Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 197

retenu. La Cnil étant en mesure
de rendre publiques les sanctions
qu'elle prononce, les sanctions
prononcées
pour
application
incorrecte ou absence d'application des obligations afférentes
aux parties en fonction de leur
qualification, représentent donc,
au-delà d'un risque financier, un
fort risque réputationnel.

Conséquences de la
requalification contractuelle
Il convient de rappeler que ni la
Cnil ni le juge ne sont tenus par
la qualification choisie par les
parties. En effet, l'article 28-10 du
RGPD prévoit que «  sans préjudice
des articles 82, 83 et 84, si en
violation du présent règlement, un
sous-traitant détermine les finalités
et les moyens du traitement, il est
considéré comme un responsable
de traitement pour ce qui concerne
ce traitement ».
Cette requalification peut avoir
pour conséquence la remise en
cause de certaines clauses des
contrats concernés et soulever de
nombreuses interrogations relatives
aux points suivants :
■	 inopposabilité
de
certaines
clauses  : une requalification
peut entraîner l'inopposabilité
de certaines clauses notamment
sur la répartition des obligations
entre les parties, par exemple la
modification de la/les partie(s)
en charge de réaliser les éventuels PIA, de notifier l'autorité
compétente en cas de violations
de données personnelles, de
réaliser les éventuels audits, etc. ;
■	 remise en cause de la licéité
des traitements de données à
caractère personnel : une requalification peut également avoir
un impact sur la licéité du traitement, notamment en cas de
modification de la/les partie(s) en
charge de définir la base légale
du traitement et notamment de
recueillir le consentement ;
■	 incertitudes
concernant
la
protection des droits et libertés
des personnes physiques  : une
requalification peut en outre
entraîner
une
modification

de la partie en charge de recueillir, transmettre ou répondre
aux demandes d'exercice de
leurs droits par les personnes
concernées, ce qui pourrait avoir
pour conséquence l'absence de
traitement de ces demandes ou
l'envoi de réponses erronées ou
incomplètes ;
■	 invalidation des instructions
documentées du responsable
du traitement  : une requalification constituerait également un
risque d'inversement des rôles
entre donneurs et receveurs
d'instructions et une forte insécurité juridique en cas de sanctions, dans la mesure où les rôles
et responsabilités des parties tels
que décrits dans le contrat sont
invalidés ;
■	 risques opérationnels  : des
risques opérationnels doivent
également être identifiés en cas
de requalification, tels que la
suspension du traitement, le sort
des données, etc.
Une requalification des parties
constitue donc, au-delà des risques
susmentionnés, un véritable danger
pour la mise en œuvre opérationnelle des contrats.

et la visibilité des parties
présentes au contrat.
■	 Etape 3  : quantifier les risques
liés à une qualification erronée
des parties.
■	 Etape 4  : définir la qualification
des parties préalablement à la
négociation contractuelle.
■	 Etape 5 : s'assurer que les dispositions des articles 26 et 28 du
RGPD, respectivement en fonction des qualifications retenues,
sont incluses dans les contrats et
effectivement appliquées.

Océane FAROY
Juriste
Protection des données
personnelles

Julie SCHWARTZ
Avocat à la cour
Senior Associate
Hogan Lovells

Notes
(1)	

Article 4-7 du RGPD

Mise en œuvre pratique :
Plan d'actions

(2)	

Définition du responsable du traitement dans le
Guide sur les transferts de données à caractère
personnel vers des pays non membres de
l'Union européenne, Cnil, publié avant l'entrée en
vigueur du RGPD

En pratique, les étapes suivantes
peuvent être suivies par chaque
partie afin d'amoindrir les risques
de sanction et de requalification
contractuelle :
■	 Etape 1 : identifier et comprendre
les prestations réalisées par
chaque partie ainsi que les flux
de données à caractère personnel qui seront réalisées entre
chaque partie.
■	 Etape 2  : analyser de manière
casuistique à l'aide notamment
du faisceau d'indices détaillé
ci-avant le niveau d'instruction
donné et d'autonomie de la
partie dans la prise de décision,
le contrôle et la mise en œuvre
du traitement, la valeur ajoutée
fournie par les parties lors de la
mise en place du traitement et
enfin analyser la transparence

(3)	

Article 4.8 du RGPD

(4)	

Remplacé aujourd'hui par le Comité européen de
la protection des données (CEPD).

(5)	

Cnil, Guide du sous-traitant édition septembre
2017

(6)	

EDPS, Guidelines on the concepts of controller, processor and joint controllership under
Regulation (EU) 2018/1725, 7 novembre 2019

(7)	

Lignes directrices du G29, paragraphe III.1.d)
page 19.

