Le(s) responsable(s) et le(s) sous-traitant(s)

Notion de responsable

Notion de responsable conjoint

Plusieurs personnes peuvent participer au traitement. Peuvent-elles alors être qualifiées de responsables conjoints ? Conformément à l’article 26 § 1 du RGPD, l’admission de cette qualification suppose que ces personnes déterminent conjointement les finalités et les moyens du traitement, soit par décision commune, soit par décision convergente (v. en ce sens, EDPB, Lignes directrices 07/2020 précitées, n° 54). Sur ce dernier point, le Comité européen de la protection des données propose d’admettre la convergence "lorsque les décisions se complètent et sont nécessaires à la réalisation du traitement de telle sorte qu’elles ont un effet concret sur la détermination des finalités et des moyens. Un critère important est que le traitement ne serait pas possible sans la participation des deux parties en ce sens que le traitement par chacune des parties est indissociable de celui de l’autre, c’est-à-dire inextricablement lié" (EDPB, Lignes directrices 07/2020 précitées, n° 55).

Cependant, pour un même traitement de données à caractère personnel, l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents acteurs. La Cour de Justice considère...

Contrat entre responsables conjoints

L’article 26 du RGPD précise la nature des relations entre responsables conjoints. Ces responsables doivent définir de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du règlement. Le contrat doit préciser les obligations de chacune des parties et leurs relations vis-à-vis des personnes concernées. L’accord doit préciser comment les droits de la personne concernée sont pris en compte, notamment en ce qui concerne la communication des informations à fournir lorsque des données à caractère personnel sont ou ne sont pas collectées auprès de la personne concernée, en vertu des articles 13 et 14 du règlement.

La personne concernée doit être informée des grandes lignes de cet accord (RGPD, art. 26 § 2).

Enfin, sur le plan de la responsabilité, l’accord n’est pas opposable à la personne concernée (RGPD, art. 26 § 3). Elle pourra en effet agir contre l’un des coresponsables sans qu’un partage de responsabilité, par exemple, puisse lui être opposé par les responsables conjoints. Dans un tel cas, le responsable contre lequel la personne concernée a agi pourra se retourner contre l’autre ou les autres responsables conjoints, en se prévalant de l’accord...

Sous-traitant

Formalisation des relations entre responsable de traitement et sous-traitant

L’article 28 § 3 du RGPD dispose « Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement ».  Deux situations sont envisageables : soit un contrat a d’ores et déjà été rédigé par les parties, soit aucun écrit ne formalise encore leurs relations. Dans le premier cas, il suffit de compléter le contrat existant par des stipulations relatives aux données à caractère personnel. Dans le second cas, un contrat devra être signé, qui précisera son objet et les obligations des parties, au-delà des stipulations relatives aux données à caractère personnel. Le comité européen de la protection des données recommande que les stipulations relatives au RGPD soient clairement identifiées en un seul endroit, par exemple dans une annexe au contrat (EDPB, Lignes directrices 07/2020 précitées, n° 103). Les contractants pourront reprendre ou s’inspirer de clauses contractuelles types qui peuvent être adoptées par la Commission ou encore par une autorité de contrôle (Ibid, n°...

Aspects internationaux

Une situation est internationale sur le plan juridique si elle comprend un élément étranger. Dans le cadre des données à caractère personnel, tel est le cas notamment d’un traitement, effectué par un responsable situé dans un premier État, de données à caractère personnel d’une personne résidant dans un autre État ou encore d’un responsable établi dans un premier État, tandis que son sous-traitant est établi dans un autre État. Une situation internationale génère des questions sur la compétence internationale, d’une part, et sur la loi applicable, d’autre part.

Sur le plan de la compétence, le RGPD fixe la compétence des différentes autorités centrales. Par ailleurs, sur le plan pénal, la compétence des autorités peut dépendre de la nationalité des personnes commettant les infractions ou encore du lieu de l’infraction. Sur le plan civil, par exemple dans le cas d’un litige entre un sous-traitant et un responsable ou encore entre deux responsables conjoints, il y a lieu de faire application d’éventuelles conventions internationales lorsque les règles de l’UE qui priment les règles internes ne s’appliquent pas. À défaut, le juge appliquera les règles...

Contenu du contrat

L’article 28 § 3 al. 1 du RGPD dispose de manière générale que le contrat « définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement ». Les contractants auront intérêt à les préciser, les détailler le plus possible (voir sur ces points : EDPB, Lignes directrices 07/2020 précitées, n° 114). L’article 28 impose également d’autres éléments particuliers.

En premier lieu, le contrat doit préciser que le sous-traitant « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel le sous-traitant est soumis ; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information...

Résolution du contrat

La résolution est l’une des sanctions d’inexécution du contrat. En vertu de l’article 1217 du Code civil, « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut… provoquer la résolution du contrat ». La résolution peut résulter, en cas d’inexécution suffisamment grave, d’une notification du créancier ou du débiteur ou d’une décision de justice (Code civil, art. 1224). La résolution par notification se fait aux risques et périls du créancier (Code civil, art. 1126 al. 1). Il appartient au créancier de démontrer la gravité de l’inexécution en cas de contestation par le débiteur de la résolution (Code civil, art. 1226, dern. al.).

La même charge porte sur le créancier en cas de demande au juge. Et selon la Cour de cassation : « il appartient aux tribunaux d’apprécier souverainement si l’inexécution a assez d’importance pour que la résolution doive être immédiatement prononcée » (civ. 14 av.1891. D.1891.1.329, note Planiol ; civ. 3e, 22 mars 1983 bull civ. III, No 84).

En raison des incertitudes inhérentes à ces modes de résolution...