Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 193

D

O

C

T

R

I

N

E

CONTRATS ET RGPD

Responsable de traitement /
sous-traitant : difficultés
et risques de la qualification
des parties
Dans une relation commerciale impliquant des
traitements de données à caractère personnel, il
est essentiel de déterminer au préalable les rôles
et responsabilités de chaque partie, une erreur de
qualification pouvant avoir de lourdes conséquences sur
la mise en œuvre de leur responsabilité. Après un premier
article relatif à la négociation des contrats au RGPD,
voici le second d'une série de sept articles consacrée à la
problématique contrats et RGPD.

A

l'instar
de
la
loi
Informatique et libertés
modifiée du 6 janvier 1978,
le Règlement général sur
la protection des données (« RGPD »)
opère une distinction dichotomique
entre la notion de responsable du
traitement (le cas échéant conjoint)
et la notion de sous-traitant.

Depuis le 25 mai 2018, le RGPD
met fin à la quasi-immunité dont
bénéficiaient les sous-traitants sous
l'empire de la directive 95/46.
Le Règlement permet ainsi de rééquilibrer les rapports entre soustraitant et responsable du traitement puisque les deux endossent
désormais
une
responsabilité
règlementaire forte, et peuvent, en
fonction des types de manquements identifiés, être sanctionnés
aux mêmes amendes maximales, à
savoir 20 millions d'euros, ou 4% du
chiffre d'affaires annuel mondial, le
montant le plus élevé étant retenu.

Si le RGPD impose une responsabilisation de l'ensemble des
acteurs, force est de constater que
les obligations auxquelles sont
soumis ces derniers ne sont pas
identiques. Dès lors, leur qualification préalable à la négociation
des contrats impliquant des traitements de données personnelles est
fondamentale.

mais n'en donne pas de définition.
Les responsables conjoints du
traitement déterminent ensemble
les finalités et les moyens de mise en
œuvre du traitement. Ils se doivent
de définir de manière transparente
leurs
obligations
respectives,
notamment celles relatives à
l'information et à l'exercice des
droits des personnes concernées.

D'une part, le responsable du
traitement est défini par le RGPD
comme étant une «  personne
physique ou morale, autorité
publique, service ou autre organisme
qui, seul ou conjointement avec
d'autres, détermine les finalités et les
moyens du traitement »1, ce dernier
se
caractérisant
notamment
par « son autonomie dans la mise en
place et la gestion d'un traitement »2.

D'autre part, aux termes du RGPD3,
le sous-traitant est «  la personne
physique ou morale, l'autorité
publique, le service ou un autre
organisme qui traite des données à
caractère personnel pour le compte
du responsable du traitement ».

La
notion
de
responsabilité
conjointe d'un traitement est
envisagée à l'article 26 du RGPD, qui
prévoit les obligations y afférentes,
EXPERTISES Mai 2020

Les définitions apportées par le
Règlement sont très générales et les
réalités opérationnelles s'intègrent
parfois délicatement dans ces
notions abstraites qui commencent
peu à peu à être interprétées par la
jurisprudence et les autorités de
contrôle.

193

Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia