Qui est le responsable de traitement et que doit-il faire ?

La définition

L'article 4 du RGPD définit le responsable du traitement comme la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement. Deux questions permettent de l'identifier : qui décide pourquoi les données sont traitées, et qui décide des éléments essentiels du « comment », c'est-à-dire quelles données, sur quelles personnes, pendant combien de temps et qui y aura accès. Les choix purement techniques (le logiciel, l'hébergeur, le format) peuvent être laissés à un prestataire sans que celui-ci devienne responsable.

La personne morale, pas le salarié

Dans une entreprise, le responsable du traitement est la société elle-même, représentée par son dirigeant, et non le service informatique, le délégué à la protection des données ou le salarié qui gère le fichier. Dans une association, c'est l'association ; dans une commune, la commune représentée par le maire. Pour un professionnel libéral ou un entrepreneur individuel, c'est la personne physique elle-même. Cette distinction compte en cas de contrôle : c'est l'organisme qui est sanctionné, même si le manquement résulte de l'erreur d'un salarié.

Les obligations du responsable

L'article 24 pose l'obligation générale : compte tenu de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, le responsable met en œuvre des mesures techniques et organisationnelles appropriées pour s'assurer et être en mesure de démontrer que le traitement est conforme. Concrètement, cela recouvre la tenue du registre des traitements, le choix d'une base légale, l'information des personnes, la gestion de leurs droits, la sécurité, l'encadrement des sous-traitants, la notification des violations, la réalisation des analyses d'impact et, le cas échéant, la désignation d'un délégué à la protection des données.

Les responsables conjoints

Lorsque deux organismes ou plus déterminent ensemble les finalités et les moyens d'un traitement, ils sont responsables conjoints (article 26). La Cour de justice a retenu cette qualification de façon large : l'administrateur d'une page fan sur Facebook est responsable conjoint avec la plateforme pour les statistiques de fréquentation (arrêt Wirtschaftsakademie du 5 juin 2018, affaire C-210/16), tout comme un site qui intègre un bouton « J'aime » transmettant des données à Facebook, pour la collecte et la transmission (arrêt Fashion ID du 29 juillet 2019, affaire C-40/17). Les responsables conjoints doivent définir dans un accord la répartition de leurs obligations, notamment l'information des personnes et la réponse à leurs demandes, et en mettre les grandes lignes à disposition des personnes. Celles-ci peuvent exercer leurs droits auprès de chacun d'eux.

Exemples de responsabilité conjointe

Un salon professionnel organisé par une fédération et un organisateur d'événements qui partagent le fichier des visiteurs, deux hôpitaux menant un programme de recherche commun, un groupement d'employeurs qui gère un outil de planification pour ses membres ou une marque et un influenceur qui organisent ensemble un jeu-concours sont des situations typiques. À l'inverse, un expert-comptable qui établit la paie d'une entreprise selon ses instructions est un sous-traitant, et une banque qui reçoit le virement des salaires est un destinataire agissant pour ses propres obligations.

Responsable, sous-traitant ou destinataire ?

La qualification ne dépend pas de ce qu'écrit le contrat mais de la réalité des décisions. Un prestataire qui réutilise les données de ses clients pour ses propres fins, par exemple pour entraîner un outil commercial, devient responsable de ce traitement distinct. Le guide consacré au sous-traitant RGPD détaille les critères et les clauses à prévoir. Le CEPD a publié en 2021 des lignes directrices (07/2020) qui proposent un arbre de décision très utile pour les cas difficiles.

La responsabilité en cas de dommage

Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement a droit à réparation (article 82). Le responsable répond du dommage causé par un traitement non conforme ; il peut s'exonérer s'il prouve que le fait générateur ne lui est nullement imputable. La Cour de justice a précisé que la simple violation du RGPD ne suffit pas à ouvrir droit à réparation : la personne doit démontrer un dommage, sans qu'un seuil de gravité soit exigé (arrêt Österreichische Post du 4 mai 2023, affaire C-300/21). Pour les amendes administratives, la Cour a jugé le 5 décembre 2023 (affaire C-807/21) qu'une faute, intentionnelle ou par négligence, est nécessaire, mais qu'il n'est pas exigé d'identifier la personne physique précise qui l'a commise au sein de l'entreprise.

Comment identifier le responsable en pratique ?

Le CEPD a précisé dans ses lignes directrices 07/2020 que la qualification de responsable de traitement repose sur une analyse factuelle et non sur les étiquettes contractuelles. Il faut se demander qui décide du « pourquoi » et du « comment » du traitement. Le « pourquoi » correspond à la finalité. Le « comment » se divise en moyens essentiels, comme le choix des données traitées, de la durée de conservation, des destinataires ou des personnes concernées, et en moyens non essentiels, comme le choix du logiciel, du type de serveur ou des mesures techniques de sécurité. Celui qui détermine la finalité et les moyens essentiels est responsable ; un prestataire peut choisir les moyens non essentiels sans devenir responsable pour autant. Un contrat qui qualifie un prestataire de sous-traitant alors qu'il utilise les données pour ses propres fins ne l'empêchera pas d'être requalifié en responsable.

