RGPD : clarifier les responsabilités des responsables et sous-traitants

Responsabilité des responsables du traitement et des sous‑traitants : cadre général

1. Le RGPD impose une répartition claire des responsabilités entre le responsable du traitement et le sous‑traitant, y compris dans le cadre de la surveillance exercée par les autorités de contrôle et des mesures prises par celles‑ci (considérant 79, contexte du considérant (80)). Lorsque plusieurs responsables déterminent conjointement les finalités et les moyens du traitement, ou lorsqu’un traitement est effectué pour le compte d’un responsable, cette répartition doit être formalisée et documentée, afin de démontrer le respect du principe de responsabilité (accountability).

2. La responsabilité s’apprécie à plusieurs niveaux : choix des sous‑traitants, encadrement contractuel des traitements, mise en place de mesures techniques et organisationnelles appropriées, tenue de registres d’activités de traitement, réalisation d’analyses d’impact relatives à la protection des données, gestion des violations de données à caractère personnel et coopération avec les autorités de contrôle. Chaque acteur doit être en mesure de démontrer le respect concret de ses obligations.

3. La responsabilité ne se limite pas au territoire de l’Union : elle s’étend également aux traitements transfrontières, aux transferts de données vers des pays tiers ou des organisations internationales, et aux activités réalisées par des entités qui ne sont pas établies dans l’UE mais qui ciblent des personnes concernées situées dans l’Union. Dans tous les cas, le niveau de protection garanti dans l’UE ne doit pas être compromis (considérants (101), (114)).

Responsabilité des acteurs non établis dans l’Union : représentant obligatoire

4. Lorsqu’un responsable du traitement ou un sous‑traitant n’est pas établi dans l’Union mais traite des données à caractère personnel de personnes concernées se trouvant dans l’UE, et que ses activités sont liées :

4.1. à l’offre de biens ou de services à ces personnes (qu’un paiement soit demandé ou non), ou

4.2. au suivi de leur comportement, dans la mesure où celui‑ci a lieu au sein de l’Union,

il doit désigner un représentant dans l’Union (considérant (80)).

5. Cette obligation connaît des exceptions : pas de représentant requis lorsque le traitement est occasionnel, qu’il n’implique pas un traitement à grande échelle de catégories particulières de données ni de données relatives aux condamnations pénales et aux infractions, qu’il est peu susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, ou lorsque le responsable du traitement est une autorité publique ou un organisme public (considérant (80)).

6. Le représentant agit pour le compte du responsable ou du sous‑traitant et peut être contacté par toute autorité de contrôle. Il doit être expressément désigné par un mandat écrit précisant l’étendue de ses missions, notamment la coopération avec les autorités de contrôle compétentes (considérant (80)).

7. La désignation d’un représentant ne décharge pas le responsable ou le sous‑traitant de leurs propres responsabilités au titre du RGPD. Le représentant peut faire l’objet de procédures coercitives en cas de non‑respect du règlement par l’entité qu’il représente, mais la responsabilité principale demeure celle du responsable ou du sous‑traitant (considérant (80)).

Choix et encadrement des sous‑traitants : garanties et contrats

8. Pour satisfaire au RGPD, le responsable du traitement ne doit faire appel qu’à des sous‑traitants présentant des garanties suffisantes en termes de connaissances spécialisées, de fiabilité et de ressources pour mettre en œuvre des mesures techniques et organisationnelles appropriées, notamment en matière de sécurité du traitement (considérant (81)).

9. L’adhésion par un sous‑traitant à un code de conduite approuvé ou à un mécanisme de certification approuvé peut servir à démontrer le respect des obligations qui lui incombent et faciliter l’appréciation, par le responsable, de la conformité du sous‑traitant (considérants (81), (98), (100)).

10. Le traitement effectué par un sous‑traitant doit être encadré par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous‑traitant au responsable et définit notamment (considérant (81)) :

10.1. l’objet et la durée du traitement ;

10.2. la nature et les finalités du traitement ;

10.3. le type de données à caractère personnel ;

10.4. les catégories de personnes concernées ;

10.5. les tâches et responsabilités spécifiques du sous‑traitant, compte tenu du risque pour les droits et libertés des personnes concernées.

11. Le responsable du traitement et le sous‑traitant peuvent recourir à un contrat ad hoc ou à des clauses contractuelles types adoptées par la Commission ou par une autorité de contrôle, puis approuvées par la Commission, conformément au mécanisme de contrôle de la cohérence (considérants (81), (109)).

12. À l’issue du traitement réalisé pour le compte du responsable, le sous‑traitant doit, selon le choix du responsable, renvoyer ou supprimer les données à caractère personnel, sauf si une obligation légale de conservation issue du droit de l’Union ou du droit d’un État membre lui impose leur conservation (considérant (81)).

13. Le sous‑traitant doit également aider le responsable du traitement, si nécessaire et sur demande, à assurer le respect de certaines obligations clés, notamment en matière d’analyse d’impact relative à la protection des données et de consultation préalable de l’autorité de contrôle (considérant (95)).

Tenue de registres et coopération avec l’autorité de contrôle

14. Afin de démontrer le respect du RGPD, le responsable du traitement et le sous‑traitant doivent tenir des registres des activités de traitement relevant de leur responsabilité (considérant (82)). Ces registres constituent un outil central du principe de responsabilité.

15. Chaque responsable du traitement et chaque sous‑traitant est tenu de coopérer avec l’autorité de contrôle et de mettre ses registres à sa disposition sur demande, pour permettre le contrôle des opérations de traitement (considérant (82)). Cette coopération est au cœur de la surveillance exercée par les autorités.

16. Le RGPD a supprimé l’ancienne obligation générale de notification des traitements aux autorités de contrôle prévue par la directive 95/46/CE, jugée trop lourde et peu efficace. Elle est remplacée par des mécanismes ciblés, comme les analyses d’impact et la consultation préalable pour les traitements susceptibles d’engendrer un risque élevé (considérant (89)).

Sécurité du traitement et gestion des risques

17. Pour garantir la sécurité et prévenir tout traitement en violation du RGPD, le responsable et le sous‑traitant doivent évaluer les risques inhérents au traitement et mettre en œuvre des mesures pour les atténuer, telles que le chiffrement (considérant (83)).

18. Les mesures de sécurité doivent assurer un niveau de sécurité approprié, y compris la confidentialité, en tenant compte :

18.1. de l’état des connaissances ;

18.2. des coûts de mise en œuvre ;

18.3. de la nature, du contexte, de la portée et des finalités du traitement ;

18.4. des risques pour les droits et libertés des personnes physiques (considérant (83)).

19. L’évaluation des risques doit prendre en compte les risques liés à la destruction, la perte, l’altération, la divulgation non autorisée ou l’accès non autorisé à des données personnelles, qu’ils soient accidentels ou illicites, et susceptibles d’entraîner des dommages physiques, matériels ou un préjudice moral (considérant (83)).

20. Les responsables et sous‑traitants doivent également mettre en place des mesures organisationnelles (politiques internes, habilitations, procédures de gestion des incidents, etc.) permettant d’établir immédiatement si une violation de données à caractère personnel s’est produite et de prévenir sa répétition (considérant (87)).

Analyses d’impact (AIPD) et consultation préalable

21. Lorsque des opérations de traitement sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable doit réaliser une analyse d’impact relative à la protection des données (AIPD) (considérant (84)).

22. L’AIPD doit permettre d’évaluer, en particulier, l’origine, la nature, la particularité et la gravité du risque, ainsi que les mesures, garanties et mécanismes envisagés pour l’atténuer et assurer la protection des données (considérants (84), (90)).

23. Cette obligation vise notamment les traitements à grande échelle qui concernent un volume considérable de données au niveau régional, national ou supranational, susceptibles d’affecter un grand nombre de personnes et d’engendrer un risque élevé, notamment en raison du caractère sensible des données ou de l’utilisation de nouvelles technologies (considérant (91)).

24. Une AIPD est particulièrement requise lorsque :

24.1. des données sont traitées en vue de prendre des décisions relatives à des personnes physiques spécifiques à la suite d’une évaluation systématique et approfondie basée sur le profilage ;

24.2. le traitement porte sur des catégories particulières de données, des données biométriques ou des données relatives à des condamnations pénales et à des infractions ;

24.3. il s’agit de surveillance à grande échelle de zones accessibles au public, notamment au moyen de dispositifs opto‑électroniques (considérant (91)).

25. Le traitement de données de patients ou de clients par un médecin, un autre professionnel de santé ou un avocat exerçant à titre individuel n’est, en principe, pas considéré comme un traitement à grande échelle ; dans ces cas, une AIPD n’est généralement pas obligatoire (considérant (91)).

26. L’AIPD peut, lorsque cela est raisonnable et économique, être élargie au‑delà d’un projet unique, par exemple si plusieurs autorités publiques ou organismes publics mettent en place une application ou plateforme de traitement commune, ou si des responsables envisagent un environnement de traitement commun à un secteur (considérant (92)).

27. Lorsqu’une AIPD conclut que le traitement envisagé engendrerait un risque élevé que le responsable ne peut atténuer par des mesures raisonnables, compte tenu des techniques disponibles et des coûts, le responsable doit consulter l’autorité de contrôle avant de mettre le traitement en œuvre (considérants (84), (94)).

28. Dans ce cadre, l’autorité de contrôle doit répondre dans un délai déterminé. L’absence de réaction dans ce délai ne limite toutefois pas ses pouvoirs ultérieurs, notamment celui d’interdire des traitements (considérant (94)). Les résultats de l’AIPD, y compris les mesures envisagées, peuvent être transmis à l’autorité.

29. Le sous‑traitant doit, sur demande, aider le responsable à respecter ses obligations relatives aux AIPD et à la consultation préalable (considérant (95)), ce qui implique une coopération active et la fourniture d’informations pertinentes sur les traitements.

30. Les États membres peuvent prévoir, au moment de l’adoption de dispositions nationales fondant l’exercice de missions d’une autorité publique et réglementant une opération de traitement, qu’une AIPD est nécessaire préalablement aux activités de traitement (considérant (93)).

Violations de données à caractère personnel : notification et communication

31. Une violation de données à caractère personnel peut entraîner des dommages physiques, matériels ou un préjudice moral pour les personnes concernées, par exemple une perte de contrôle sur leurs données, une discrimination, un vol ou une usurpation d’identité, une perte financière, une atteinte à la réputation ou une perte de confidentialité de données couvertes par le secret professionnel (considérant (85)).

32. Dès que le responsable apprend qu’une violation s’est produite, il doit la notifier à l’autorité de contrôle dans les meilleurs délais et, lorsque c’est possible, 72 heures au plus tard après en avoir pris connaissance, sauf s’il peut démontrer qu’il est peu probable que la violation engendre un risque pour les droits et libertés des personnes physiques (considérant (85)).

33. Si la notification ne peut intervenir dans ce délai, elle doit être accompagnée des motifs du retard, et les informations peuvent être fournies de manière échelonnée sans autre retard indu (considérant (85)).

34. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés de la personne, le responsable doit en outre la communiquer à la personne concernée dans les meilleurs délais, afin qu’elle puisse prendre les précautions nécessaires (considérant (86)).

35. La communication à la personne concernée doit décrire la nature de la violation et formuler des recommandations pour atténuer les effets négatifs potentiels. Elle doit être effectuée aussi rapidement qu’il est raisonnablement possible, en coopération étroite avec l’autorité de contrôle et, le cas échéant, d’autres autorités compétentes, telles que les autorités répressives (considérant (86)).

36. Il convient de vérifier que toutes les mesures techniques et organisationnelles appropriées ont été mises en œuvre pour détecter rapidement les violations et informer sans délai l’autorité de contrôle et la personne concernée. L’exigence de notification dans les meilleurs délais doit être appréciée à la lumière de la nature, de la gravité et des conséquences de la violation (considérant (87)).

37. Les règles et procédures applicables à la notification des violations doivent tenir compte :

37.1. des circonstances de la violation, y compris la présence ou non de mesures de protection (par exemple le chiffrement) limitant la probabilité d’usurpation d’identité ou d’autres abus ;

37.2. des intérêts légitimes des autorités répressives, lorsqu’une divulgation prématurée risquerait d’entraver inutilement une enquête (considérant (88)).

38. Une notification de violation peut conduire l’autorité de contrôle à intervenir dans le cadre de ses missions et pouvoirs, par exemple en menant des enquêtes et en imposant des mesures correctrices (considérant (87)).

Codes de conduite, certifications et démonstration de la conformité

39. Le RGPD encourage les associations et autres organismes représentant des catégories de responsables ou de sous‑traitants à élaborer des codes de conduite pour faciliter l’application du règlement, en tenant compte des spécificités sectorielles et des besoins des micro, petites et moyennes entreprises (considérant (98)).

40. Ces codes peuvent définir, de manière plus opérationnelle, les obligations incombant aux responsables et sous‑traitants, en fonction du risque que le traitement peut engendrer pour les droits et libertés des personnes physiques (considérant (98)).

41. Lors de l’élaboration, de la modification ou de la prorogation d’un code de conduite, les organismes concernés doivent consulter les parties intéressées, y compris, lorsque possible, les personnes concernées, et tenir compte des contributions et opinions recueillies (considérant (99)).

42. Parallèlement, la mise en place de mécanismes de certification, de labels et de marques en matière de protection des données est encouragée afin d’accroître la transparence et de permettre aux personnes concernées d’évaluer rapidement le niveau de protection offert par les produits et services (considérant (100)).

43. L’adhésion à un code de conduite approuvé ou à un mécanisme de certification approuvé peut servir à démontrer le respect des obligations de sécurité et de conformité par les sous‑traitants, et contribuer à la démonstration de la conformité globale du responsable (considérants (81), (100)).

Responsabilité en cas de transferts de données vers des pays tiers ou des organisations internationales

44. Les flux de données à caractère personnel vers des pays en dehors de l’Union et des organisations internationales sont nécessaires au développement du commerce et de la coopération internationale, mais ils créent de nouveaux enjeux de protection des données. Le RGPD exige que le niveau de protection garanti dans l’Union ne soit pas compromis par ces transferts, y compris en cas de transferts ultérieurs (considérant (101)).

45. Les transferts vers des pays tiers ou des organisations internationales ne peuvent avoir lieu que dans le plein respect des dispositions du RGPD relatives aux transferts internationaux. Le responsable ou le sous‑traitant doit s’assurer que ces dispositions sont respectées (considérant (101)).

46. Le règlement s’applique sans préjudice des accords internationaux conclus entre l’Union et des pays tiers régissant les transferts de données, y compris les garanties appropriées au bénéfice des personnes concernées. Les États membres peuvent conclure des accords internationaux, à condition qu’ils ne portent pas atteinte au RGPD et qu’ils prévoient un niveau approprié de protection (considérant (102)).

47. La Commission peut adopter une décision d’adéquation, constatant qu’un pays tiers, un territoire, un secteur déterminé ou une organisation internationale offre un niveau adéquat de protection. Dans ce cas, les transferts peuvent avoir lieu sans autre autorisation (considérant (103)).

48. Pour évaluer le niveau de protection d’un pays tiers, la Commission doit tenir compte, notamment, du respect de l’état de droit, de l’accès à la justice, du respect des règles et normes internationales en matière de droits de l’homme, de la législation sur la sécurité publique, la défense, la sécurité nationale, l’ordre public et le droit pénal, ainsi que de l’existence d’un contrôle indépendant effectif et de mécanismes de recours pour les personnes concernées (considérant (104)).