(8)	

Avis G29 1/2010 Ibid, exemples 7 et 8 p.21

(9)	

Arrêt CJUE du 5 juin 2018 « Wirtschaftsakademie »
(Aff. C-210/16) confirmé par l'arrêt CJUE du
10 juillet 2018 «  Tietosuojavaltuutettu/Jehovan
todistajat - uskonnollinen yhdyskunta » (Aff.
C-25/17)

EXPERTISES Mai 2020

(10)	 Les « fan page » sont des pages sur le réseau
social Facebook, permettant de promouvoir des
biens et services des entreprises.
(11)	 Cour de justice de l'Union  européenne, 2ème
ch., arrêt du 29 juillet 2019, Fashion ID GmbH &
Co. KG / Verbraucherzentrale NRW eV, Facebook
Ireland Ltd et autre
(12)	 Articles L226-16 à L226-24 du Code pénal
(13)	 Article 83 du RGPD

197



Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Couverture
Editorial & Sommaire
FOCUS - UNE ALTERNATIVE À PALANTIR
EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
INTERVIEW - COVID 19 & DONNÉES PERSONNELLES : DE LA DÉFIANCE À LA CONFIANCE
DOCTRINE
TECHNOLOGIES - DE L’USAGE D’UN AGENT CONVERSATIONNEL PAR UN ENFANT MINEUR
PROSPECTIVE - … LA CRISE SUIVANTE EST BIEN LÀ !
DONNÉES PERSONNELLES - LE MONDE DE DEMAIN SERA-T-IL CELUI DU « CONTACT TRACING » ?
DONNÉES PERSONNELLES - COVID-19 : D’UNE SURVEILLANCE ANONYMISÉE VERS… UNE SURVEILLANCE INDIVIDUALISÉE
PROPRIÉTÉ INTELLECTUELLE - LA CYBERCONTREFAÇON À L’HEURE DU CORONAVIRUS: L’URGENCE D’UNE STRATÉGIE INTERNATIONALE
CONTRATS ET RGPD - RESPONSABLE DE TRAITEMENT / SOUS-TRAITANT : DIFFICULTÉS ET RISQUES DE LA QUALIFICATION DES PARTIES
DROIT DE LA PREUVE - DURÉE DE CONSERVATION DES DOCUMENTS : À NE PAS CONFONDRE AVEC LA DURÉE LÉGALE !
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - Couverture
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - Editorial & Sommaire
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - FOCUS - UNE ALTERNATIVE À PALANTIR
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - EN BREF - L'INFORMATION RAPIDE SUR LE MONDE DU NUMÉRIQUE
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 161
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 162
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - MAGAZINE - L'INFORMATION LÉGALE ET JURISPRUDENTIELLE DU NUMÉRIQUE
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 164
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 165
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 166
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - INTERVIEW - COVID 19 & DONNÉES PERSONNELLES : DE LA DÉFIANCE À LA CONFIANCE
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 168
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 169
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 170
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - TECHNOLOGIES - DE L’USAGE D’UN AGENT CONVERSATIONNEL PAR UN ENFANT MINEUR
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 172
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 173
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 174
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 175
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 176
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - PROSPECTIVE - … LA CRISE SUIVANTE EST BIEN LÀ !
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 178
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 179
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 180
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 181
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 182
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - DONNÉES PERSONNELLES - LE MONDE DE DEMAIN SERA-T-IL CELUI DU « CONTACT TRACING » ?
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 184
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 185
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - DONNÉES PERSONNELLES - COVID-19 : D’UNE SURVEILLANCE ANONYMISÉE VERS… UNE SURVEILLANCE INDIVIDUALISÉE
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 187
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 188
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 189
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - PROPRIÉTÉ INTELLECTUELLE - LA CYBERCONTREFAÇON À L’HEURE DU CORONAVIRUS: L’URGENCE D’UNE STRATÉGIE INTERNATIONALE
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 191
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 192
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - CONTRATS ET RGPD - RESPONSABLE DE TRAITEMENT / SOUS-TRAITANT : DIFFICULTÉS ET RISQUES DE LA QUALIFICATION DES PARTIES
