Responsable de traitement RGPD : qualifier son rôle

Avant de rédiger un contrat ou un registre, identifiez votre rôle dans chaque traitement. Le RGPD distingue responsable du traitement, responsables conjoints et sous-traitant. Cette qualification ne se choisit pas : elle découle des faits, et l'intitulé d'un contrat ne suffit pas à la fixer.

Qu'est-ce qu'un responsable de traitement selon le RGPD ?

Le responsable du traitement est l'organisme qui détermine les finalités et les moyens du traitement, seul ou conjointement avec d'autres. Le sous-traitant, lui, traite des données personnelles pour le compte du responsable. Ces deux définitions figurent à l'article 4, points 7 et 8, du RGPD.

Le responsable de traitement RGPD peut être une entreprise, une association, une autorité publique ou une personne physique. Dans une société, c'est en principe la personne morale qui porte cette qualité, pas le dirigeant ni le service utilisateur. L'article 24 du RGPD lui impose des mesures appropriées et la capacité de démontrer sa conformité : c'est l'accountability.

Comment savoir si vous êtes responsable de traitement ou sous-traitant ?

Demandez-vous qui décide du « pourquoi » et des aspects essentiels du « comment ». Celui qui fixe ces éléments est responsable ; celui qui exécute pour le compte d'un autre, sans finalité propre, est sous-traitant. Les lignes directrices 07/2020 du CEPD, adoptées dans leur version finale le 7 juillet 2021, détaillent cette analyse.

Le CEPD distingue les moyens essentiels, liés à la finalité et à la portée du traitement (quelles données, combien de temps, quels destinataires, quelles personnes), et les moyens non essentiels, comme le choix du logiciel ou des mesures de sécurité concrètes. Un prestataire peut arrêter les seconds et rester sous-traitant. Retenir le statut de responsable de traitement RGPD suppose de maîtriser les premiers.

1. 1Nommer la finalité — Écrivez à quoi sert le traitement et pour le compte de qui il est réalisé.
2. 2Repérer les moyens essentiels — Identifiez qui choisit les données, leur durée de conservation, les destinataires et les personnes concernées.
3. 3Chercher une finalité propre — Un prestataire qui exploite les données pour son propre compte n'agit plus, pour cette utilisation, en sous-traitant.
4. 4Examiner la participation conjointe — Une décision commune ou des décisions convergentes orientent vers une responsabilité conjointe.
5. 5Confronter le contrat aux faits — Un service standardisé aux conditions imposées par le fournisseur ne change pas la répartition des rôles.

Quand êtes-vous responsable conjoint du traitement ?

Vous êtes responsables conjoints lorsque deux organismes ou plus déterminent ensemble les finalités et les moyens d'un traitement. L'article 26 du RGPD leur impose de définir, dans un accord, leurs obligations respectives.

La Cour de justice de l'Union européenne retient une conception large. Dans l'arrêt Wirtschaftsakademie (C-210/16) du 5 juin 2018, rendu sous la directive 95/46, elle juge l'administrateur d'une page fan Facebook conjointement responsable avec Facebook Ireland du traitement des données des visiteurs : selon le communiqué de la Cour, son paramétrage, notamment pour obtenir des statistiques d'audience, contribue à fixer finalités et moyens.

L'arrêt Fashion ID (C-40/17) du 29 juillet 2019 en trace les limites. D'après le communiqué de la Cour, un site qui intègre le bouton « J'aime » peut être responsable conjoint de la collecte et de la transmission des données, mais pas, en principe, du traitement ultérieur réalisé par Facebook seul. Être responsable de traitement RGPD aux côtés d'un autre acteur s'apprécie donc opération par opération, et n'implique pas, selon le CEPD, une responsabilité équivalente.

Cas concrets : quelle qualification pour vos partenaires ?

La qualification dépend de la mission confiée, pas du métier du prestataire. Le tableau indique la qualification probable et le critère qui peut la faire évoluer.

Le cas de l'agence ne fait pas l'objet d'un exemple officiel : il résulte des critères ci-dessus. Voir aussi nos articles sur le cabinet comptable et l'éditeur SaaS. Identifier le responsable de traitement RGPD de chaque flux avant de négocier évite un contrat inadapté.

Quelles conséquences pratiques selon votre rôle ?

Le responsable porte l'essentiel des obligations et doit démontrer sa conformité. Le sous-traitant a des obligations propres et agit sur instructions. Les responsables conjoints se répartissent les obligations par un accord, que les personnes concernées ne se voient pas opposer.

Ces règles figurent aux chapitre IV et chapitre VIII du RGPD. En tant que responsable de traitement RGPD, vous choisissez des sous-traitants offrant des garanties suffisantes, tenez votre registre des traitements et signez un contrat de sous-traitance, détaillé dans notre article Fournisseurs et RGPD : qualifier, contractualiser, contrôler. Le CEPD propose une fiche de synthèse pour les PME.

À retenir

• Le responsable fixe les finalités et les moyens essentiels ; le sous-traitant agit pour son compte, sur instructions.
• La qualification découle des faits, pas du contrat ni du métier du prestataire.
• La responsabilité conjointe s'apprécie opération par opération (CJUE, Fashion ID).
• Les personnes peuvent exercer leurs droits contre chaque responsable conjoint.
• Un sous-traitant qui poursuit ses propres finalités devient responsable pour cette utilisation.