Responsable de traitement ou sous-traitant : quelles différences ?

Introduction

Cette qualification commande tout le reste : les obligations à respecter, la responsabilité encourue, et le contrat à conclure. Elle se détermine par les faits, non par ce que les parties écrivent.

Les définitions

Le responsable de traitement est la personne qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement.

Le sous-traitant est la personne qui traite des données pour le compte du responsable de traitement, selon ses instructions.

Le critère décisif est donc la maîtrise des finalités : qui décide de ce à quoi les données servent.

La qualification résulte des faits

Les parties ne peuvent pas choisir librement leur qualité.

Un contrat qualifiant un prestataire de sous-traitant alors qu’il détermine en réalité les finalités ne modifie pas la qualification retenue en cas de contrôle.

L’analyse porte sur la réalité : qui décide des données collectées, de leur usage, de leur durée de conservation, des destinataires.

Les configurations courantes

Une entreprise qui confie sa paie à un cabinet comptable est responsable de traitement ; le cabinet est sous-traitant pour cette mission.

Un éditeur de logiciel en ligne hébergeant les données de ses clients est sous-traitant pour ces données, et responsable pour les données de ses propres clients et prospects.

Une agence marketing qui exécute une campagne selon les instructions de son client est sous-traitante ; si elle détermine elle-même les ciblages et enrichit les fichiers avec ses propres sources, la qualification devient discutable.

Un même prestataire cumule donc fréquemment les deux qualités selon les traitements.

La responsabilité conjointe

Lorsque deux entités déterminent conjointement les finalités et les moyens, elles sont responsables conjoints.

Cette configuration se rencontre notamment dans les partenariats commerciaux, les plateformes mettant en relation, ou les opérations marketing conjointes.

Elle impose de définir par accord la répartition des obligations, notamment quant à l’information des personnes et à l’exercice de leurs droits, cet accord devant être mis à disposition des personnes concernées.

Les obligations du responsable de traitement

Déterminer la base légale, informer les personnes, tenir le registre, respecter les durées, garantir la sécurité, notifier les violations, répondre aux demandes de droits, et encadrer ses sous-traitants.

C’est vers lui que les personnes se tournent en priorité pour exercer leurs droits.

Les obligations du sous-traitant

Elles sont propres et ne se réduisent pas à suivre les instructions.

Ne traiter les données que sur instruction documentée du responsable.

Garantir la confidentialité des personnes autorisées à traiter les données.

Mettre en œuvre des mesures de sécurité appropriées.

Ne pas recruter de sous-traitant ultérieur sans autorisation, et lui imposer les mêmes obligations.

Aider le responsable à répondre aux demandes de droits et à respecter ses obligations de sécurité et de notification.

Supprimer ou renvoyer les données au terme de la prestation.

Tenir son propre registre des catégories d’activités de traitement effectuées pour le compte de chaque responsable.

Le contrat obligatoire

La relation doit être encadrée par un contrat ou un acte juridique comportant les mentions requises : objet, durée, nature et finalité du traitement, types de données, catégories de personnes concernées, obligations et droits du responsable, et les engagements du sous-traitant énumérés par le règlement.

Ce document, souvent appelé accord de sous-traitance, est distinct du contrat de prestation, même s’il peut y être annexé.

Le dépassement d’instructions

Si un sous-traitant détermine les finalités et les moyens d’un traitement, il est considéré comme responsable de ce traitement.

Cette règle sanctionne notamment la réutilisation des données du client à des fins propres, par exemple pour améliorer un service ou entraîner un modèle, sans base légale distincte.

Cartographier les rôles avant de contracter

Une qualification erronée expose aux obligations que l’on n’a pas remplies. Notre expertise RGPD et protection des données personnelles réalise ces analyses.

En résumé

• Le critère est la détermination des finalités et des moyens, pas la qualification contractuelle.
• Un même prestataire est fréquemment sous-traitant pour la prestation et responsable pour ses propres traitements.
• La responsabilité conjointe suppose un accord définissant la répartition des obligations.
• Le sous-traitant a des obligations propres, dont la tenue d’un registre et l’assistance au responsable.
• Un sous-traitant qui détermine les finalités devient responsable du traitement concerné.