Responsable de traitement

Ce que ça change pour une organisation

Le responsable de traitement est l’organisme qui décide des finalités (pourquoi traiter) et des moyens (quelles données, avec quels outils) d’un traitement. En pratique, précise la CNIL, il s’agit de la personne morale, représentée par son représentant légal.

C’est sur lui que pèsent l’essentiel des obligations du RGPD : mettre en œuvre des mesures appropriées et pouvoir prouver la conformité (article 24), tenir un registre (article 30), ne recourir qu’à des sous-traitants offrant des garanties suffisantes (article 28) et notifier les violations à l’autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures (article 33). Plusieurs organismes qui déterminent ensemble finalités et moyens sont responsables conjoints et répartissent leurs obligations par accord (article 26).

Confier un traitement à un prestataire ne déplace pas cette responsabilité : en cas de dommage, le responsable en répond d’abord, le sous-traitant n’étant tenu que s’il a méconnu ses obligations propres ou agi hors des instructions licites (article 82). Il faut donc identifier qui décide réellement de chaque traitement et formaliser les rôles.

Exemple

Dans l’arrêt Wirtschaftsakademie (affaire C-210/16, 5 juin 2018), la Cour de justice de l’Union européenne a jugé que l’administrateur d’une page fan hébergée sur Facebook est conjointement responsable avec Facebook du traitement des données des visiteurs. En paramétrant sa page (audience visée, objectifs de promotion), il participait à la détermination des finalités et des moyens, et l’usage de la plateforme ne l’exonérait pas de ses obligations. L’arrêt relevait de la directive 95/46/CE, remplacée par le RGPD le 25 mai 2018, qui traite de la responsabilité conjointe à l’article 26.

À ne pas confondre avec

• Le sous-traitant : il traite les données pour le compte du responsable, sur instruction documentée ; s’il décide seul des finalités et des moyens, il est considéré comme responsable pour ce traitement (article 28, paragraphe 10).
• Le délégué à la protection des données : il informe, conseille et contrôle (article 39), mais la responsabilité de la conformité reste celle du responsable (article 5, paragraphe 2).