Responsable de traitement et sous-traitant

Le responsable de traitement est la personne ou l'organisme qui détermine, seul ou conjointement, les finalités et les moyens d'un traitement de données personnelles. Le sous-traitant est celui qui traite des données pour le compte du responsable, sur ses instructions : hébergeur, éditeur de logiciel en SaaS, prestataire de paie, plateforme de formation.

La qualification dépend des faits, pas du contrat : un prestataire qui réutilise les données pour ses propres besoins devient responsable de traitement. Lorsque deux organismes décident ensemble des finalités, ils sont responsables conjoints et doivent répartir leurs obligations par un accord.

Chaque rôle porte des obligations propres et des sanctions propres : le responsable répond de la licéité du traitement, le sous-traitant de la sécurité et du respect des instructions. Sans contrat conforme à l'article 28, les deux sont en infraction. La CNIL a sanctionné des sous-traitants directement, y compris pour des manquements de sécurité.

• Qualifier chaque relation : qui décide des finalités, qui décide des moyens essentiels ?
• Signer un contrat de sous-traitance avec les clauses obligatoires de l'article 28 (objet, durée, instructions, sécurité, sous-traitance ultérieure, assistance, suppression, audit)
• Tenir, côté sous-traitant, un registre des catégories de traitements effectués pour les clients
• Encadrer les transferts hors UE par des clauses contractuelles types
• Prévoir la notification des violations du sous-traitant vers le responsable dans un délai court

• RGPD, articles 4 (7) et (8), 24, 26, 28 et 30
• Lignes directrices 07/2020 du CEPD sur les notions de responsable du traitement et de sous-traitant
• Décision d'exécution (UE) 2021/915 (clauses contractuelles types responsable/sous-traitant)