Version classiqueVersion mobile

Sécuriser la sous-traitance : quels nouveaux défis ?

 | 
Sandrine Tisseyre

Chapitre 2 : L'accroissement des obligations en matière de sous-traitance

Le rôle du sous-traitant en matière de données personnelles

Alexandra Mendoza-Caminade

Texte intégral

  • 1 Sur ces aspects de la sous-traitance, v. dans cet ouvrage : E. Cordelier, « Les contours de la sou (...)
  • 2 Retenant plutôt la qualification de sous-contrat : M. Guillemain, « La sous-traitance en droit des (...)
  • 3 Ainsi, l’action directe en paiement prévue par l’article 6 de la loi n° 75-1334 du 31 décembre 197 (...)
  • 4 Considérant 13 du RGPD.
  • 5 En rupture totale avec le droit antérieur, ces dispositions prévues aux articles 28, 30.2, et 37 d (...)
  • 6 Considérant 81 du RGPD.

1L’une des interrogations contemporaines en matière de sous-traitance porte sur le traitement des données personnelles. Depuis plusieurs décennies déjà, la sous-traitance est un phénomène économique très développé en matière numérique car le traitement des données personnelles se prête tout particulièrement à l’externalisation du stockage des données et au cloud computing. Comme dans les autres secteurs, une entreprise confie le traitement de données en totalité ou en partie à une autre entreprise prestataire, le sous-traitant, ce qui permet une spécialisation des tâches et des économies d’échelle. Cependant, la sous-traitance présente ici un visage est très atypique par rapport aux sous-traitances traditionnelles, même s’il est possible de la rapprocher du schéma de la sous-traitance industrielle1 en raison de l’enchainement des contrats2. Le premier contrat passé entre le responsable de traitement et la personne concernée par les données traitées relève plus d’une simple autorisation gratuite et les règles classiques du droit civil ne sont donc pas applicables3. L’enjeu en la matière est que le recours à la sous-traitance fragilise la sécurité de la relation principale entre la personne concernée et la responsable de traitement : elle créé un risque s’agissant du respect du droit des données personnelles par le sous-traitant. Or le règlement général sur la protection des données personnelles n° 2016/679 du 27 avril 2016, dit RGPD, vise à « (…) offrir aux personnes physiques de tous les États membres un même niveau de droits opposables et d’obligations et de responsabilités pour les responsables du traitement et les sous-traitants »4. Il est donc très important que le responsable de traitement puisse exercer un contrôle du sous-traitant. Pourtant, l’intervention du sous-traitant dans le traitement des données était jusqu’à présent méconnue par les textes : la directive n° 95/46/CE du 24 octobre 1995 et la loi n° 78-17 du 6 janvier 1978 (LIL) prévoyaient que seul le responsable de traitement était responsable des manquements à la sécurité commis par les sous-traitants : le sous-traitant n’avait donc pas de responsabilité directe à l’égard de la personne concernée. Une dilution des obligations et des responsabilités en résultait, aussi une modification du droit semblait nécessaire pour régir le recours à la sous-traitance et la situation du sous-traitant afin de renforcer la protection des données personnelles des citoyens européens. Dans cette perspective, le RGPD a consacré la notion de sous-traitant et créé un régime juridique spécifique de la sous-traitance5. Les sous-traitants deviennent des acteurs nouveaux du droit des données personnelles : ils se voient imposer des obligations spécifiques et encourent désormais une lourde responsabilité du fait du traitement des données personnelles. L’objectif est de garantir la protection des données confiées aux sous-traitants en raison du risque que leur intervention fait peser sur les données personnelles traitées. Pour limiter ce risque, il est ainsi demandé au responsable du traitement de choisir « des sous-traitants présentant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources, pour la mise en œuvre de mesures techniques et organisationnelles qui satisferont aux exigences du présent règlement, y compris en matière de sécurité du traitement »6. Le recours à la sous-traitance ne doit pas conduire à l’affaiblissement de la protection des personnes concernées. A l’inverse, il s’agit d’assurer une meilleure répartition des obligations et des responsabilités, et corrélativement une meilleure protection des données personnelles.

2Cependant, si ce régime semble bien atteindre l’objectif recherché, plusieurs difficultés sont apparues avec l’entrée en vigueur du RGPD : la qualification par les parties de leur relation en sous-traitance est délicate pour reconnaitre le sous-traitant en tant que nouvel acteur du RGPD (I). En outre, la notion de sous-traitance retenue par le RGPD peut créer des incertitudes concernant le régime de responsabilité, mais par principe le sous-traitant est un nouvel acteur responsable de la protection des données traitées pour le compte d’autrui (II).

I. Le sous-traitant : un nouvel acteur du RGPD

3Le RGPD a conduit à une consécration étroite de la notion de sous-traitant (A) ainsi qu’à la mise en place d’un régime juridique composé d’obligations à la charge du sous-traitant (B).

A. La consécration étroite de la qualité de sous-traitant

4Selon l’article 4 8) du RGPD, le sous-traitant est défini comme « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement ». En pratique, de nombreuses situations correspondent à cette définition : l’entreprise qui confie la gestion de données personnelles à un prestataire de services informatiques, à un prestataire intégrateur de logiciels, à une société de cybersécurité, ou encore à une entreprise de marketing pour des campagnes de prospection commerciale. Les hypothèses sont nombreuses où une entreprise va s’en remettre à une autre concernant la gestion des données personnelles. Pour autant, ces situations ne correspondent pas nécessairement à la notion de sous-traitance telle qu’elle a été dégagée par le RGPD. En effet, le critère de la sous-traitance vise le traitement de données personnelles pour le compte d’un autre organisme sur instruction documentée du responsable de traitement selon l’article 28 du RGPD. Ces instructions documentées sont fournies par le responsable de traitement et peuvent être annexées au contrat de sous-traitance.

5L’application du RGPD impose d’identifier précisément les rôles respectifs des acteurs. Le responsable de traitement est défini comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ». Le responsable de traitement est avant tout la personne qui décide pourquoi et comment seront traitées des données à caractère personnel. Ainsi, ce qui distingue le sous-traitant du responsable de traitement, c’est qu’il ne peut définir ni les finalités ni les moyens sans être requalifié de responsable de traitement. Or cette qualification est fondamentale : alors que le responsable de traitement reste responsable à titre principal du respect du RGPD, les sous-traitants sont désormais responsables de certains manquements au RGPD. Les responsabilités de chacun doivent donc être réparties par le contrat dans le respect des dispositions du RGPD : la qualification contractuelle doit être conforme à la situation des parties, sous peine de requalification par une autorité de contrôle ou un juge.

  • 7 Avis 1/2010 adopté le 16 février 2010.

6Dans une majorité de cas, il n’y aura pas de difficulté car le sous-traitant agira selon les instructions du donneur d’ordres. En revanche, une zone grise existe depuis longtemps entre les deux qualités de responsable de traitement et de sous-traitant, notamment pour les prestataires de cloud. Lorsqu’une entreprise demande à une autre de traiter des données, elle la considère comme un prestataire auquel elle « sous-traite » un service : pour autant, l’entreprise n’est pas nécessairement un « sous-traitant » au sens du RGPD. Si l’entreprise prestataire de services peut traiter les données sans agir sur instructions, elle n’est pas un sous-traitant et devient responsable des traitements. En cas de doute quant à la qualité de responsable du traitement ou de sous-traitant, une approche in concreto doit être adoptée. Dans un avis 1/2010 sur les notions de « responsable du traitement » et de « sous-traitant », le G29 a concédé la difficulté « d’appliquer les définitions de la directive dans un environnement complexe, qui permet d’envisager maints scénarios faisant intervenir des responsables de traitement et des sous-traitants, seuls ou conjointement avec d’autres, avec différents degrés d’autonomie et de responsabilité ». Il a ensuite exposé 26 illustrations pour permettre une interprétation utile des définitions données par la directive 95/46/CE7.

7Par ailleurs, la CNIL a publié en septembre 2017 un guide du sous-traitant dans lequel figure un exemple de clauses contractuelles de sous-traitance applicable à partir de l’entrée en vigueur du RGPD. La CNIL a proposé également dans son guide des indices permettant de réaliser l’analyse in concreto de la qualité de responsable du traitement ou de sous-traitant. Selon la CNIL, il faut prendre en compte le niveau d’instruction donné par le client au prestataire, le degré de contrôle de l’exécution de la prestation, la valeur ajoutée fournie par le prestataire, et encore le degré de transparence sur le recours à un prestataire vis-à-vis des personnes concernées. L’appréciation devra être effectuée au cas par cas pour déterminer la qualification du prestataire de traitement de données personnelles.