Le pouvoir de décision découle souvent de la loi ou de l'activité

La responsabilité peut résulter d'une compétence explicite, lorsqu'un texte désigne le responsable, comme pour certains fichiers publics. Elle peut aussi découler d'une compétence implicite, liée au rôle traditionnel d'un acteur : un employeur est responsable des données de ses salariés, un éditeur de presse des données de ses abonnés, un club sportif de celles de ses licenciés, sans qu'un texte le précise. Enfin, elle peut résulter d'une influence de fait, lorsqu'une entité détermine concrètement les finalités et les moyens.

Les obligations détaillées du responsable

Le responsable porte l'essentiel des obligations du RGPD. Il doit choisir une base légale pour chaque finalité, informer les personnes, permettre l'exercice de leurs droits dans un délai d'un mois, tenir le registre des traitements, assurer la sécurité des données, sélectionner des sous-traitants présentant des garanties suffisantes et signer avec eux un contrat conforme à l'article 28, notifier les violations de données à la CNIL dans les 72 heures lorsqu'elles présentent un risque et en informer les personnes en cas de risque élevé, mener une analyse d'impact pour les traitements à risque élevé, désigner un délégué à la protection des données lorsque c'est obligatoire, encadrer les transferts hors de l'Union, et intégrer la protection des données dès la conception et par défaut. Il doit surtout pouvoir démontrer qu'il respecte l'ensemble de ces obligations, en vertu du principe de responsabilité de l'article 5, paragraphe 2, et de l'article 24.

Le rôle du dirigeant et des services internes

Au sein d'une entreprise, le responsable de traitement est la personne morale, mais quelqu'un doit incarner cette responsabilité. Le dirigeant en porte la responsabilité ultime et doit allouer les moyens nécessaires. Les directions métiers, comme les ressources humaines, le marketing ou la relation client, sont les mieux placées pour connaître les traitements qu'elles mettent en œuvre et doivent participer à leur documentation. La direction informatique met en œuvre les mesures techniques. Le délégué à la protection des données, lorsqu'il existe, conseille et contrôle, sans décider à la place du responsable. Une organisation claire, avec des référents désignés dans chaque service et une procédure pour les nouveaux projets, est la meilleure garantie d'une conformité durable.

La responsabilité pénale des personnes physiques

Si la sanction administrative vise la personne morale, les infractions pénales prévues aux articles 226-16 et suivants du Code pénal peuvent engager la responsabilité personnelle des dirigeants ou des salariés qui ont, par exemple, collecté des données par un moyen frauduleux ou détourné des données de leur finalité. Un salarié qui copie le fichier clients de son employeur pour le réutiliser chez un concurrent s'expose ainsi à des poursuites, indépendamment des sanctions disciplinaires.

Les responsables conjoints : le contrat de répartition

Lorsque deux organismes déterminent ensemble les finalités et les moyens, l'article 26 leur impose de définir, par un accord, leurs obligations respectives, notamment pour l'exercice des droits et l'information des personnes. Les grandes lignes de cet accord doivent être mises à la disposition des personnes concernées. Quel que soit l'accord, chaque personne peut exercer ses droits auprès de chacun des responsables. La Cour de justice a précisé, dans l'arrêt Fashion ID de 2019, que la responsabilité conjointe peut être limitée aux seules opérations pour lesquelles les organismes décident ensemble : un site qui intègre un bouton « J'aime » est coresponsable de la collecte et de la transmission des données au réseau social, mais pas des traitements ultérieurs effectués par ce dernier.

Exemples de clauses de l'accord de responsabilité conjointe

Un accord de coresponsabilité précise généralement le périmètre et les finalités communes, la base légale retenue, la répartition de l'information des personnes, le point de contact pour l'exercice des droits, la gestion des violations de données, la répartition des analyses d'impact, les mesures de sécurité de chacun et les modalités de coopération en cas de contrôle. Il est particulièrement utile pour les opérations de co-marketing, les programmes de fidélité partagés, les plateformes regroupant plusieurs acteurs ou les recherches menées par plusieurs établissements.

Un responsable peut-il se décharger ?

