Responsable du traitement et sous-traitant : comment les distinguer selon le RGPD

01

Qui est responsable du traitement et qui est sous-traitant

Le RGPD définit le responsable du traitement comme la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles. Le sous-traitant, en revanche, est celui qui traite les données personnelles pour le compte du responsable du traitement, en suivant ses instructions.

02

Pourquoi cette distinction compte sur le plan opérationnel

Lorsqu'une organisation confie des traitements à un fournisseur externe, la relation doit être régie par un contrat ou un autre acte juridique établissant l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les droits et obligations du responsable du traitement.

03

Étapes pour formaliser correctement la relation

Étapes

1. Identifier qui détermine les finalités et les moyens du traitement : cette partie est le responsable du traitement.
2. Vérifier si le fournisseur traite les données uniquement sur instruction documentée du responsable du traitement.
3. Préparer un contrat incluant les éléments prévus à l'article 28 : durée, nature, finalités, données et droits.
4. Si le sous-traitant recourt à un sous-traitant ultérieur, obtenir l'autorisation écrite préalable du responsable du traitement.
5. Imposer au sous-traitant ultérieur les mêmes obligations de protection des données que celles prévues dans le contrat initial.

04

Un cas hypothétique

Exemple hypothétique : une entreprise européenne (responsable du traitement) décide de collecter des données clients pour la facturation et confie le traitement à un fournisseur de logiciel de gestion (sous-traitant). Le fournisseur traite les données uniquement selon les instructions documentées du responsable du traitement et, s'il sous-traite une partie du service à un autre fournisseur, doit d'abord obtenir l'autorisation écrite de l'entreprise mandante.

05

Éléments que le contrat devrait contenir

• Instructions documentées du responsable du traitement comme seule base du traitement.
• Engagement de confidentialité des personnes autorisées à traiter les données.
• Mesures de sécurité adéquates conformément à l'article 32.
• Conditions pour recourir à un autre sous-traitant.
• Assistance au responsable du traitement concernant les droits des personnes concernées et la suppression ou restitution des données à la fin du service.

06

Organiser les rôles avec un partenaire logiciel

Une entreprise peut demander à son partenaire logiciel de cartographier qui est responsable du traitement et qui est sous-traitant pour chaque flux de données, en conservant une trace des instructions documentées reçues et des finalités autorisées.

Il est possible de mettre en place des processus de révision périodique du contrat de traitement, avec enregistrement des autorisations accordées à d'éventuels sous-traitants ultérieurs et des informations fournies au responsable du traitement en cas de modifications prévues.

07

Clarifications fréquentes

• La distinction repose sur qui décide des finalités et des moyens du traitement, et non sur le type d'activité exercée.
• Un sous-traitant ne peut recourir à un sous-traitant ultérieur qu'avec l'autorisation écrite, spécifique ou générale, du responsable du traitement.
• Si le sous-traitant ultérieur ne respecte pas ses obligations, le sous-traitant initial reste pleinement responsable envers le responsable du traitement.

08

Prochaine étape pratique

Avant de confier un traitement à un fournisseur, vérifiez que le contrat contient tous les éléments prévus à l'article 28 et demandez au fournisseur de documenter comment il gère d'éventuels sous-traitants ultérieurs.