Lorsqu’une donnée à caractère personnel est collectée, elle ne reste presque jamais cantonnée à celui qui l’a recueillie : elle circule, elle est transmise, elle est consultée par d’autres. Encore faut-il savoir qui, juridiquement, est en droit d’en recevoir communication. C’est tout l’enjeu de la notion de destinataire du traitement — une catégorie que le droit de la protection des données isole soigneusement, tant du responsable du traitement que de la personne concernée.
La question n’est pas théorique. Identifier le destinataire, c’est délimiter le périmètre licite de la diffusion des données ; c’est aussi déterminer quelles personnes disposent d’un droit d’accès à l’information collectée. Le droit français, à l’article 3 de la loi informatique et libertés, et le droit de l’Union, à l’article 4 du RGPD, retiennent chacun une définition propre — convergentes dans l’esprit, mais distinctes dans leur formulation, ce qui justifie de les examiner séparément.
Reste enfin une zone de frontière : certaines personnes reçoivent communication de données sans pour autant accéder à la qualité de destinataire. Tel est le cas, par exception, des autorités légalement habilitées agissant dans le cadre d’une mission particulière. Cet article reprend successivement ces différents fils.
I) La notion de destinataire : une catégorie autonome
Le destinataire se définit avant tout par exclusion : il est celui qui reçoit communication des données sans appartenir aux acteurs déjà identifiés de la chaîne de traitement. Ni le responsable du traitement — qui détermine les finalités et les moyens —, ni le sous-traitant — qui agit pour son compte —, ni, naturellement, la personne concernée elle-même, ne sont des destinataires au sens technique du terme.
Le destinataire du traitement est toute personne habilitée à recevoir communication de données à caractère personnel, autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter ces données.
La précision « en raison de leurs fonctions, sont chargées de traiter les données » mérite attention : l’employé qui manipule un fichier dans l’exercice de ses missions n’est pas un destinataire — il est un rouage interne du traitement. Le destinataire suppose au contraire une communication vers une personne extérieure à l’opération de traitement proprement dite. Distinguer pour mieux régir : la qualification commande le régime applicable, notamment l’étendue des informations dues à la personne concernée.
A) La définition française — article 3 de la loi informatique et libertés
L’article 3 de la loi informatique et libertés prévoit que « le destinataire d’un traitement de données à caractère personnel est toute personne habilitée à recevoir communication de ces données autre que la personne concernée, le responsable du traitement, le sous-traitant et les personnes qui, en raison de leurs fonctions, sont chargées de traiter les données. »
La formulation française met l’accent sur l’habilitation : est destinataire celui qui est juridiquement autorisé à recevoir les données. Cette approche fonctionnelle écarte les intervenants internes au traitement pour ne retenir que le tiers réceptionnaire dûment habilité.
B) La définition européenne — article 4 du RGPD
De son côté, le RGPD définit, en son article 4, le destinataire du traitement comme « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel, qu’il s’agisse ou non d’un tiers. »
La définition européenne est, sur un point, plus large : elle inclut le destinataire « qu’il s’agisse ou non d’un tiers ». Autrement dit, la qualité de destinataire ne se confond pas avec celle de tiers — un service interne distinct peut recevoir communication de données et endosser, à ce titre, la qualité de destinataire. Le texte de l’Union raisonne donc en termes de réception effective de la communication, là où la loi française insiste sur l’habilitation préalable.
Une compagnie d’assurance (responsable du traitement) confie la gestion de sa relation client à un prestataire informatique (sous-traitant). Lorsqu’elle transmet le dossier d’un assuré à un expert mandaté pour évaluer un sinistre, cet expert — extérieur à l’opération de traitement et habilité à recevoir les données — est un destinataire. En revanche, le gestionnaire de sinistres salarié de la compagnie, qui traite le même dossier dans l’exercice de ses fonctions, n’en est pas un.
C) L'enjeu : identifier qui peut accéder aux données
L’identification du destinataire du traitement permet de déterminer quelles sont les personnes qui disposent du droit d’accéder aux informations collectées et traitées. La notion n’est donc pas un simple repère descriptif : elle commande l’effectivité des droits. La personne concernée doit en effet pouvoir savoir à qui ses données sont — ou seront — communiquées, condition d’un consentement éclairé et d’un contrôle réel sur la circulation de l’information.
C’est pourquoi la liste, ou les catégories, de destinataires figurent parmi les mentions d’information dues lors de la collecte : sans cette transparence, le droit d’accès se viderait de sa substance. Identifier le destinataire, c’est rendre la diffusion des données traçable.
D) L'exception : les autorités légalement habilitées
Par exception, la loi informatique et libertés prévoit que « les autorités légalement habilitées, dans le cadre d’une mission particulière ou de l’exercice d’un droit de communication, à demander au responsable du traitement de leur communiquer des données à caractère personnel ne constituent pas des destinataires ».
La logique de cette exclusion est cohérente avec l’économie du dispositif. Lorsqu’une autorité — administration fiscale, autorité judiciaire, organisme de contrôle — sollicite la communication de données dans l’exercice d’un pouvoir que la loi lui confère, elle n’agit pas en tant que tiers réceptionnaire ordinaire : elle exerce une prérogative de puissance publique encadrée. La lui assimiler à un destinataire de droit commun reviendrait à fausser la portée de l’information due à la personne concernée. Cette dérogation préserve ainsi l’efficacité des missions légales sans dénaturer la notion de destinataire, qui reste réservée aux personnes recevant communication des données hors exercice d’un tel droit de communication.