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 194
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 195
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 196
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 197
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - DROIT DE LA PREUVE - DURÉE DE CONSERVATION DES DOCUMENTS : À NE PAS CONFONDRE AVEC LA DURÉE LÉGALE !
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 199
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 200
https://www.nxtbook.fr/newpress/celog/celog-expertises-2009_460
https://www.nxtbook.fr/newpress/celog/celog-expertises-2007_459
https://www.nxtbook.fr/newpress/celog/celog-expertises-2006_458
https://www.nxtbook.fr/newpress/celog/celog-expertises-2005_457
https://www.nxtbook.fr/newpress/celog/celog-expertises-2004_456
https://www.nxtbook.fr/newpress/celog/celog-expertises-2003_455
https://www.nxtbook.fr/newpress/celog/celog-expertises-2002_454
https://www.nxtbook.fr/newpress/celog/celog-expertises-2001_453
https://www.nxtbook.fr/newpress/celog/celog-expertises-1912_452
https://www.nxtbook.fr/newpress/celog/celog-expertises-1911_451
https://www.nxtbook.fr/newpress/celog/celog-expertises-1910_450
https://www.nxtbook.fr/newpress/celog/celog-expertises-1909_449
https://www.nxtbook.fr/newpress/celog/celog-expertises-1907_448
https://www.nxtbook.fr/newpress/celog/celog-expertises-1906_447
https://www.nxtbook.fr/newpress/celog/celog-expertises-1905_446
https://www.nxtbook.fr/newpress/celog/celog-expertises-1904_445
https://www.nxtbook.fr/newpress/celog/celog-expertises-1903_444
https://www.nxtbook.fr/newpress/celog/celog-expertises-1902_443
https://www.nxtbook.fr/newpress/celog/celog-expertises-1901_442
https://www.nxtbook.fr/newpress/celog/celog-expertises-1812_441
https://www.nxtbook.fr/newpress/celog/celog-expertises-1811_440
https://www.nxtbook.fr/newpress/celog/celog-expertises-1810_439
https://www.nxtbook.fr/newpress/celog/celog-expertises-1809_438
https://www.nxtbook.fr/newpress/celog/celog-expertises-1807_437
https://www.nxtbook.fr/newpress/celog/celog-expertises-1806_436
https://www.nxtbook.fr/newpress/celog/celog-expertises-1805_435
https://www.nxtbook.fr/newpress/celog/celog-expertises-1804_434
https://www.nxtbook.fr/newpress/celog/celog-expertises-1803_433
https://www.nxtbook.fr/newpress/celog/celog-expertises-1802_432
https://www.nxtbook.fr/newpress/celog/celog-expertises-1801_431
https://www.nxtbook.fr/newpress/celog/celog-expertises-1712_430
https://www.nxtbook.fr/newpress/celog/celog-expertises-1711_429
https://www.nxtbook.fr/newpress/celog/celog-expertises-1710_428
https://www.nxtbook.fr/newpress/celog/celog-expertises-1709_427
https://www.nxtbook.fr/newpress/celog/celog-expertises-1707_426
https://www.nxtbook.fr/newpress/celog/celog-expertises-1706_425
https://www.nxtbook.fr/newpress/celog/celog-expertises-1705_424
https://www.nxtbook.fr/newpress/celog/celog-expertises-1704_423
https://www.nxtbook.fr/newpress/celog/celog-expertises-1703_422
https://www.nxtbook.fr/newpress/celog/celog-expertises-1702_421
https://www.nxtbook.fr/newpress/celog/celog-expertises-1701_420
https://www.nxtbook.fr/newpress/celog/celog-expertises-1612_419
https://www.nxtbook.fr/newpress/celog/celog-expertises-1611_418
https://www.nxtbook.fr/newpress/celog/celog-expertises-1610_417
https://www.nxtbook.fr/newpress/celog/celog-expertises-1609_416
https://www.nxtbook.fr/newpress/celog/celog-expertises-1607_415
https://www.nxtbook.fr/newpress/celog/celog-expertises-1606_414
https://www.nxtbook.fr/newpress/celog/celog-expertises-1605_413
https://www.nxtbook.fr/newpress/celog/celog-expertises-1604_412
https://www.nxtbook.fr/newpress/celog/celog-expertises-1603_411
https://www.nxtbook.fr/newpress/celog/celog-expertises-1602_410
https://www.nxtbook.fr/newpress/celog/celog-expertises-1601_409
https://www.nxtbook.fr/newpress/celog/celog-expertises-1512_408
https://www.nxtbook.fr/newpress/celog/celog-expertises-1511_407
https://www.nxtbook.fr/newpress/celog/celog-expertises-1510_406
https://www.nxtbook.fr/newpress/celog/celog-expertises-1509_405
https://www.nxtbook.fr/newpress/celog/celog-expertises-1507_404
https://www.nxtbook.fr/newpress/celog/celog-expertises-1506_403
https://www.nxtbook.fr/newpress/celog/celog-expertises-1502_399
https://www.nxtbookmedia.com