Tiers : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Un tiers est toute personne physique ou morale, autorité publique ou organisme autre que la personne concernée, le responsable de traitement, le sous-traitant et les personnes autorisées à traiter les données sous leur autorité directe.
Ce qu'il faut comprendre
Le tiers se définit par exclusion. Le responsable, son personnel, son sous-traitant et le personnel de celui-ci sont dans le cercle du traitement ; tous les autres sont des tiers. Une banque, un assureur, une autre société du même groupe, un partenaire commercial ou un organisme public extérieur sont des tiers lorsqu'ils reçoivent des données.
La notion compte dans plusieurs situations. Communiquer des données à un tiers suppose une base légale et doit être annoncé aux personnes. L'intérêt légitime qui fonde un traitement peut être celui du responsable ou celui d'un tiers. Enfin, l'accès d'un tiers non autorisé, par exemple un pirate ou le destinataire d'un e-mail envoyé par erreur, peut constituer une violation de données.
Tiers et destinataire se recoupent sans se confondre : un tiers qui reçoit des données est un destinataire, mais un destinataire n'est pas forcément un tiers, comme le sous-traitant ou un service interne. Erreur fréquente : considérer que les autres sociétés d'un groupe ne sont pas des tiers. Chaque entité juridique est distincte, et les échanges intragroupe doivent être encadrés.
Exemple concret
Une association caritative envisage de communiquer la liste de ses donateurs à une association partenaire pour une collecte commune. L'association partenaire est un tiers. La transmission doit avoir été annoncée aux donateurs, qui doivent pouvoir s'y opposer ou y consentir selon le canal de sollicitation utilisé. Le prestataire qui imprime et envoie les courriers n'est pas un tiers, mais un sous-traitant.
Textes de référence
- RGPD, art. 4, 10)
- RGPD, art. 6, 1), f)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