49. La Commission doit surveiller le fonctionnement des décisions d’adéquation et prévoir un mécanisme d’examen périodique, en tenant compte des évolutions pertinentes dans le pays ou l’organisation concernés, ainsi que des observations du Parlement européen, du Conseil et d’autres sources (considérant (106)).

50. Si la Commission constate qu’un pays tiers ou une organisation internationale n’assure plus un niveau adéquat, les transferts vers cette destination doivent être interdits, sauf si les exigences relatives aux garanties appropriées (y compris les règles d’entreprise contraignantes) ou aux dérogations sont respectées. Des consultations doivent alors être engagées avec le pays ou l’organisation concernés (considérant (107)).

51. En l’absence de décision d’adéquation, le responsable ou le sous‑traitant doit compenser l’insuffisance de protection par des garanties appropriées (considérant (108)), par exemple :

51.1. règles d’entreprise contraignantes ;

51.2. clauses types de protection des données adoptées par la Commission ou une autorité de contrôle ;

51.3. clauses contractuelles autorisées par une autorité de contrôle.

52. Ces garanties doivent assurer le respect des principes généraux du traitement et des principes de protection des données dès la conception et par défaut, ainsi que l’existence de droits opposables et de voies de droit effectives pour les personnes concernées, y compris la possibilité d’une action en réparation (considérant (108)).

53. Les responsables et sous‑traitants peuvent intégrer les clauses types dans des contrats plus larges et ajouter des garanties supplémentaires, à condition qu’elles ne contredisent pas les clauses types et ne portent pas atteinte aux droits fondamentaux des personnes concernées (considérant (109)).

54. Un groupe d’entreprises ou un groupe engagé dans une activité économique conjointe peut recourir à des règles d’entreprise contraignantes approuvées pour ses transferts internes, à condition que ces règles incluent tous les principes essentiels et droits opposables nécessaires (considérant (110)).

55. Des dérogations permettent certains transferts, notamment lorsque :

55.1. la personne concernée a donné son consentement explicite ;

55.2. le transfert est occasionnel et nécessaire dans le cadre d’un contrat ou d’une action en justice (procédures judiciaires, administratives ou extrajudiciaires) ;

55.3. des motifs importants d’intérêt public prévus par le droit de l’Union ou d’un État membre l’exigent ;

55.4. le transfert intervient au départ d’un registre légalement établi, destiné à être consulté par le public ou par des personnes ayant un intérêt légitime, sous réserve de limitations (considérant (111)).

56. Ces dérogations s’appliquent, par exemple, aux transferts nécessaires pour des échanges internationaux de données entre autorités de la concurrence, administrations fiscales ou douanières, autorités de surveillance financière, services de sécurité sociale ou autorités de santé publique (considérant (112)).

57. Un transfert peut être nécessaire pour protéger un intérêt essentiel relevant des intérêts vitaux de la personne concernée ou d’une autre personne, lorsque la personne concernée est dans l’incapacité de donner son consentement. Des transferts vers une organisation humanitaire internationale, pour des missions relevant des conventions de Genève ou du droit humanitaire international, peuvent être justifiés par des motifs importants d’intérêt public ou d’intérêts vitaux (considérant (112)).

58. Des transferts non répétitifs concernant un nombre limité de personnes peuvent être autorisés pour des intérêts légitimes impérieux poursuivis par le responsable, lorsque ces intérêts prévalent sur ceux des personnes concernées et après évaluation de toutes les circonstances du transfert. Ce mécanisme doit rester résiduel et être assorti de garanties appropriées et d’une information de l’autorité de contrôle et de la personne concernée (considérant (113)).

