Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia - 197

retenu. La Cnil étant en mesure
de rendre publiques les sanctions
qu'elle prononce, les sanctions
prononcées
pour
application
incorrecte ou absence d'application des obligations afférentes
aux parties en fonction de leur
qualification, représentent donc,
au-delà d'un risque financier, un
fort risque réputationnel.

Conséquences de la
requalification contractuelle
Il convient de rappeler que ni la
Cnil ni le juge ne sont tenus par
la qualification choisie par les
parties. En effet, l'article 28-10 du
RGPD prévoit que «  sans préjudice
des articles 82, 83 et 84, si en
violation du présent règlement, un
sous-traitant détermine les finalités
et les moyens du traitement, il est
considéré comme un responsable
de traitement pour ce qui concerne
ce traitement ».
Cette requalification peut avoir
pour conséquence la remise en
cause de certaines clauses des
contrats concernés et soulever de
nombreuses interrogations relatives
aux points suivants :
■	 inopposabilité
de
certaines
clauses  : une requalification
peut entraîner l'inopposabilité
de certaines clauses notamment
sur la répartition des obligations
entre les parties, par exemple la
modification de la/les partie(s)
en charge de réaliser les éventuels PIA, de notifier l'autorité
compétente en cas de violations
de données personnelles, de
réaliser les éventuels audits, etc. ;
■	 remise en cause de la licéité
des traitements de données à
caractère personnel : une requalification peut également avoir
un impact sur la licéité du traitement, notamment en cas de
modification de la/les partie(s) en
charge de définir la base légale
du traitement et notamment de
recueillir le consentement ;
■	 incertitudes
concernant
la
protection des droits et libertés
des personnes physiques  : une
requalification peut en outre
entraîner
une
modification

de la partie en charge de recueillir, transmettre ou répondre
aux demandes d'exercice de
leurs droits par les personnes
concernées, ce qui pourrait avoir
pour conséquence l'absence de
traitement de ces demandes ou
l'envoi de réponses erronées ou
incomplètes ;
■	 invalidation des instructions
documentées du responsable
du traitement  : une requalification constituerait également un
risque d'inversement des rôles
entre donneurs et receveurs
d'instructions et une forte insécurité juridique en cas de sanctions, dans la mesure où les rôles
et responsabilités des parties tels
que décrits dans le contrat sont
invalidés ;
■	 risques opérationnels  : des
risques opérationnels doivent
également être identifiés en cas
de requalification, tels que la
suspension du traitement, le sort
des données, etc.
Une requalification des parties
constitue donc, au-delà des risques
susmentionnés, un véritable danger
pour la mise en œuvre opérationnelle des contrats.

et la visibilité des parties
présentes au contrat.
■	 Etape 3  : quantifier les risques
liés à une qualification erronée
des parties.
■	 Etape 4  : définir la qualification
des parties préalablement à la
négociation contractuelle.
■	 Etape 5 : s'assurer que les dispositions des articles 26 et 28 du
RGPD, respectivement en fonction des qualifications retenues,
sont incluses dans les contrats et
effectivement appliquées.

Océane FAROY
Juriste
Protection des données
personnelles

Julie SCHWARTZ
Avocat à la cour
Senior Associate
Hogan Lovells

Notes
(1)	

Article 4-7 du RGPD

Mise en œuvre pratique :
Plan d'actions

(2)	

Définition du responsable du traitement dans le
Guide sur les transferts de données à caractère
personnel vers des pays non membres de
l'Union européenne, Cnil, publié avant l'entrée en
vigueur du RGPD

En pratique, les étapes suivantes
peuvent être suivies par chaque
partie afin d'amoindrir les risques
de sanction et de requalification
contractuelle :
■	 Etape 1 : identifier et comprendre
les prestations réalisées par
chaque partie ainsi que les flux
de données à caractère personnel qui seront réalisées entre
chaque partie.
■	 Etape 2  : analyser de manière
casuistique à l'aide notamment
du faisceau d'indices détaillé
ci-avant le niveau d'instruction
donné et d'autonomie de la
partie dans la prise de décision,
le contrôle et la mise en œuvre
du traitement, la valeur ajoutée
fournie par les parties lors de la
mise en place du traitement et
enfin analyser la transparence

(3)	

Article 4.8 du RGPD

(4)	

Remplacé aujourd'hui par le Comité européen de
la protection des données (CEPD).

(5)	

Cnil, Guide du sous-traitant édition septembre
2017

(6)	

EDPS, Guidelines on the concepts of controller, processor and joint controllership under
Regulation (EU) 2018/1725, 7 novembre 2019

(7)	

Lignes directrices du G29, paragraphe III.1.d)
page 19.

(8)	

Avis G29 1/2010 Ibid, exemples 7 et 8 p.21

(9)	

Arrêt CJUE du 5 juin 2018 « Wirtschaftsakademie »
(Aff. C-210/16) confirmé par l'arrêt CJUE du
10 juillet 2018 «  Tietosuojavaltuutettu/Jehovan
todistajat - uskonnollinen yhdyskunta » (Aff.
C-25/17)

EXPERTISES Mai 2020

(10)	 Les « fan page » sont des pages sur le réseau
social Facebook, permettant de promouvoir des
biens et services des entreprises.
(11)	 Cour de justice de l'Union  européenne, 2ème
ch., arrêt du 29 juillet 2019, Fashion ID GmbH &
Co. KG / Verbraucherzentrale NRW eV, Facebook
Ireland Ltd et autre
(12)	 Articles L226-16 à L226-24 du Code pénal
(13)	 Article 83 du RGPD

197
Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2020 - N°457 - Le mensuel du droit de l'informatique et du multimédia
