Responsable de traitement : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le responsable de traitement est la personne physique ou morale, l'autorité publique ou l'organisme qui détermine les finalités et les moyens d'un traitement de données personnelles. C'est lui qui répond en premier lieu du respect du RGPD.
Ce qu'il faut comprendre
Le responsable de traitement décide pourquoi les données sont traitées, c'est-à-dire la finalité, et, pour l'essentiel, comment elles le sont : quelles données, pendant combien de temps, qui y accède. En pratique, c'est l'organisme lui-même, la société, l'association ou la commune, et non le salarié ou le service qui gère le fichier au quotidien. Le dirigeant, le président ou le maire le représente.
Il porte l'essentiel des obligations : choisir une base légale, informer les personnes, répondre à leurs demandes, sécuriser les données, tenir le registre, encadrer ses sous-traitants, notifier les violations. Il doit surtout pouvoir démontrer sa conformité : c'est le principe de responsabilité, ou accountability. Il ne peut pas se décharger de cette responsabilité en confiant le traitement à un prestataire.
La distinction avec le sous-traitant est centrale. Le sous-traitant agit pour le compte et sur instruction du responsable. Un même prestataire peut être sous-traitant pour un traitement et responsable pour un autre, par exemple pour la gestion de ses propres clients. Lorsque plusieurs organismes décident ensemble des finalités et des moyens, ils sont responsables conjoints.
Erreur fréquente : considérer que l'éditeur du logiciel est responsable des données parce qu'il les héberge. C'est l'organisme utilisateur qui décide de la finalité : il reste responsable de traitement. L'éditeur est en principe sous-traitant pour ces données. Il est en revanche responsable des traitements qu'il réalise pour son propre compte, comme la gestion de ses clients ou la facturation de ses licences.
Exemple concret
Une commune gère le personnel communal, les inscriptions à la cantine et le fichier des usagers de la médiathèque : elle est responsable de ces traitements, et le maire agit en tant que son représentant. Lorsque la médiathèque utilise un logiciel en ligne fourni par un éditeur, celui-ci est sous-traitant. La commune doit signer avec lui un contrat conforme au RGPD et vérifier ses garanties de sécurité.
Textes de référence
- RGPD, art. 4, 7)
- RGPD, art. 24
- RGPD, art. 5, 2)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