59. Certains pays tiers adoptent des lois à portée extraterritoriale, imposant à des responsables ou sous‑traitants établis dans l’UE de divulguer des données en dehors de tout accord international d’entraide judiciaire. De telles demandes doivent être examinées à l’aune du RGPD : les transferts ne sont autorisés que si les conditions du règlement sont remplies, par exemple lorsqu’un motif important d’intérêt public reconnu par le droit de l’Union ou d’un État membre le justifie (considérant (115)).

60. Le franchissement des frontières extérieures de l’Union par des données personnelles accroît le risque de difficultés d’exercice des droits par les personnes concernées et de limitation des pouvoirs des autorités de contrôle. Le RGPD encourage donc une coopération internationale renforcée entre autorités de protection des données, sur une base réciproque, pour faciliter l’assistance mutuelle et l’application de la législation en matière de protection des données (considérant (116)).

Autorités de contrôle, responsabilité et mécanisme de cohérence

61. La mise en place d’autorités de contrôle dans les États membres, habilitées à exercer leurs missions et pouvoirs en toute indépendance, est un élément essentiel de la protection des personnes à l’égard du traitement des données à caractère personnel (considérant (117)).

62. Les États membres peuvent instituer plusieurs autorités de contrôle selon leur organisation interne. L’indépendance n’exclut pas un contrôle de la gestion financière ni un contrôle juridictionnel (considérant (118)).

63. Lorsque plusieurs autorités existent dans un État, la loi doit prévoir des mécanismes garantissant leur participation effective au mécanisme de contrôle de la cohérence, notamment par la désignation d’une autorité de contrôle chef de file ou point de contact unique (considérant (119)).

64. Chaque autorité de contrôle doit disposer de moyens financiers et humains suffisants, ainsi que des locaux et infrastructures nécessaires, et d’un budget annuel public propre (considérant (120)).

65. Les conditions applicables aux membres des autorités de contrôle sont fixées par la loi nationale et doivent garantir leur intégrité et leur indépendance : nomination suivant une procédure transparente, interdiction d’exercer des activités incompatibles, et agents placés sous leurs ordres exclusifs (considérant (121)).

66. Chaque autorité de contrôle est compétente sur le territoire de son État membre pour exercer ses missions et pouvoirs, notamment en ce qui concerne :

66.1. les traitements dans le cadre des activités d’un établissement du responsable ou du sous‑traitant dans cet État ;

66.2. les traitements effectués par des autorités publiques ou organismes privés agissant dans l’intérêt public ;

66.3. les traitements affectant des personnes concernées sur le territoire ;

66.4. certains traitements visant des personnes résidant dans l’État, même si le responsable n’est pas établi dans l’Union (considérant (122)).

67. Les autorités de contrôle doivent surveiller l’application du RGPD et veiller à une application cohérente dans l’ensemble de l’Union, en coopérant entre elles et avec la Commission, sans nécessité d’accords inter‑étatiques spécifiques (considérant (123)).

68. En cas de traitement transfrontalier, l’autorité de contrôle chef de file est, en principe, celle de l’établissement principal ou de l’établissement unique du responsable ou du sous‑traitant. Elle coopère avec les autres autorités concernées, notamment lorsque des personnes concernées résidant sur leur territoire sont affectées ou lorsqu’une réclamation leur a été adressée (considérant (124)).

69. L’autorité chef de file est compétente pour adopter des décisions contraignantes sur les mesures à prendre. Elle doit associer de près les autres autorités concernées au processus décisionnel et assurer une coordination étroite (considérant (125)).

70. Lorsque la réclamation d’une personne concernée est rejetée, en tout ou partie, la décision de rejet doit être adoptée par l’autorité auprès de laquelle la réclamation a été introduite, ce qui renforce la proximité entre la personne concernée et l’autorité compétente, tout en assurant une cohérence au niveau européen (considérant (125)).

Pour en savoir plus

71. Texte intégral et ressources de la CNIL sur le RGPD :
Le règlement général sur la protection des données (RGPD) – CNIL