  • 8 Art. 28, 10. du RGPD.

8Comme celle de responsable de traitement, la notion de sous-traitant est donc une notion fonctionnelle qui doit correspondre à la qualification retenue par les parties dans leur contrat. Les parties disposent d’une grande liberté pour déterminer leurs responsabilités respectives dans le contrat de sous-traitance, mais encore faut-il que la qualification contractuelle coïncide bien avec la réalité de leurs rôles respectifs. Dans la négative, « (…) si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement »8. Parmi les enjeux de son identification, il apparaît désormais que le sous-traitant assume des obligations propres au regard de la protection des données personnelles traitées pour le compte d’autrui.

B. Les nouvelles obligations imposées aux sous-traitants

9Avant d’être un sous-traitant, l’acteur est pour sa propre activité un responsable de traitement soumis en tant que tel aux obligations inhérentes à cette qualité. Mais sa qualité de sous-traitant va également le soumettre spécifiquement à de nouvelles obligations prévues par le RGPD au titre de la sous-traitance, soit de manière directe, soit au sein du contrat conclu avec le responsable de traitement pour le compte duquel il traite des données.

  • 9 S’il n’a pas l’obligation d’en désigner un, le sous-traitant peut aussi désigner de manière facult (...)
  • 10 Art. 31 du RGPD.

10Des obligations nouvelles sont imposées au sous-traitant qui sont largement similaires à celles relevant du responsable de traitement. Le RGPD fixe en effet un ensemble d’obligations aussi bien aux responsables de traitements qu’aux sous-traitants susceptibles d’intervenir dans les opérations de traitement. Selon l’article 30 2. du RGPD, chaque sous-traitant doit tenir un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable du traitement, dès que l’entreprise compte plus de 250 employés, que le traitement est susceptible de comporter un risque pour les droits et des libertés des personnes, que les traitements sont réguliers ou qu’ils portent sur des catégories spéciales de données ou de données de condamnations ou d’infractions. Le registre tenu sous forme écrite doit être mis à disposition de l’autorité de contrôle sur demande. Le registre comporte l’identification de chaque responsable de traitement pour lequel le sous-traitant agit, les catégories de traitement effectuées pour le compte de chaque responsable, les transferts transfrontières de données, et la description générale des mesures de sécurité techniques et organisationnelles adoptées visées à l’article 32 1. du RGPD. En effet, le sous-traitant est visé à l’égal du responsable de traitement par l’article 32 du RGPD relatif à la sécurité des données à caractère personnel : ainsi, le sous-traitant doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. À l’image du responsable de traitement, le sous-traitant peut être tenu de désigner un délégué à la protection des données dans les mêmes conditions visées par l’article 37 du RGPD9. Une obligation de coopération avec l’autorité de contrôle est également imposée au sous-traitant à l’égal du responsable de traitement10.

  • 11 Art. 28 1. du RGPD.
  • 12 Évoquant les difficultés de la sous-traitance de second rang : G29, Avis 05/2012 sur l’informatiqu (...)
  • 13 Art. 28 4. du RGPD.

11S’agissant de sa relation entre le responsable de traitement, le sous-traitant est soumis à des obligations spéciales décrites dans l’article 28 du RGPD. Il est à nouveau tenu de mettre en œuvre des garanties suffisantes quant à la mise en œuvre « de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits des personnes concernées »11. Le sous-traitant pourra faire appel à un sous-traitant de second rang avec l’autorisation écrite préalable du responsable de traitement12. Cet autre sous-traitant est soumis aux mêmes obligations que celles du sous-traitant de premier rang. Mais en cas de non-respect de la protection des données, « (…) le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses obligations »13. En retenant la responsabilité du sous-traitant de premier rang pour un manquement réalisé par le sous-traitant de second rang, on impose que le recours à la seconde sous-traitance soit maîtrisé par le premier sous-traitant.

  • 14 Art. 33 2. du RGPD.

12Le nouveau régime mis en place par le RGPD prévoit de manière obligatoire des dispositions spéciales au sein du contrat liant le sous-traitant et le donneur d’ordre. Une contractualisation est désormais requise par contrat ou un autre acte juridique, sous forme écrite y compris en format électronique. L’article 28.3 du RGPD prévoit une liste non exhaustive de mentions que le contrat doit contenir : ainsi, le contrat définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Des obligations spécifiques en matière de confidentialité sont également prévues, ainsi qu’en matière de sécurité où il est renvoyé à l’article 32 du RGPD pour imposer les mêmes obligations que celles du responsable de traitement : il prend toutes les mesures requises pour garantir un niveau de sécurité adapté aux risques. Il doit en outre notifier au responsable de traitement toute violation de données personnelles dans les meilleurs délais14.

