Responsable du traitement et sous-traitant : comment les distinguer selon le RGPD

01

La distinction en deux définitions

Le RGPD définit le responsable du traitement comme la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles. Le sous-traitant, en revanche, est celui qui traite des données personnelles pour le compte du responsable du traitement, sans décider de manière autonome des finalités et des moyens.

02

Pourquoi cette distinction compte opérationnellement

Celui qui décide pourquoi et comment les données sont traitées est le responsable du traitement ; celui qui exécute des activités de traitement sur instruction d'autrui est le sous-traitant. Cette différence détermine qui signe le contrat de traitement, qui répond des instructions et qui doit démontrer les garanties adoptées lorsqu'on recourt à des prestataires externes ou à d'autres sous-traitants.

03

Comment cartographier les rôles et les formaliser

Étapes

1. Identifier qui décide des finalités et des moyens du traitement : ce sujet est le responsable du traitement.
2. Vérifier si un prestataire traite des données uniquement pour le compte du responsable du traitement : dans ce cas, il est sous-traitant.
3. Rédiger un contrat stipulant l'objet, la durée, la nature, la finalité du traitement, le type de données et les catégories de personnes concernées.
4. Inclure dans le contrat les obligations prévues à l'art. 28.3 : instructions documentées, confidentialité, mesures de sécurité, assistance sur les droits des personnes concernées.
5. Si le sous-traitant recourt à un autre sous-traitant, obtenir d'abord l'autorisation écrite préalable du responsable du traitement.

04

Un cas hypothétique

Exemple hypothétique : une entreprise qui décide de collecter des données de clients à des fins commerciales est responsable du traitement. Si elle confie l'élaboration de ces données à un prestataire externe qui agit uniquement sur instruction documentée, ce prestataire est sous-traitant et doit garantir confidentialité et mesures de sécurité comme prévu par le contrat.

05

Ce qu'il faut vérifier dans le contrat

• Le contrat prévoit que le sous-traitant traite les données uniquement sur instruction documentée du responsable du traitement.
• Les personnes autorisées au traitement sont liées par la confidentialité ou une obligation légale équivalente.
• Les mesures techniques et organisationnelles requises par l'art. 32 sont prévues.
• Le sous-traitant aide le responsable du traitement à répondre aux demandes des personnes concernées.
• À la fin du service, les données sont supprimées ou restituées selon le choix du responsable du traitement.

06

Comment organiser ce processus avec un logiciel de gestion

Une entreprise peut demander à son partenaire logiciel de configurer des rôles distincts pour le responsable du traitement et le sous-traitant, avec une traçabilité des instructions documentées, un journal des modifications des sous-traitants ultérieurs et un point de révision périodique des contrats. Ce sont des choix opérationnels suggérés, non des fonctionnalités garanties : leur mise en œuvre dépend de la configuration choisie avec le prestataire.

07

Clarifications fréquentes

• Si un sous-traitant recourt à un autre sous-traitant qui ne respecte pas ses obligations en matière de protection des données, le sous-traitant initial reste pleinement responsable envers le responsable du traitement de l'exécution des obligations de cet autre sous-traitant.
• Un sous-traitant doit informer immédiatement le responsable du traitement lorsque, selon lui, une instruction viole le règlement ou d'autres dispositions relatives à la protection des données.
• L'adhésion à un code de conduite approuvé ou à un mécanisme de certification approuvé peut être utilisée comme élément pour démontrer des garanties suffisantes.

08

Prochaine étape pratique

Étapes

1. Lister tous les prestataires qui traitent des données personnelles pour le compte de l'entreprise.
2. Vérifier pour chacun s'il agit comme sous-traitant ou comme responsable du traitement autonome.
3. Mettre à jour ou rédiger les contrats manquants en suivant les contenus obligatoires de l'art. 28.3.
4. Planifier une révision périodique des sous-traitants ultérieurs et des autorisations écrites.

Résultat attendu: Une liste actualisée des responsables du traitement et sous-traitants impliqués dans les traitements de l'entreprise, avec des contrats conformes à l'art. 28.3 prêts pour la révision périodique.