Différents rôles dans le traitement de données personnelles : que disent les Lignes Directrices de l'EDBP ?

 Le Comité européen à la protection des données viens de rendre publique - le 7 juillet 2021 - les nouvelles lignes directrices  relatives au rôles de responsable de traitement,  de responsables conjoints et de sous-traitant. 

 

Ces lignes directrices sont parmi les plus importantes,  en particulier quand un contrat porte ou emporte un traitement de données personnelles. 

 

Elles sont donc structurantes et pourrait,  à défaut d’être correctement mises en œuvre,  engager la responsabilité de leurs auteurs.

Nous vous proposons ici une traduction libre du résumé analytique, dans l'attente de la version officielle en Français qui ne devrait pas tarder. 

 

Bonne lecture !! 

 

Résumé analytique

Les concepts de responsable de traitement, de responsable conjoint de traitement et de sous-traitant jouent un rôle crucial dans l’application du Règlement général sur la protection des données 2016/679 (RGPD), car ils déterminent qui est responsable du respect des différentes règles de protection des données, et comment les personnes concernées peuvent exercer leurs droits en pratique. La signification précise de ces concepts et les critères pour leur interprétation correcte doivent être suffisamment clairs et cohérents dans l’ensemble de l’Espace économique européen (EEE).

Les concepts de responsable de traitement, de responsable conjoint de traitement et de sous-traitant sont des concepts fonctionnels dans la mesure où ils visent à répartir les responsabilités en fonction des rôles réels des parties et des concepts autonomes dans la mesure où ils doivent être interprétés principalement en fonction de la législation de l’UE en matière de protection des données.

Responsable de traitement

En principe, il n’y a pas de limitation quant au type d’entité qui peut assumer le rôle de responsable de traitement, mais dans la pratique, c’est généralement l’organisation en tant que telle, et non un individu au sein de l’organisation (comme le PDG, un employé ou un membre du conseil d’administration), qui agit en tant que responsable de traitement.

Le responsable de traitement est un organisme qui décide de certains éléments clés du traitement. La qualité de responsable de traitement peut être définie par la loi ou résulter d’une analyse des éléments factuels ou des circonstances de l’affaire. Certaines activités de traitement peuvent être considérées comme naturellement liées au rôle d’une entité (un employeur envers ses employés, un éditeur envers ses abonnés ou une association envers ses membres). Dans de nombreux cas, les termes d’un contrat peuvent aider à identifier le responsable de traitement, bien qu’ils ne soient pas déterminants dans toutes les circonstances.

Le responsable de traitement détermine les finalités et les moyens du traitement, c’est-à-dire le pourquoi et le comment du traitement. Le responsable de traitement doit décider à la fois des finalités et des moyens. Cependant, certains aspects plus pratiques de la mise en œuvre (« moyens non essentiels ») peuvent être laissés au sous-traitant. Il n’est pas nécessaire que le responsable de traitement ait effectivement accès aux données traitées pour être qualifié de responsable de traitement.

Responsable conjoint

La qualification de responsable conjoint peut se poser lorsque plusieurs acteurs sont impliqués dans le traitement. Le RGPD introduit des règles spécifiques pour les responsables conjoints et établit un cadre pour régir leur relation. Le critère primordial pour l’existence d’un contrôle conjoint est la participation conjointe de deux ou plusieurs entités à la détermination des finalités et des moyens d’un traitement. La participation conjointe peut prendre la forme d’une décision commune prise par deux ou plusieurs entités ou résulter de la convergence de décisions prises par deux ou plusieurs entités, lorsque les décisions se complètent et sont nécessaires à la réalisation du traitement de telle sorte qu’elles ont un impact tangible sur la détermination des finalités et des moyens du traitement. Un critère important est que le traitement ne serait pas possible sans la participation des deux parties, en ce sens que le traitement par chaque partie est inséparable, c’est-à-dire inextricablement lié. La participation conjointe doit inclure la détermination des finalités d’une part et la détermination des moyens d’autre part.

Sous-traitant

Un sous-traitant est une personne physique ou morale, une autorité publique, un service ou un autre organisme, qui traite des données à caractère personnel pour le compte du responsable de traitement. Il existe deux conditions de base pour être qualifié de sous-traitant : être une entité distincte par rapport au responsable de traitement et traiter les données à caractère personnel pour le compte du responsable de traitement.

Le sous-traitant ne doit pas traiter les données autrement que selon les instructions du responsable de traitement. Les instructions du responsable de traitement peuvent toujours laisser un certain degré de liberté quant à la manière de servir au mieux les intérêts du responsable de traitement, permettant au sous-traitant de choisir les moyens techniques et organisationnels les plus appropriés.

En revanche, un sous-traitant enfreint le RGPD s’il va au-delà des instructions du responsable de traitement et commence à déterminer ses propres objectifs et moyens de traitement. Le sous-traitant sera alors considéré comme un responsable de traitement et pourra faire l’objet de sanctions pour avoir outrepassé les instructions du responsable de traitement.

Relations entre le responsable de traitement et le sous-traitant

Le responsable de traitement ne doit faire appel qu’à des sous-traitants présentant des garanties suffisantes pour mettre en œuvre les mesures techniques et organisationnelles appropriées afin que le traitement réponde aux exigences du RGPD. Les éléments à prendre en compte peuvent être l’expertise du sous-traitant (par exemple, l’expertise technique en matière de mesures de sécurité et de violations de données) ; la fiabilité du sous-traitant ; les ressources du sous-traitant et l’adhésion du sous-traitant à un code de conduite ou à un mécanisme de certification approuvé.

Tout traitement de données à caractère personnel par un sous-traitant doit être régi par un contrat ou un autre acte juridique qui doit être écrit, y compris sous forme électronique, et être contraignant. Le responsable de traitement et le sous-traitant peuvent choisir de négocier leur propre contrat comprenant tous les éléments obligatoires ou de s’appuyer, en tout ou partie, sur des clauses contractuelles types.

Le RGPD énumère les éléments qui doivent figurer dans l’accord de traitement. L’accord de traitement ne doit cependant pas se contenter de reprendre les dispositions du RGPD ; il doit plutôt inclure des informations plus spécifiques et concrètes sur la manière dont les exigences seront satisfaites et sur le niveau de sécurité requis pour le traitement des données à caractère personnel faisant l’objet de l’accord de traitement.

Relations entre les responsables conjoints du traitement

Les responsables conjoints du traitement doivent, de manière transparente, déterminer et convenir de leurs responsabilités respectives en matière de respect des obligations découlant du RGPD. La détermination de leurs responsabilités respectives doit notamment porter sur l’exercice des droits des personnes concernées et les devoirs d’information. En outre, la répartition des responsabilités doit couvrir d’autres obligations des responsables du traitement, notamment en ce qui concerne les principes généraux de protection des données, la base juridique, les mesures de sécurité, l’obligation de notification des violations de données, les analyses d’impact sur la protection des données, le recours à des sous-traitants, les transferts vers des pays tiers et les contacts avec les personnes concernées et les autorités de contrôle.

Chaque responsable de traitement conjoint a le devoir de s’assurer qu’il dispose d’une base juridique pour le traitement et que les données ne sont pas traitées ultérieurement d’une manière incompatible avec les finalités pour lesquelles elles ont été initialement collectées par le responsable de traitement qui partage les données. La forme juridique de l’accord entre responsables du traitement conjoint n’est pas précisée par le RGPD.

La forme juridique de l’accord entre les responsables conjoints du traitement n’est pas précisée par le RGPD. Pour des raisons de sécurité juridique, de transparence et de responsabilité, l’EDPB recommande que cet accord soit conclu sous la forme d’un document contraignant tel qu’un contrat ou un autre acte juridique contraignant en vertu du droit de l’UE ou des États membres auquel les responsables du traitement sont soumis.

L’accord doit dûment refléter les rôles et les relations respectifs des responsables conjoints du traitement vis-à-vis des personnes concernées et l’essence de l’accord doit être mise à la disposition de la personne concernée.

Indépendamment des termes de l’accord, les personnes concernées peuvent exercer leurs droits à l’égard et contre chacun des responsables conjoints du traitement. Les autorités de contrôle ne sont pas liées par les termes de l’accord, que ce soit sur la question de la qualification des parties en tant que responsables conjoints du traitement ou sur celle de la personne de contact désignée.

***