Responsable du traitement et sous-traitant : comment les distinguer avec une checklist décisionnelle

01

La différence en bref

Le responsable du traitement est celui qui détermine les finalités et les moyens du traitement des données personnelles ; le sous-traitant est celui qui traite les données pour le compte du responsable, selon ses instructions.

Cette distinction, définie à l'article 4 du RGPD, détermine qui assume quelles obligations envers les personnes concernées et envers les autorités de contrôle.

02

Pourquoi cette distinction compte

Le rôle attribué n'est pas une question d'étiquette : il dépend de qui décide réellement pourquoi et comment les données sont traitées. Une organisation qui reçoit des données et les traite selon les instructions d'autrui est sous-traitant, non responsable, quelle que soit la façon dont elle est désignée dans le contrat.

03

Comment établir le rôle, étape par étape

Étapes

1. Se demander qui décide des finalités du traitement : cette partie est, seule ou conjointement avec d'autres, le responsable.
2. Vérifier qui décide des moyens techniques et organisationnels du traitement : cet élément indique aussi le responsable.
3. Si une organisation traite des données uniquement pour le compte d'une autre et selon ses instructions, elle est le sous-traitant.
4. Formaliser la relation par un contrat ou un autre acte juridique précisant l'objet, la durée, la nature, la finalité, le type de données et les catégories de personnes concernées.
5. Vérifier que le contrat contient les obligations spécifiques requises pour le sous-traitant, et non seulement une référence générale au RGPD.

04

Exemple hypothétique

Une société de logiciels de gestion traite les données clients d'une entreprise manufacturière selon les instructions documentées de celle-ci : dans ce scénario hypothétique, l'entreprise manufacturière est responsable du traitement, le fournisseur de logiciels est sous-traitant. Si le fournisseur recourait à un autre prestataire pour l'hébergement, il aurait besoin de l'autorisation écrite du responsable et devrait imposer à l'hébergeur les mêmes obligations de protection des données prévues dans le contrat initial.

05

Éléments que le contrat avec le sous-traitant doit contenir

• Une instruction documentée du responsable comme seul fondement du traitement par le sous-traitant.
• Un engagement de confidentialité des personnes autorisées à traiter les données.
• Des mesures techniques et organisationnelles adéquates au sens de l'article 32.
• Des conditions pour le recours à un sous-traitant ultérieur, incluant les mêmes garanties de protection des données.
• Une assistance au responsable pour répondre aux demandes des personnes concernées et pour respecter les obligations des articles 32 à 36.
• La suppression ou la restitution des données à la fin de la prestation, sauf obligation légale de conservation.
• La mise à disposition des informations nécessaires pour démontrer la conformité et permettre des audits.

06

Comment organiser rôles et preuves avec un partenaire logiciel

Une organisation peut choisir de configurer, avec son partenaire logiciel, un registre clair indiquant qui est responsable et qui est sous-traitant pour chaque traitement, avec les contrats associés et la date de mise à jour. C'est un choix opérationnel recommandé, non une obligation découlant d'une fonctionnalité spécifique du logiciel.

Il peut aussi être utile de définir qui, dans l'entreprise, approuve le recours à des sous-traitants ultérieurs et qui vérifie périodiquement que les contrats contiennent les obligations requises, en conservant la trace des instructions documentées données aux sous-traitants.

07

En pratique, en trois étapes

Étapes

1. Cartographier qui décide des finalités et des moyens pour chaque traitement de données personnelles dans l'entreprise.
2. Rédiger ou vérifier le contrat avec chaque sous-traitant, en incluant toutes les obligations requises.
3. Revoir périodiquement les chaînes de sous-traitants ultérieurs et les autorisations accordées.

08

Prochaine étape

Vérifiez les contrats de traitement existants et comparez chaque clause avec les obligations listées dans cette checklist avant la prochaine révision contractuelle.