les destinataires éligibles et les champs transmis. Cette organisation traduit les Art. 5(1)(c), 25(2) et 32(1), et ne se résume pas à interdire tout partage.
« Les demandes doivent être envoyées exclusivement à Orbe »
Un point de contact commun facilite le traitement ; il ne peut pas rendre irrecevable une demande adressée à Lisière. Écrivez plutôt :
Orbe coordonne les réponses concernant le traitement commun. Chaque société reçoit les demandes qui lui sont adressées et transmet sans retard les éléments utiles à la coordination. La date de réception initiale, le périmètre de la demande et les actions déjà effectuées sont conservés. La personne n’a pas à déposer une nouvelle demande auprès d’Orbe.
L’annexe fixe ensuite des modalités internes adaptées : personnes habilitées, suppléant, canal sécurisé et suivi. Ce calendrier interne ne remplace pas les délais de l’Art. 12(3).
« La plateforme s’occupe de tout »
L’achat d’un abonnement ne transfère pas les décisions des organisateurs au fournisseur. Le contrat de sous-traitance doit couvrir les opérations effectuées pour leur compte, les instructions, l’assistance aux droits, la sécurité, les sous-traitants ultérieurs et la fin de prestation. La personne qui commande l’outil doit disposer du mandat nécessaire pour organiser la relation au nom des responsables concernés.
Les exigences de l’article 28 doivent se retrouver dans un acte qui les lie effectivement au prestataire. Si le service poursuit aussi ses propres finalités, analysez ce volet séparément ; ne le faites pas disparaître sous l’étiquette « technique ».
Annexe W-08 : qui livre quoi ?
Pour le périmètre commun Orbe/Lisière, voici une répartition proposée, à adapter aux capacités et aux engagements réels.
| Obligation | Exécution prévue | Résultat à obtenir avant ouverture |
|---|---|---|
| Information des inscrits | Orbe publie ; Lisière vérifie ses coordonnées, usages et contacts | Notice validée par les deux sociétés et visible avant inscription |
| Gestion des droits | Orbe coordonne ; chaque société reçoit et exécute dans ses outils | Circuit documenté, contacts titulaires et suppléants joignables |
| Accès et exports | Orbe administre ; Lisière confirme ses personnes habilitées | Liste des droits attribués et exports autorisés |
| Prestataire | Orbe gère la relation selon le mandat convenu ; décisions sensibles validées ensemble | Contrat, instructions et informations sur la chaîne de traitement disponibles |
| Incident | Première société informée alerte immédiatement l’autre selon leur organisation | Canal d’urgence, décideurs et pièces d’analyse identifiés |
| Fin de conservation | Orbe traite la base commune ; Lisière traite ses copies autorisées | Échéances par finalité et moyen de vérifier leur exécution |
« Responsable » ne signifie pas ici que l’autre société peut ignorer l’obligation. Le tableau répartit le travail pour satisfaire les exigences communes. Il doit être accompagné des modalités de contrôle et de décision lorsqu’un désaccord survient.
Si Lisière ne confirme pas les destinataires d’un export, Orbe ne transmet pas la liste en attendant une régularisation. Si les informations sur le prestataire manquent au point d’empêcher l’évaluation des garanties, l’ouverture des inscriptions reste suspendue. Un calendrier commercial ne remplace pas ces décisions.
Expliquer l’accord aux participants
L’Art. 26(2) impose de mettre les grandes lignes de l’accord à disposition des personnes. Il n’exige pas de leur remettre toutes les clauses commerciales confidentielles. Préparez un résumé qui nomme les deux responsables, explique le traitement commun et indique comment ils se répartissent l’information et les réponses.
Dans W-08, ce résumé peut préciser qu’Orbe gère le formulaire et coordonne les droits, tandis que les deux sociétés déterminent l’organisation des inscriptions. Il doit rappeler que les demandes restent possibles auprès de chacune. Les coordonnées et voies de contact doivent être réelles et utilisables.
Ce résumé ne remplace pas la notice. L’article 13 demande notamment les finalités, bases légales, destinataires, durées, droits et autres informations applicables. La CNIL sur la transparence décrit une présentation par niveaux : le lecteur doit accéder facilement à l’information complète depuis le formulaire.
Faire circuler une demande sans perdre son objet
Supposons, toujours dans ce dossier fictif, qu’une participante écrive à Lisière le 6 octobre : elle corrige son nom pour le webinaire et refuse toute prospection des deux sociétés. Lisière transmet la demande à Orbe le 7. Cette circulation interne ne fait pas recommencer le délai de réponse sur le traitement commun.
La correction concerne la base d’inscription et les copies où le nom erroné a été diffusé, avec l’analyse des obligations de l’Art. 19. Le refus commercial doit également être traité dans les dispositifs concernés. Il ne signifie pas, à lui seul, qu’elle annule sa participation. Conservez donc des décisions distinctes : identité corrigée, prospection arrêtée dans le périmètre demandé, inscription maintenue. Les Art. 16, 19 et 21(2)–(3) encadrent ces suites.
Une réponse commune doit préciser ce qu’elle couvre. Si une campagne propre à Lisière nécessite une réponse complémentaire, ne présentez pas la réponse d’Orbe comme la clôture de toutes les opérations. En cas d’incident, la coordination ne suspend pas davantage les obligations des Art. 33 et 34 : documenter, apprécier les risques et notifier ou informer lorsque les conditions sont réunies restent nécessaires.
Ce qu’il faut retenir
- La coorganisation commerciale ne suffit pas : identifiez les décisions sur chaque traitement.
- L’accord Art. 26 répartit les obligations sans retirer les droits auprès de chaque responsable.
- Une base commune ne constitue pas une autorisation générale d’export ou de prospection.
- L’information, les demandes et les incidents doivent suivre un circuit opérationnel convenu avant l’ouverture.
FAQ
Une seule société peut-elle payer la plateforme ?
Oui. Le paiement ne détermine pas seul les rôles RGPD. Il faut néanmoins que le contrat et les instructions couvrent correctement les traitements confiés au prestataire et les responsables concernés.
Un intervenant invité devient-il responsable conjoint ?
Pas par sa seule présence. Examinez s’il détermine effectivement les finalités et les moyens du traitement des participants, plutôt que de seulement présenter un sujet.
Peut-on préparer l’accord après le webinaire ?
Cela laisse les premières collectes sans organisation adéquate. Avant les inscriptions, définissez les rôles, rendez l’information disponible et assurez les circuits nécessaires ; un accord ultérieur ne crée pas rétroactivement la licéité des usages passés.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.