Votre application en ligne traite-t-elle des données personnelles pour des clients ? Vous êtes généralement sous-traitant pour les activités réalisées uniquement pour leur compte. Si vous utilisez aussi les données pour vos propres finalités, évaluez ce traitement séparément. Une même entreprise peut avoir plusieurs rôles au regard du RGPD.
Comment déterminer votre rôle ?
La question centrale est : qui décide pourquoi les données personnelles sont traitées et des choix essentiels à cet égard ? Le responsable du traitement détermine les finalités et les moyens du traitement. Le sous-traitant réalise le traitement pour son compte. Cela découle de l’article 4(7) et 4(8) du RGPD.
Ces choix essentiels portent notamment sur :
- les personnes dont les données sont traitées ;
- les données nécessaires ;
- les personnes qui y ont accès ;
- la durée de conservation.
Les choix techniques d’exécution, comme le logiciel utilisé ou certaines mesures de sécurité concrètes, peuvent être laissés au sous-traitant. Développer l’application et la gérer techniquement ne fait donc pas automatiquement de vous un responsable du traitement. Un service standardisé peut également relever de la sous-traitance, comme l’explique le CEPD.
Comment cela fonctionne-t-il pour une application événementielle ?
Supposons qu’une entreprise utilise votre application pour gérer les inscriptions à un événement professionnel. Elle décide pourquoi les données des participants sont nécessaires et qui sera invité. Votre application conserve les noms et adresses e-mail et envoie des confirmations pour son compte.
Si vous traitez ces données uniquement selon les accords avec l’organisateur, vous êtes sous-traitant pour cette gestion des participants. L’organisateur est, dans cet exemple, responsable du traitement.
Vous pouvez simultanément avoir un autre rôle pour la gestion de votre propre clientèle. Si vous utilisez les coordonnées de l’organisateur pour gérer son abonnement et établir des factures, vous êtes généralement vous-même responsable du traitement pour cette gestion. Évaluez donc chaque activité séparément.
Que se passe-t-il si vous souhaitez utiliser vous-même les données des participants ?
Souhaitez-vous envoyer de votre propre initiative de la publicité pour votre plateforme aux participants ? Ou réunir leurs données dans votre propre base à des fins de profilage commercial ? Vous déterminez alors une finalité propre et êtes responsable du traitement pour cette utilisation.
Cela ne signifie pas que cette utilisation est autorisée. Vous ne pouvez pas simplement réutiliser pour votre compte les données reçues comme sous-traitant. Examinez notamment les accords initiaux, la compatibilité avec la finalité initiale, une base juridique appropriée et l’information des personnes concernées.
L’autorité française de contrôle, la CNIL, souligne qu’un sous-traitant ne peut pas réutiliser des données pour ses propres finalités de sa propre initiative. Elle exige l’autorisation écrite du responsable du traitement initial pour une réutilisation évaluée concrètement. Une clause générale autorisant toute réutilisation future ne suffit pas.
Les termes « analyse » ou « amélioration du produit » ne donnent pas, à eux seuls, la réponse. Précisez quelles données personnelles vous utilisez, pour quoi et pour les finalités de qui.
Quand êtes-vous responsable conjoint du traitement ?
Cela peut être le cas lorsque vous et votre client déterminez ensemble les finalités et les moyens essentiels. Par exemple, pour une campagne commune, vous décidez quelles données des participants collecter et comment les utiliser pour cette campagne.
La coopération ou un avantage commercial ne suffit pas. L’utilisation d’une même plateforme ne vous rend pas non plus automatiquement responsables conjoints. Des décisions convergentes par lesquelles vous déterminez ensemble les finalités et les moyens essentiels peuvent toutefois entraîner une responsabilité conjointe, même sans décision commune formelle.
Cette responsabilité peut être limitée à un traitement déterminé. Elle ne couvre pas nécessairement toutes les activités des deux entreprises.
Quels accords devez-vous prévoir ?
Un contrat de sous-traitance régit la relation entre le responsable du traitement et le sous-traitant. Les deux parties doivent veiller à ce que ce contrat existe et corresponde au traitement réel. Il définit ce que le sous-traitant peut faire avec les données et les garanties qu’il doit offrir.
| Votre rôle | Que devez-vous prévoir ? |
|---|---|
| Sous-traitant | Concluez avec votre client un contrat de sous-traitance selon l’article 28 du RGPD. Précisez notamment les instructions, la sécurité, l’assistance et l’effacement ou la restitution des données. Le recours à des sous-traitants ultérieurs entraîne des conditions et obligations contractuelles supplémentaires. |
| Responsable du traitement indépendant | Prévoyez une base juridique appropriée, une information claire des personnes concernées, des durées de conservation et l’exercice de leurs droits. Faites-vous appel à des sous-traitants ? Évaluez leurs garanties et concluez avec eux un contrat de sous-traitance selon l’article 28 du RGPD. |
| Responsable conjoint du traitement | Définissez selon l’article 26 du RGPD la répartition de vos responsabilités et rendez l’essentiel de cet accord accessible aux personnes concernées. Si vous faites appel à un sous-traitant pour ce traitement, la relation avec ce sous-traitant doit également être encadrée selon l’article 28 du RGPD. |
Un accord entre responsables conjoints et un contrat de sous-traitance régissent donc des relations différentes. Les deux peuvent être nécessaires au sein d’une même prestation. Les règles figurent aux articles 26 et 28 du RGPD.
Votre client est-il lui-même sous-traitant pour une autre organisation ? Vous pouvez alors être sous-traitant ultérieur. Cela exige l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement initial. Les obligations applicables doivent être imposées contractuellement. En cas d’autorisation générale, ce responsable doit être informé des changements à l’avance et pouvoir s’y opposer.
Lisez aussi notre article sur l’accord de sous-traitance.
Comment procéder en pratique ?
- Dressez la liste de vos activités. Distinguez, par exemple, la gestion des participants, la gestion de votre clientèle, votre propre marketing et les analyses.
- Décrivez les décisions pour chaque activité. Notez qui détermine la finalité et qui décide des données, des accès et des durées de conservation.
- Vérifiez le fonctionnement réel. Examinez aussi les e-mails automatiques, les paramètres par défaut, les exportations et les données conservées après la fin d’un abonnement.
- Documentez le rôle approprié. Indiquez pour chaque activité si vous êtes sous-traitant, responsable indépendant ou responsable conjoint du traitement.
- Adaptez votre documentation. Vérifiez votre registre, vos contrats et votre politique de confidentialité. Réévaluez les rôles lorsque vous ajoutez des fonctionnalités ou des finalités.
Une description interne utile serait, par exemple : « Nous traitons les données des participants pour le compte de l’organisateur afin de gérer les inscriptions et la communication événementielle. Pour la gestion de notre propre clientèle, nous déterminons nous-mêmes les finalités et les moyens. »
N’utilisez cette description que si elle correspond à votre prestation.
Identifiez vos traitements et les parties concernées. Utilisez GDPRWise pour documenter vos processus et y adapter votre politique de confidentialité et vos contrats.