Responsable ou sous-traitant : qui répond de quoi, et pourquoi l’étiquette ne suffit pas

Une entreprise qui exploite un site finit toujours par recevoir ce document. Il arrive avec l’outil de statistiques, la plateforme d’envoi de lettres d’information, le prestataire de paiement, le réseau publicitaire. Il s’intitule contrat de sous-traitance, ou accord de traitement des données, ou, en allemand, Vereinbarung zur Auftragsverarbeitung. Il désigne l’exploitant du site comme responsable du traitement et le prestataire comme sous-traitant, puis énumère une douzaine d’obligations sur une dizaine de pages. Le réflexe le plus répandu consiste à l’accepter sans le lire, en supposant que ces rôles sont des formalités administratives et que le prestataire, plus gros, plus spécialisé, plus visible, portera la conformité.

Cette supposition est exactement inverse de ce que dit le texte.

Deux rôles, et un seul critère pour les distinguer

Le règlement (UE) 2016/679 définit le responsable du traitement comme la personne qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement.¹ Le sous-traitant, lui, est défini par sa dépendance : il traite des données à caractère personnel pour le compte du responsable du traitement.² Le critère tient donc en un mot, celui de détermination. Ce n’est pas la taille de l’entreprise, ce n’est pas sa compétence technique, ce n’est pas même le fait de posséder physiquement les données. C’est le pouvoir de décider pourquoi le traitement a lieu et comment.

Le Comité européen de la protection des données a précisé ce que recouvre la seconde moitié du critère, celle des moyens, dans ses lignes directrices 07/2020. Il distingue les moyens essentiels, qui touchent au type de données traitées, à la durée de conservation, aux catégories de destinataires et aux personnes concernées, et les moyens non essentiels, qui relèvent des choix techniques d’exécution. Les premiers appartiennent au responsable du traitement. Les seconds peuvent être laissés à l’appréciation du sous-traitant sans que celui-ci change de rôle.

Cette distinction est la clé de lecture de toute la matière. Un hébergeur choisit ses serveurs, son système de fichiers, son ordonnanceur de sauvegardes : ce sont des moyens non essentiels, et il reste sous-traitant. Un prestataire qui décide combien de temps un identifiant est conservé, à quels tiers il est transmis et pour quelle finalité seconde il est réutilisé décide de moyens essentiels, et cette décision est celle d’un responsable.

La règle que la plupart des contrats passent sous silence

L’article 28, paragraphe 10, du règlement énonce une conséquence rarement citée dans les contrats qui s’en réclament. Si un sous-traitant enfreint le règlement en déterminant lui-même les finalités et les moyens du traitement, il est considéré comme responsable du traitement pour ce traitement.³

La portée de cette phrase mérite d’être énoncée exactement. Elle ne prévoit pas une sanction contractuelle, elle opère une requalification. Le rôle n’est pas ce que les parties ont écrit, il est ce que les parties font. Un contrat peut appeler sous-traitant une entreprise qui poursuit ses propres finalités, cela ne la rendra pas sous-traitante devant l’autorité de contrôle. Symétriquement, l’exploitant d’un site ne se décharge de rien en signant un document qui le nomme responsable : il l’est déjà, ou il ne l’est pas, en fonction de ce qu’il décide réellement.

Ce que la Cour de justice a jugé

Deux arrêts ont fixé la lecture, et tous deux concernent des situations que n’importe quel exploitant de site reconnaîtra.

Dans l’affaire Wirtschaftsakademie Schleswig-Holstein, la Cour a jugé que l’administrateur d’une page hébergée sur un réseau social, qui paramètre l’audience de sa page et obtient des statistiques de fréquentation, participe à la détermination des finalités et des moyens du traitement des données des visiteurs, et doit être qualifié de responsable conjointement avec l’exploitant du réseau.⁴ L’administrateur ne traitait aucune donnée lui-même, ne disposait d’aucune donnée brute, et n’avait aucun moyen technique d’en obtenir. Cela n’a pas suffi à l’exonérer.

Dans l’affaire Fashion ID, un site marchand avait inséré un module social d’un tiers, lequel collectait les données des visiteurs et les transmettait au tiers, y compris pour les visiteurs qui n’avaient pas de compte et n’avaient rien cliqué. La Cour a jugé que l’exploitant du site pouvait être considéré comme responsable conjointement avec le fournisseur du module, mais uniquement pour les opérations dont il détermine effectivement les finalités et les moyens, à savoir la collecte des données et leur transmission par voie de divulgation, à l’exclusion des opérations ultérieures effectuées par le seul tiers.⁵

Le second enseignement de Fashion ID est aussi important que le premier : la responsabilité conjointe n’est pas globale, elle se découpe par opération. On peut être responsable conjoint de la collecte et étranger à ce que le partenaire fait ensuite.

Le troisième rôle, celui que les contrats évitent

Lorsque deux entités déterminent conjointement les finalités et les moyens, elles sont responsables conjoints du traitement. L’article 26 leur impose alors de définir, par voie d’accord transparent, leurs obligations respectives, en particulier pour l’exercice des droits des personnes concernées et pour l’information à leur fournir. Les grandes lignes de cet accord doivent être mises à la disposition des personnes concernées, et celles-ci peuvent exercer leurs droits à l’égard de chacun des responsables, indépendamment de ce que l’accord a réparti.⁶

Cette dernière précision explique pourquoi la responsabilité conjointe est si peu proposée par les prestataires. Elle interdit de renvoyer la personne concernée à l’autre partie. Le contrat de sous-traitance, lui, permet à l’exécutant de transmettre au donneur d’ordre toute demande reçue et de s’en tenir là.

Il existe enfin une quatrième configuration, souvent la bonne, et presque jamais nommée : celle de deux responsables indépendants. Deux entreprises qui se transmettent des données mais poursuivent chacune sa propre finalité, sans en décider ensemble, ne sont ni sous-traitantes l’une de l’autre ni responsables conjointes. Chacune répond de son traitement, et la transmission elle-même doit avoir sa base légale.

Ce que le rôle change, en pratique

La question n’est pas doctrinale. Six obligations changent de titulaire selon le rôle occupé.

L’information des personnes concernées incombe au responsable du traitement, aux articles 13 et 14. Le sous-traitant n’informe personne.

La réponse aux demandes d’accès, de rectification et d’effacement incombe au responsable, dans un délai d’un mois.⁷ Le sous-traitant se borne à assister le responsable, et lui transmet les demandes qu’il reçoit directement.

La notification d’une violation de données à l’autorité de contrôle, dans les 72 heures suivant la connaissance du fait, incombe au responsable.⁸ Le sous-traitant, lui, notifie au responsable, sans délai indu, et rien qu’à lui.⁹ Une fuite chez le prestataire fait donc courir un délai dans l’agenda de son client.

Le registre des activités de traitement existe pour les deux rôles, mais son contenu diffère : celui du responsable décrit les finalités, celui du sous-traitant décrit les catégories de traitements effectués pour le compte de chaque client.¹⁰

L’analyse d’impact relative à la protection des données incombe au responsable.¹¹

La responsabilité civile, enfin, est régie par l’article 82 : le sous-traitant ne répond du dommage que s’il n’a pas respecté les obligations du règlement qui incombent spécifiquement aux sous-traitants, ou s’il a agi en dehors des instructions licites du responsable, ou contrairement à celles-ci.¹² Autrement dit, hors de ces deux hypothèses, c’est le responsable qui répond.

Le même partage, en droit suisse

Une entreprise établie en Suisse retrouve la même architecture, avec un vocabulaire différent. La loi fédérale sur la protection des données définit le responsable du traitement et le sous-traitant, et son article 9 encadre la sous-traitance : le traitement peut être confié à un tiers par contrat ou par la loi, à trois conditions, que le tiers effectue uniquement les traitements que le responsable serait en droit d’effectuer lui-même, qu’aucune obligation légale ou contractuelle de garder le secret ne l’interdise, et que le responsable s’assure que le tiers garantit la sécurité des données.¹³ Le sous-traitant ne peut lui-même confier le traitement à un tiers qu’avec l’autorisation préalable du responsable.¹⁴

La différence tient moins au fond qu’aux conséquences procédurales, et surtout au fait que les deux régimes se superposent souvent au lieu de se remplacer. C’est le sujet du troisième volet de cette série.

Ce qu’il faut vérifier avant de signer

Trois questions suffisent à situer un contrat qui vous est soumis.

La première : qui a décidé de la durée de conservation, des catégories de destinataires et de la réutilisation éventuelle des données ? Si la réponse est le prestataire, la qualification de sous-traitance est fragile, quelle que soit l’intitulé du document.

La deuxième : le prestataire poursuit-il, par le même traitement, une finalité qui lui est propre ? Une régie qui fait du reciblage publicitaire, un réseau qui mutualise des données entre plusieurs clients, un outil qui améliore son modèle avec les données traitées, tous poursuivent une finalité propre.

La troisième : que se passe-t-il quand une personne concernée écrit ? Si le contrat prévoit que le prestataire vous transfère la demande, vous devez être en mesure d’y répondre, y compris pour des données que vous n’hébergez pas.

Un contrat de sous-traitance bien rédigé ne fait pas disparaître ces trois questions. Il les rend seulement plus faciles à poser.

Notes

1. Règlement (UE) 2016/679, art. 4, point 7. ↩

2. Règlement (UE) 2016/679, art. 4, point 8. ↩

3. Règlement (UE) 2016/679, art. 28, par. 10. ↩

4. CJUE, 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16. ↩

5. CJUE, 29 juillet 2019, Fashion ID, C-40/17. ↩

6. Règlement (UE) 2016/679, art. 26, par. 1 à 3. ↩

7. Règlement (UE) 2016/679, art. 12, par. 3. ↩

8. Règlement (UE) 2016/679, art. 33, par. 1. ↩

9. Règlement (UE) 2016/679, art. 33, par. 2. ↩

10. Règlement (UE) 2016/679, art. 30, par. 1 et 2. ↩

11. Règlement (UE) 2016/679, art. 35, par. 1. ↩

12. Règlement (UE) 2016/679, art. 82, par. 2. ↩

13. Loi fédérale sur la protection des données (RS 235.1), art. 9, al. 1 et 2. ↩

14. Loi fédérale sur la protection des données (RS 235.1), art. 9, al. 3. ↩