  • 15 Art. 32 à 36 du RGPD.
  • 16 Art. 28 3. g) du RGPD.

13Les sous-traitants ont une obligation de conseil auprès de leurs clients, et ils doivent les aider dans la mise en œuvre de certaines de leurs obligations en matière de sécurité du traitement, de notification de violation de données, ou encore d’analyse d’impact pour les traitements à risque15. En outre, lorsqu’une personne concernée souhaite exercer l’un de ses droits, le sous-traitant aide le responsable du traitement à exécuter cette demande « par des mesures techniques et organisationnelles appropriées, dans la mesure du possible ». Au terme de la prestation de services, le contrat doit déterminer le sort des données traitées : ainsi, le sous-traitant devra supprimer ou renvoyer les données, et détruire les copies existantes selon les instructions du responsable de traitement16.

  • 17 Art. 28, 3. h) du RGPD.
  • 18 Art. 28 5. du RGPD.

14Le sous-traitant met à disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et pour permettre la réalisation d’audits, « y compris d’inspections »17. Pour échapper aux audits et inspections que le responsable de traitement peut réaliser chez lui, le sous-traitant peut adopter un code de conduite approuvé ou obtenir une certification approuvée lui permettant de démontrer l’existence de garanties suffisantes18. Le sous-traitant a en outre l’obligation d’informer son client s’il estime qu’une instruction est susceptible d’enfreindre les règles de protection des données personnelles. L’objectif est d’aboutir à une relation contractuelle clairement définie afin que les rôles et responsabilité respectives du responsable de traitement et du sous-traitant soient bien identifiés. En effet, le sous-traitant est tenu de respecter ces obligations sous peine d’être soumis à un nouveau régime de responsabilité.

II. Le sous-traitant : un acteur responsable

15Des changements importants concernent la responsabilité et la sanction du sous-traitant. Le règlement consacre une responsabilité autonome du sous-traitant (A), et partant, de nouvelles règles en matière de responsabilité et de sanctions administratives encourues par le sous-traitant. Toutefois, le sous-traitant peut faire l’objet d’une requalification lorsque son rôle ne correspond pas à la notion de sous-traitance étroitement retenue par le RGPD (B).

A. Le principe de la responsabilité directe et personnelle du sous-traitant

  • 19 Selon l’article 35 de la LIL, « (…) la société qui recourt à un sous-traitant n’en demeure pas moi (...)
  • 20 Cette action récursoire à l’encontre du sous-traitant ne permettrait pas de réparer pleinement l’a (...)
  • 21 A. Danis-Fantôme, « Protection des données. Quelles actions judiciaires en cas de violation du RGP (...)
  • 22 Évoquant à ce titre une anomalie de l’ancien dispositif tempérée par le RGPD : N. Lenoir, « Protec (...)
  • 23 CNIL, Délib. n° 2014-298, 7 août 2014.
  • 24 CE, 30 décembre 2015, n° 385019 ; v. encore, adoptant la même formule : CE, 11 mars 2015, n° 36874 (...)

16Jusqu’à l’entrée en vigueur du RGPD, le sous-traitant ne pouvait être tenu pour responsable d’un manquement à une disposition relative à la protection des données personnelles face à une autorité de contrôle : il n’existait qu’un seul responsable, le responsable de traitement. Aussi, le recours à un sous-traitant n’a jamais permis au responsable de s’exonérer de sa responsabilité et d’échapper à une sanction de la CNIL : le responsable de traitement voyait sa seule responsabilité engagée19, à charge pour lui d’engager ensuite la responsabilité contractuelle de son sous-traitant20. Avant l’entrée en vigueur du RGPD, on a pu considérer que le sous-traitant jouissait d’une sorte d’impunité21 : dans certaines affaires, les manquements étaient exclusivement imputables au sous-traitant sans que leur responsabilité ne puisse être engagée22. Ce fut par exemple le cas de l’affaire Orange dans laquelle la fuite de données était le fait exclusif d’un sous-traitant : la CNIL a sanctionné l’entreprise Orange23, et saisi d’un recours sur cette décision, le Conseil d’État a considéré que « (…) la circonstance que des opérations de traitement de données soient confiées à des sous-traitants ne décharge pas le responsable du traitement de la responsabilité qui lui incombe de préserver la sécurité des données, sans que soit ainsi méconnu le principe constitutionnel de responsabilité personnelle, dès lors que ces sous-traitants agissent (…) sur instruction du responsable de traitement »24.

17Ce sont ces règles en matière de responsabilité qui sont bouleversées par le RGPD. En cas de violation du règlement, les principes directeurs du droit à réparation et de la responsabilité fixés par l’article 82 du RGPD visent à la fois le responsable de traitement et le sous-traitant. Le principe de la responsabilité du sous-traitant est affirmé dès le début de l’article : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement européen peut obtenir la réparation de son préjudice de la part du responsable de traitement ou du sous-traitant. Désormais, la réparation peut être obtenue aussi du sous-traitant. Toutefois, cette responsabilité n’est pas encourue de manière automatique : alors que la responsabilité du responsable de traitement est engagée pour tout dommage causé par le traitement qui constitue une violation du règlement, la mise en œuvre de la responsabilité propre au sous-traitant est conditionnée par l’article 82 2. du RGPD à deux cas : d’une part, la violation des obligations prévues spécifiquement à l’égard des sous-traitants, et d’autre part la violation des instructions licites du responsable du traitement. Un sous-traitant n’est tenu pour responsable du dommage causé par le traitement que dans ces deux cas.

18Que ce soit celle du responsable du traitement ou celle du sous-traitant, la mise en jeu de la responsabilité nécessite l’imputabilité personnelle d’un fait ayant provoqué le dommage et il ne peut y avoir de responsabilité du fait d’autrui. Aussi, en l’absence d’imputation personnelle du fait ayant provoqué le dommage, chaque acteur bénéficie d’une exonération de responsabilité à condition d’en rapporter la preuve en vertu de l’article 82 3. du RGPD.

19En outre, le sous-traitant et le responsable de traitement peuvent être solidairement responsables de l’indemnisation du préjudice subi par les personnes concernées : dans ce cas, chacun peut être tenu de réparer la totalité du dommage à la victime, et peut ensuite réclamer aux autres responsables la part de réparation correspondant à leur part de responsabilité dans le dommage (art. 82 4 et 5 du RGPD). Cette responsabilité solidaire permet de garantir à la victime une réparation effective.

  • 25 F.-L. Simon et A. Bounedjoum, « RGPD : quelles nouvelles règles en matière de responsabilité et qu (...)

20Les sanctions encourues par le sous-traitant sont identiques à celles du responsable de traitement lorsqu’il aura agi en dehors des instructions licites du client, ou contrairement à ses instructions ou en méconnaissant l’une des obligations spéciales imposées aux sous-traitants. Ce serait par exemple le cas en l’absence de désignation d’un délégué à la protection des données ou encore en l’absence de tenue du registre des catégories d’activités de traitement lorsque cela est obligatoire. Au titre de sa responsabilité, le sous-traitant peut donc être tenu pour responsable du dommage causé et faire l’objet de sanctions administratives importantes pouvant s’élever, selon la catégorie de l’infraction, jusqu’à 10 ou 20 millions d’euros, ou, dans le cas d’une entreprise, jusqu’à 2% ou 4% du chiffre d’affaires annuel mondial de l’exercice précédent25.

21Le nouveau régime de responsabilité propre du sous-traitant est protecteur des victimes qui peuvent agir à l’encontre du sous-traitant qui ne respecte pas son rôle déterminé par le RGPD et le contrat. À défaut, renforçant encore la protection des personnes, la qualité de sous-traitant peut être écartée au profit de celle de responsable de traitement lorsque sa mission dépasse la mise en œuvre des instructions du responsable de traitement.

B. Le risque d’une requalification en responsable de traitement

22La notion de sous-traitance retenue par le RGPD est étroitement délimitée, ce qui crée des incertitudes concernant la qualification juridique : dans de nombreuses situations, le régime de la sous-traitance apparait trop étriqué pour qualifier la situation dans laquelle le sous-traitant excède ce rôle de simple exécutant qui agit sur les instructions du responsable de traitement.

  • 26 Sur les rapports de force variables en présence par exemple d’un prestataire informatique opérant (...)
  • 27 F. Mattatia, « Sous-traitance et responsabilité des manquements à la sécurité des données personne (...)

23La distinction entre responsable de traitement et sous-traitant devient de plus en plus malaisée. Si le sous-traitant dépasse le rôle qui lui a été assigné par contrat, une requalification est possible en responsable de traitement avec responsabilité conjointe. Cette situation est fréquente en pratique, notamment lorsque la relation entre le donneur d’ordre et le sous-traitant est déséquilibrée : le sous-traitant peut être en position de force en raison de l’émergence de prestataires numériques puissants qui proposent des offres standardisées26. Dans ce cas, les responsables de traitement ne peuvent pas imposer à leurs sous-traitants les prescriptions du RGPD. Si le responsable de traitement ne peut négocier avec le sous-traitant et lui imposer ses instructions, ce dernier peut se voir attribuer la qualité de responsable de traitement. Ce fait d’évidence a été reconnu tant par le G29 que par la CNIL. Dans de telles situations la responsabilité conjointe peut concerner des acteurs que l’on aurait jusque-là qualifié de sous-traitants27.

24Avant le RGPD, l’hypothèse était déjà visée par la directive 95/46/CE mais elle fut peu retenue. Toutefois, la question s’est depuis posée avec de plus en plus d’acuité et les CNILS européennes se sont interrogées sur cette répartition des responsabilités entre clients et sous-traitants. Dans son avis 1/2010, le G29 rappelle que le responsable de traitement peut agir seul ou conjointement avec d’autres, et qu’il peut y avoir, pour un même traitement, plusieurs coresponsables décidant conjointement de la finalité du traitement et des moyens à mettre en œuvre pour l’effectuer. Dans ce cas, chaque coresponsable est tenu responsable du respect des obligations en matière de protection des données personnelles.

  • 28 Art. 26 du RGPD ; les personnes concernées peuvent exercer leurs droits indifféremment auprès de l (...)
  • 29 Les décisions de la CJUE caractérisent cette responsabilité sur le fondement d’un rôle assez éloig (...)
  • 30 Dans l’affaire sur le bouton « J’aime » de Facebook, l’avocat général critique l’acception trop la (...)
  • 31 https://edps.europa.eu/edps-homepage_fr.

25Le RGPD consacre expressément la co-responsabilité des acteurs et impose désormais aux responsables conjoints d’un traitement de conclure un accord définissant leurs obligations et précisant leurs rôles respectifs28. Cette qualification connait un développement considérable dans les dernières décisions de la CJUE29 : pour retenir la co-responsabilité, la CJUE se réfère à la définition du responsable de traitement de manière extrêmement large30. Lorsque ce régime de la responsabilité conjointe n’est pas adopté ab initio par les parties, le risque de requalification est source de complexité juridique. La consécration du sous-traitant par le RGPD répond à un but louable de responsabilisation des acteurs afin de garantir un niveau élevé de protection de droits fondamentaux des personnes physiques. La sous-traitance apparait donc comme le gage d’une meilleure protection juridique de la personne en lui conférant plusieurs interlocuteurs possibles en cas de non-respect de la protection de ses données. Toutefois, le nouveau visage très précis du sous-traitant tend à rendre ce régime accessoire et crée des incertitudes concernant une éventuelle requalification du sous-traitant en responsable de traitement : le régime de la co-traitance pourrait s’avérer plus adapté pour régir certaines situations de prestations externalisées de traitement de données. À ce titre, le Comité Européen pour la Protection des données envisage une mise à jour de l’avis du G29 sur les notions de responsables de traitement et de sous-traitants31 démontrant, s’il en était besoin, que les qualifications actuelles ont encore besoin d’être clarifiées par les autorités de contrôle et par les juges.

Notes

1 Sur ces aspects de la sous-traitance, v. dans cet ouvrage : E. Cordelier, « Les contours de la sous-traitance », p. 17.

2 Retenant plutôt la qualification de sous-contrat : M. Guillemain, « La sous-traitance en droit des données personnelles », RLDI 1er octobre 2018, n° 152.

3 Ainsi, l’action directe en paiement prévue par l’article 6 de la loi n° 75-1334 du 31 décembre 1975 relative à la sous-traitance est écartée faute pour la personne concernée de payer le responsable de traitement dans le premier contrat ; aucun agrément du sous-traitant n’est d’ailleurs prévu par le RGPD et l’identité du prestataire n’est pas portée à la connaissance des personnes concernées.

4 Considérant 13 du RGPD.

5 En rupture totale avec le droit antérieur, ces dispositions prévues aux articles 28, 30.2, et 37 du RGPD ont été adoptées par l’article 12 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, et modifient l’article 35 de la LIL.

6 Considérant 81 du RGPD.

7 Avis 1/2010 adopté le 16 février 2010.

8 Art. 28, 10. du RGPD.

9 S’il n’a pas l’obligation d’en désigner un, le sous-traitant peut aussi désigner de manière facultative un délégué à la protection des données qui doit être différent de celui du responsable de traitement afin de garantir le respect de leurs obligations respectives.

10 Art. 31 du RGPD.

11 Art. 28 1. du RGPD.

12 Évoquant les difficultés de la sous-traitance de second rang : G29, Avis 05/2012 sur l’informatique en nuage, 1er avril 2012, art. 3.3.2, https://cnpd.public.lu/dam-assets/fr/publications/groupe-art29/wp196_fr.pdf

13 Art. 28 4. du RGPD.

14 Art. 33 2. du RGPD.

15 Art. 32 à 36 du RGPD.

16 Art. 28 3. g) du RGPD.

17 Art. 28, 3. h) du RGPD.

18 Art. 28 5. du RGPD.

19 Selon l’article 35 de la LIL, « (…) la société qui recourt à un sous-traitant n’en demeure pas moins l’unique responsable de traitement » : CNIL, délib. n° 2013-091 du 11 avril 2013.

20 Cette action récursoire à l’encontre du sous-traitant ne permettrait pas de réparer pleinement l’atteinte à l’image subi par l’entreprise condamnée par les sanctions souvent médiatisées de la CNIL : A. Banck, « GDPR et sous-traitance : un nouveau devoir de conseil ? », D. IP/IT 2017, p. 36.

21 A. Danis-Fantôme, « Protection des données. Quelles actions judiciaires en cas de violation du RGPD ? », CCE avril 2018, n° 4, dossier 18.

22 Évoquant à ce titre une anomalie de l’ancien dispositif tempérée par le RGPD : N. Lenoir, « Protection des données personnelles et responsabilités plurielles », JCP G n° 41, 8 octobre 2018, doctr. 1059.

23 CNIL, Délib. n° 2014-298, 7 août 2014.

24 CE, 30 décembre 2015, n° 385019 ; v. encore, adoptant la même formule : CE, 11 mars 2015, n° 368748.

25 F.-L. Simon et A. Bounedjoum, « RGPD : quelles nouvelles règles en matière de responsabilité et quels impacts sur les contrats », AJ Contrat 2018, p. 172.

26 Sur les rapports de force variables en présence par exemple d’un prestataire informatique opérant à l’échelle mondiale : M. Griguer et A. Aulas, « Les incertitudes liées à la création du nouveau régime de responsabilité directe pour les sous-traitants », Revue internationale de la compliance et de l’éthique des affaires, suppl. JCP Ent. n° 26, 26 juin 2017, p. 19, v. spéc. p. 20.

27 F. Mattatia, « Sous-traitance et responsabilité des manquements à la sécurité des données personnelles », JCP Ent. n° 6, 8 février 2018, act. 102.

28 Art. 26 du RGPD ; les personnes concernées peuvent exercer leurs droits indifféremment auprès de l’un ou l’autre des coresponsables de traitement.

29 Les décisions de la CJUE caractérisent cette responsabilité sur le fondement d’un rôle assez éloigné de la détermination des finalités et des moyens du traitement : ainsi pour l’administrateur d’une fanpage sur Facebook (CJUE 5 juin 2018, aff. C-210/16), ou encore pour la communauté des Témoins de Jéhovah (CJUE 10 juillet 2018, aff. C-25/17).

30 Dans l’affaire sur le bouton « J’aime » de Facebook, l’avocat général critique l’acception trop large du la responsabilité conjointe en préconisant une approche réaliste du pouvoir exercé sur le traitement : CJUE 19 décembre 2018, aff. C-40/17.

31 https://edps.europa.eu/edps-homepage_fr.

© Presses de l’Université Toulouse 1 Capitole, 2019

Conditions d’utilisation : http://www.openedition.org/6540

Rechercher dans OpenEdition Search

Vous allez être redirigé vers OpenEdition Search