Un responsable ne peut pas transférer sa responsabilité à un prestataire, même par contrat. Il peut confier des opérations à un sous-traitant, partager des tâches avec un coresponsable ou se faire accompagner par un conseil, mais il reste tenu de veiller au respect du règlement. La CNIL sanctionne régulièrement des entreprises qui invoquent la faute de leur prestataire informatique pour justifier une faille de sécurité : le choix du prestataire, le contenu du contrat et le contrôle de son exécution relèvent de la responsabilité du donneur d'ordre. À l'inverse, le sous-traitant qui manque à ses propres obligations peut être sanctionné directement, comme l'a montré la sanction prononcée en 2021 contre un responsable et son sous-traitant pour la sécurité insuffisante d'un site.

Le responsable et ses outils numériques

Le choix d'un outil numérique engage le responsable. En retenant un logiciel de gestion, un service de stockage en ligne, une plateforme de visioconférence ou un assistant d'intelligence artificielle, il décide où vont les données, qui peut y accéder et combien de temps elles sont conservées. Il doit donc lire les conditions d'utilisation, vérifier le lieu d'hébergement et les transferts, configurer les paramètres de confidentialité, désactiver les fonctions de réutilisation des données lorsque c'est possible et documenter ses choix. Un responsable qui autorise ses équipes à copier des données clients dans un outil d'intelligence artificielle grand public, sans vérifier l'usage qui en est fait, prend le risque d'une communication de données non maîtrisée. La CNIL recommande de privilégier les offres professionnelles qui garantissent contractuellement la non-réutilisation des données saisies.

Le registre, carte d'identité du responsable

Le registre prévu à l'article 30 est le document qui matérialise le rôle du responsable. Il recense, pour chaque traitement, le nom et les coordonnées du responsable et, le cas échéant, du coresponsable, du représentant et du délégué, les finalités, les catégories de personnes et de données, les catégories de destinataires, les transferts hors de l'Union, les durées de conservation et une description générale des mesures de sécurité. La CNIL propose un modèle simple et un registre en ligne pour les petites structures. Tenu à jour, il permet de répondre rapidement à une demande de droits, de préparer une analyse d'impact ou de présenter sa conformité lors d'un contrôle. Il est aussi le point de départ d'une démarche d'amélioration continue, en révélant les traitements oubliés ou mal encadrés.

Un exemple de fiche de registre

Pour un traitement « gestion des candidatures », la fiche indique la finalité (recrutement), la base légale (mesures précontractuelles), les personnes concernées (candidats), les données (identité, coordonnées, CV, lettre de motivation, notes d'entretien), les destinataires (service des ressources humaines, managers concernés, éventuellement un cabinet de recrutement sous-traitant), la durée (fin de la procédure, puis deux ans maximum avec l'accord du candidat), les outils (logiciel de recrutement hébergé dans l'Union) et les mesures de sécurité (accès restreints, authentification, suppression automatique).

Le responsable face aux personnes concernées

Le responsable est l'interlocuteur naturel des personnes concernées. C'est à lui qu'elles adressent leurs demandes d'accès, de rectification ou d'effacement, et c'est lui qui doit y répondre dans le délai d'un mois, prolongeable de deux mois en cas de complexité. Il doit faciliter l'exercice des droits, par exemple en proposant une adresse électronique dédiée ou un formulaire, vérifier l'identité du demandeur sans exiger systématiquement une pièce d'identité, et motiver tout refus en indiquant la possibilité de saisir la CNIL. Un responsable qui ne répond pas, ou qui renvoie la personne vers son prestataire, manque à ses obligations : la CNIL sanctionne régulièrement ces défauts, en particulier dans le cadre de la procédure simplifiée.

Le représentant des responsables établis hors de l'Union

Un responsable établi hors de l'Union qui entre dans le champ du RGPD par le critère de ciblage doit, en principe, désigner par écrit un représentant dans l'un des États membres où se trouvent les personnes concernées, conformément à l'article 27. Ce représentant sert d'interlocuteur aux autorités et aux personnes et tient une copie du registre. L'obligation ne s'applique pas aux traitements occasionnels, à faible risque, qui ne portent pas à grande échelle sur des données sensibles, ni aux autorités publiques. La désignation d'un représentant ne décharge pas le responsable de sa propre responsabilité. La CNIL a déjà sanctionné des sociétés étrangères ciblant des internautes français qui n'avaient pas désigné de représentant, en particulier dans le secteur des applications et des sites marchands.

Le responsable et la gouvernance des données

Au-delà des obligations formelles, le responsable a intérêt à structurer une véritable gouvernance des données. Elle repose sur une politique interne de protection des données approuvée par la direction, des procédures écrites pour les demandes de droits, les violations, la gestion des prestataires et les nouveaux projets, des référents identifiés dans les services, un plan de sensibilisation et un calendrier de revue du registre. Cette organisation permet de transformer une conformité ponctuelle en démarche durable et de réagir efficacement en cas d'incident ou de contrôle.

Le responsable de traitement est celui qui décide et qui répond ; il peut déléguer des tâches, jamais sa responsabilité.