La qualification des rôles entre responsable de traitement et sous-traitant est l'une des premières questions à résoudre dans toute relation impliquant des données personnelles. Cette qualification n'est pas une simple formalité contractuelle. Elle détermine les obligations applicables à chaque partie, la documentation requise et la répartition de la responsabilité en cas d'incident ou de contrôle.
Une erreur de qualification, ou l'absence de qualification réfléchie, crée des risques réels: obligations non respectées, documentation inadaptée, responsabilité mal répartie.
Le responsable de traitement
Est responsable de traitement la personne physique ou morale qui détermine les finalités et les moyens du traitement. C'est celui qui décide pourquoi les données sont collectées et comment elles sont utilisées. Le responsable de traitement supporte les obligations principales du RGPD: information des personnes concernées, légitimité du traitement, tenue du registre des traitements, mise en œuvre des droits des personnes, notification des violations.
Dans la plupart des relations commerciales, le client qui confie un traitement à un prestataire est le responsable de traitement. C'est lui qui a une relation avec les personnes dont les données sont traitées, c'est lui qui décide pourquoi ces données sont collectées.
Le sous-traitant
Est sous-traitant la personne physique ou morale qui traite des données personnelles pour le compte du responsable de traitement. Il agit sur instruction du responsable, sans déterminer les finalités du traitement. Le sous-traitant est soumis à des obligations spécifiques du RGPD, dont la principale est de ne traiter les données que sur instruction documentée du responsable.
Un éditeur SaaS qui héberge et traite des données pour le compte de ses clients, un cabinet de paie qui traite les données des salariés d'une entreprise cliente, un hébergeur qui stocke des données pour ses clients: ces acteurs sont des sous-traitants.
Les critères de qualification
La qualification dépend de la réalité de la relation, pas seulement de ce que les contrats prévoient. Les autorités de contrôle, dont la CNIL, appliquent une approche fonctionnelle: qui détermine effectivement pourquoi les données sont collectées et comment elles sont utilisées ?
Plusieurs indices permettent d'orienter la qualification: qui décide des finalités du traitement ? Qui fixe les règles sur les catégories de données à collecter ? Qui décide des durées de conservation ? Qui exerce un contrôle sur le prestataire dans l'exécution du traitement ? Un prestataire qui a une grande liberté dans la manière dont il traite les données et qui décide lui-même de certaines finalités peut être requalifié en responsable de traitement ou en co-responsable.
La co-responsabilité de traitement
Lorsque deux acteurs déterminent conjointement les finalités et les moyens d'un traitement, ils sont co-responsables de traitement. Cette qualification implique des obligations spécifiques: conclusion d'un accord de co-responsabilité précisant la répartition des obligations du RGPD, transparence vis-à-vis des personnes concernées.
La co-responsabilité est fréquente dans les situations de partenariats commerciaux, de places de marché ou de fourniture de services impliquant plusieurs acteurs qui partagent des données à des fins communes. Elle est souvent sous-estimée dans les contrats.
Les risques d'une mauvaise qualification
Une mauvaise qualification crée plusieurs risques. Si une partie est traitée comme sous-traitant alors qu'elle est co-responsable, les obligations de transparence vis-à-vis des personnes et de documentation entre parties ne sont pas respectées. Si une partie est traitée comme responsable alors qu'elle est sous-traitant, elle se voit imposer des obligations qu'elle ne peut pas remplir seule. En cas de contrôle ou d'incident, les autorités de contrôle peuvent requalifier les rôles et sanctionner les deux parties sur la base de leurs obligations réelles.
Pour un accompagnement sur la qualification des rôles dans vos relations contractuelles, consultez notre page dédiée à l'avocat contrat de sous-traitance de données personnelles et notre page avocat data protection.
