Responsabilité du donneur d’ordre et information des personnes dans un traitement de données personnelles

La formation restreinte qualifie la société donneuse d’ordre de responsable du traitement au sens de l’article 4, paragraphe 7, du RGPD, dès lors qu’elle a déterminé l’objectif poursuivi — une campagne de représentation d’intérêts — ainsi que les moyens nécessaires, notamment la constitution d’une cartographie des parties prenantes. Le prestataire est regardé comme sous-traitant au sens de l’article 4, paragraphe 8, du RGPD. L’autonomie méthodologique du prestataire, son intervention dans les demandes d’exercice des droits ou l’absence d’utilisation ultérieure du fichier ne modifient pas cette qualification.

L’article 14 du RGPD imposait au responsable du traitement d’informer les personnes dont les données n’avaient pas été collectées directement, dans un délai raisonnable et au plus tard dans le délai prévu par ce texte. Le caractère public des données, les attentes raisonnables des personnes ou l’absence d’utilisation du fichier ne dispensent pas de cette obligation. L’exception de l’article 14, paragraphe 5, point b), n’était pas applicable : l’information individuelle demeurait possible et ne compromettait pas la finalité du traitement.

L’article 28 du RGPD exigeait également un contrat ou acte juridique définissant notamment l’objet, la durée, la finalité du traitement, les catégories de données et de personnes concernées, ainsi que les obligations respectives. Les contrats et avenants ne comportant pas ces mentions, un second manquement a été retenu. Sur le fondement des articles 20 de la loi du 6 janvier 1978 et 83 du RGPD, une amende de 400 000 euros a été prononcée et rendue publique, en tenant compte de la durée, de la gravité des manquements et de la situation financière de l’entreprise.

⬇️Télécharger la décision version officielle

Un fichier recensait 201 personnes impliquées dans des débats publics, avec leurs coordonnées professionnelles, leurs prises de position et des évaluations relatives à leur influence, leur crédibilité et leur soutien. Les personnes concernées n’avaient pas été informées. La CNIL a qualifié la société X de responsable du traitement et la société Y de sous-traitant, puis retenu des manquements aux articles 14 et 28 du RGPD. Une amende de 400 000 euros a été prononcée.

La société X, spécialisée dans les produits phytosanitaires, a confié à la société Y une mission de représentation d’intérêts liée au renouvellement d’une autorisation européenne. Dans ce cadre, la société Y a constitué pour le compte de la société X un fichier recensant 201 personnes impliquées dans les débats concernés : responsables associatifs, personnalités politiques, journalistes, universitaires, agriculteurs et représentants d’organisations.

Le fichier contenait leurs coordonnées professionnelles, des informations relatives à leurs prises de position publiques ainsi que des évaluations portant notamment sur leur influence, leur crédibilité et leur soutien à la société X. Des contrôles de la CNIL et plusieurs plaintes ont révélé que les personnes concernées n’avaient pas été informées du traitement.

La CNIL a retenu que la société X avait déterminé les finalités et les moyens du traitement, tandis que la société Y intervenait comme sous-traitant. Elle a constaté l’absence d’information conforme à l’article 14 du RGPD et l’absence de contrat répondant aux exigences de l’article 28. Une amende administrative de 400 000 euros a été prononcée, avec publication de la décision pendant deux ans sous réserve de l’occultation ultérieure du nom de la société.

• Détermination des finalités du traitement par le donneur d’ordre
• Détermination des moyens nécessaires à la campagne de représentation d’intérêts
• Intervention du prestataire pour le compte et sous la direction du responsable
• Collecte des données sans information directe des personnes concernées
• Possibilité d’informer individuellement grâce aux coordonnées disponibles
• Absence de contrat conforme aux mentions exigées par l’article 28 du RGPD

• Contrat-cadre de prestation et avenants relatifs à la cartographie
• Échanges électroniques démontrant les directives et le suivi du donneur d’ordre
• Fichier recensant 201 personnes et leurs coordonnées professionnelles
• Questionnaire et pièces recueillis lors du contrôle de la CNIL
• Procès-verbal d’audition du prestataire annexé au rapport de sanction

Le responsable du traitement supporte les obligations d’information et d’encadrement du sous-traitant, même lorsque le prestataire a conçu la méthode ou répond aux demandes de droits. Le manquement expose à une amende administrative et à la publicité de la sanction.

• Qualifier précisément chaque intervenant et ses responsabilités
• Informer les personnes conformément à l’article 14 du RGPD
• Documenter l’analyse des exceptions prévues par l’article 14
• Formaliser un contrat conforme à l’article 28 du RGPD
• Prévoir les modalités d’assistance aux demandes d’exercice des droits

À faire

• Identifier le responsable des finalités et des moyens
• Recenser les catégories de données et de personnes
• Informer les personnes dans le délai applicable
• Vérifier les coordonnées disponibles pour une information individuelle
• Insérer toutes les mentions exigées par l’article 28

À éviter

• Confondre prestataire et responsable du traitement
• Considérer des données publiques comme librement exemptées d’information
• Invoquer l’absence d’utilisation ultérieure du fichier
• Se limiter à un contrat commercial général
• Reporter l’information jusqu’à une révélation médiatique

La qualification du responsable et du sous-traitant

La société donneuse d’ordre est responsable du traitement au sens de l’article 4, paragraphe 7, du RGPD lorsqu’elle détermine le but du traitement et les moyens nécessaires à sa réalisation. La société prestataire est sous-traitante au sens de l’article 4, paragraphe 8, dès lors qu’elle agit pour le compte du donneur d’ordre et sous sa direction. L’absence d’utilisation finale du fichier et l’intervention du prestataire dans les demandes de droits sont sans incidence.

L’obligation d’information des personnes concernées

L’article 14 du RGPD impose au responsable du traitement d’informer les personnes dont les données n’ont pas été collectées directement. L’exception de l’article 14, paragraphe 5, point b), suppose une impossibilité, des efforts disproportionnés ou un risque de compromettre gravement la finalité du traitement. Ces conditions n’étaient pas réunies : les coordonnées permettaient une information individuelle et celle-ci ne compromettait pas la représentation d’intérêts.

L’encadrement contractuel du sous-traitement

L’article 28 du RGPD exige un contrat ou acte juridique précisant notamment l’objet, la durée, la nature et la finalité du traitement, les données et personnes concernées ainsi que les droits et obligations des parties. Les contrats et avenants conclus après le 25 mai 2018 ne comportant pas ces éléments, le manquement du responsable de traitement a été retenu.

Article 4, paragraphe 7, du règlement (UE) 2016/679, Article 4, paragraphe 8, du règlement (UE) 2016/679, Article 14 du règlement (UE) 2016/679, Article 14, paragraphe 5, point b), du règlement (UE) 2016/679, Article 19 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 28 du règlement (UE) 2016/679, Article 28, paragraphe 3, point e), du règlement (UE) 2016/679, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 42 du décret n° 2019-536 du 29 mai 2019, Article 55-1 du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679, Article 83, paragraphe 1, du règlement (UE) 2016/679, Article 83, paragraphe 5, du règlement (UE) 2016/679