Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 196

D

O

C

T

R

I

N

E

Responsable du
traitement/Sous-traitant
(RT-ST, article 28 RGPD)

Dans ce cas de figure, la liberté contractuelle des parties
est limitée  car la relation contractuelle est encadrée par les
dispositions de l'article 28 du RGPD, lequel impose la présence de
clauses obligatoires telles que des clauses de confidentialité, de
sécurité, de sous-traitance ultérieure, d'audit, etc.

Dans le cas d'une responsabilité conjointe, les parties doivent
définir de manière transparente leurs obligations respectives en
vertu des dispositions de l'article 26 du RGPD. Il s'agira notamment
de déterminer quelle partie assurera l'information et l'exercice des
droits des personnes concernées.

Responsables
conjoints du traitement
(coRT, article 26 RGPD)

Responsables
« autonomes » de traitement
(RT / RT autonomes)

Relation « hybride »
(relation contractuelle pour laquelle
les parties sont, selon les finalités des
services fournis, dans une qualification
RT/ST, coRT et/ou RT/RT)

196

Le RGPD n'impose pas davantage de répartition des obligations
mais il apparaît nécessaire en termes de responsabilité que les
responsables conjoints du traitement déterminent également
dans leurs contrats la répartition des obligations et responsabilités
relatives à la réalisation d'éventuelles analyses d'impacts ou
Privacy Impact Assessment („PIA"), notifications des violations de
données personnelles, etc.

Cette qualification n'apparaît pas dans le RGPD mais semble
nécessaire au regard de la pratique. Dans cette hypothèse,
les traitements et finalités sont distincts, il n'y a donc pas de
responsabilité conjointe pour un même traitement. Il convient
donc de prévoir très précisément les modalités de mise en œuvre
des traitements et de responsabilités des parties au contrat, pour
minimiser le risque de requalification.

Il s'agit ici de cas contractuels couvrant plusieurs traitements de
données différents et pour lesquels les parties se verront attribuer
pour certaines finalités un rôle de responsable du traitement
ou responsable conjoint, et pour d'autres finalités un rôle de
sous-traitant. Ce schéma s'observe souvent dans les relations de
sociétés intra-groupes.
Il sera notamment nécessaire d'adapter les clauses obligatoires des
articles 26 et 28 du RGPD, de dissocier les finalités de traitement et
les régimes de responsabilité et de mettre en place des parallélismes
entre les obligations de chaque partie. En pratique, un tableau peut
être ajouté en annexe du contrat récapitulant pour chaque finalité
de traitement les qualifications de chaque partie.

EXPERTISES Mai 2020

Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia