Responsable du traitement et sous-traitant : comment les distinguer selon le RGPD

01

La différence en résumé

Le responsable du traitement est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui détermine les finalités et les moyens du traitement des données personnelles. Le sous-traitant, en revanche, traite les données pour le compte du responsable, sans décider de manière autonome pourquoi et comment les données sont utilisées.

02

Pourquoi cette distinction compte

Le RGPD distingue également le destinataire, c'est-à-dire celui qui reçoit une communication de données personnelles, qu'il s'agisse ou non d'un tiers. Comprendre qui est responsable, qui est sous-traitant et qui est simple destinataire permet d'attribuer correctement les obligations et responsabilités avant qu'un problème ne survienne.

03

Comment formaliser la relation

Étapes

1. Identifier qui décide des finalités et des moyens du traitement : c'est le responsable.
2. Conclure un contrat ou un acte juridique liant le sous-traitant au responsable.
3. Préciser dans le contrat l'objet, la durée, la nature, la finalité, le type de données et les catégories de personnes concernées.
4. Obtenir une autorisation écrite, spécifique ou générale, avant que le sous-traitant n'engage un autre sous-traitant.
5. Si l'autorisation est générale, prévoir que le sous-traitant informe le responsable de tout changement futur.

04

Un cas hypothétique

Exemple hypothétique : une entreprise responsable confie la gestion des fiches de paie à un fournisseur externe. Le contrat prévoit que le fournisseur traite les données uniquement sur instruction documentée de l'entreprise, sauf obligation légale, auquel cas il informe le responsable avant de procéder. Si le fournisseur souhaite sous-déléguer une partie du travail à un autre sous-traitant, il doit d'abord obtenir l'autorisation écrite de l'entreprise.

05

Obligations types du sous-traitant dans le contrat

• Traiter les données uniquement sur instruction documentée du responsable.
• Garantir la confidentialité des personnes autorisées à traiter les données.
• Mettre en œuvre les mesures techniques et organisationnelles requises par l'article 32.
• Aider le responsable à répondre aux demandes des personnes concernées.
• Supprimer ou restituer les données à la fin de la prestation, sauf obligation légale contraire.

06

Comment organiser les rôles avec un logiciel de gestion

Une entreprise peut choisir de configurer, avec son partenaire logiciel, une liste claire de qui est responsable et qui est sous-traitant pour chaque traitement, avec traçabilité des instructions documentées et des autorisations accordées aux autres sous-traitants. C'est un choix opérationnel utile de faire enregistrer et pouvoir revoir chaque changement de fournisseur de traitement, afin de pouvoir démontrer à tout moment le respect des obligations contractuelles.

07

Questions fréquentes sur responsable et sous-traitant

Le sous-traitant peut-il sous-déléguer le traitement ? Oui, mais uniquement avec l'autorisation écrite du responsable et en imposant à l'autre sous-traitant les mêmes obligations de protection des données que celles prévues dans le contrat initial.

Qui reste responsable si l'autre sous-traitant n'exécute pas ses obligations ? Le sous-traitant initial demeure pleinement responsable envers le responsable de l'exécution des obligations de l'autre sous-traitant.

08

Prochaine étape

Vérifiez vos contrats existants avec vos fournisseurs de traitement de données : assurez-vous qu'ils indiquent clairement les instructions documentées, la durée, la finalité et les conditions pour d'éventuels autres sous-traitants.