RGPD: La sous-traitance (notion, conditions, obligations)

Le traitement des données à caractère personnel n’est que rarement le fait d’un acteur unique. La réalité économique commande au contraire que le responsable d’un fichier confie tout ou partie des opérations qu’il commande à des prestataires extérieurs — hébergeurs, éditeurs de logiciels en mode locatif, gestionnaires de paie, plateformes d’envoi de courriels, centres d’appels ou prestataires d’archivage. C’est cette externalisation des opérations matérielles de traitement, exécutées pour le compte d’autrui et sous son autorité, que le droit de la protection des données appréhende sous le vocable de sous-traitance. Loin d’être une simple modalité d’organisation, elle soulève une question juridique cardinale : celle de la répartition des responsabilités entre celui qui décide du traitement et celui qui l’exécute.

La question de la sous-traitance des traitements de données à caractère personnel a été introduite à l’article 35 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés lors de la transposition de la directive 95/46/CE du 24 octobre 1995 par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel.

L’évolution du régime s’ordonne, à grands traits, autour de trois jalons successifs : un encadrement minimal d’abord pensé comme un simple prolongement des obligations du responsable du traitement (loi de 1978 modifiée) ; puis une responsabilisation directe et autonome du sous-traitant, érigé en débiteur d’obligations propres (règlement de 2016). Saisir cette mutation suppose d’examiner tour à tour l’économie de la loi informatique et libertés, puis le bouleversement opéré par le règlement général sur la protection des données.

I) La loi informatique et libertés

L’article 35 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prévoyait que les données personnelles ne peuvent faire l’objet d’un traitement par un sous-traitant que « sur instruction du responsable du traitement ».

Cette exigence d’instruction n’est pas une simple précaution rédactionnelle : elle traduit la nature même de la sous-traitance, qui n’est pensée, dans l’économie initiale de la loi, que comme une délégation matérielle des opérations de traitement. Le sous-traitant n’a pas la maîtrise des finalités ; il prête son concours technique à un dessein qui demeure celui du donneur d’ordre. Dès lors, sa marge de manœuvre est circonscrite par les directives reçues, et tout traitement opéré en dehors de ce cadre est dépourvu de fondement.

Plusieurs garanties étaient prévues pour encadrer ces opérations :

• Le sous-traitant doit présenter des « garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité » ;
• Le contrat entre le sous-traitant et le responsable du traitement doit indiquer les obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et que celui-ci ne peut agir que sur instruction du responsable du traitement ;
• En tout état de cause, les garanties offertes par le sous-traitant ne déchargent pas le responsable du traitement de son obligation de veiller au respect de ces mesures.

Cette dernière règle est décisive et mérite d’être pleinement mesurée. Sous l’empire de la loi de 1978, le sous-traitant n’est pas, à proprement parler, débiteur d’obligations propres à l’égard de la personne concernée : il est l’exécutant d’un traitement dont la charge juridique repose tout entière sur le responsable. La sécurité et la confidentialité des données sont contractuellement reportées sur le prestataire, mais cette stipulation produit ses effets dans le seul rapport entre les parties au contrat ; elle ne saurait opérer un transfert de responsabilité vis-à-vis des tiers. Autrement dit, le recours à un sous-traitant, fût-il diligemment choisi, ne libère pas le responsable du traitement de son obligation de surveillance — il en redouble au contraire l’exigence, en lui imposant de veiller au respect effectif des garanties promises.

II) Le RGPD

Le règlement 2016/679 du 27 avril 2016 a eu pour conséquence d’étendre le champ des obligations applicables aux sous-traitants.

Le changement de paradigme est considérable. Là où la loi de 1978 confinait le sous-traitant dans un rôle d’exécutant juridiquement transparent, le règlement en fait un acteur responsabilisé, directement soumis à un faisceau d’obligations dont il répond pour son propre compte et dont la méconnaissance l’expose, en son nom, aux sanctions de l’autorité de contrôle. Cette évolution procède du principe de responsabilisation — l’accountability — qui irrigue l’ensemble du règlement : il ne suffit plus de se conformer aux règles, encore faut-il être en mesure de démontrer, à tout instant, que l’on s’y conforme.

Son chapitre IV fixe un ensemble d’obligations aussi bien aux responsables de traitements qu’aux sous-traitants susceptibles d’intervenir dans les opérations de traitement :

• La mise en œuvre de mesures techniques et organisationnelles appropriées de nature à démontrer que le traitement respecte le règlement et la protection des droits de la personne concernée, par exemple à travers l’application d’un code de conduite ou d’un mécanisme de certification approuvés (articles 24 et 28) ;
• La tenue d’un registre des activités de traitement effectuées, selon le cas, sous leur responsabilité ou pour le compte du responsable du traitement (87) (article 30) ;
• La coopération avec l’autorité de contrôle (article 31) ;
• La mise en œuvre de mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque (88), par exemple à travers l’application d’un code de conduite ou d’un mécanisme de certification approuvés (article 32) ;
• La notification, selon le cas, à l’autorité de contrôle ou au responsable de traitement de toute violation de données à caractère personnel (article 33) ;
• La désignation d’un délégué à la protection des données dès lors que le sous-traitant entre dans le champ des organismes pour lesquels cette désignation est obligatoire (article 37).

La lecture de cette énumération révèle la logique d’ensemble du règlement : la plupart de ces obligations — registre, coopération, sécurité, notification, délégué à la protection des données — pèsent désormais directement sur le sous-traitant, et non plus seulement, par ricochet contractuel, sur le responsable du traitement. Le prestataire cesse d’être un tiers juridiquement effacé pour devenir un débiteur autonome, dont la conformité s’apprécie en propre.

L’article 28 prévoit des obligations spécifiques pour les sous-traitants :

• En premier lieu, il s’agit de l’obligation de recueillir l’autorisation écrite préalable du responsable du traitement pour le recrutement d’un autre sous-traitant.
• En second lieu, le contrat liant le responsable du traitement au sous-traitant doit comporter un certain nombre de garanties.

La première de ces obligations encadre la sous-traitance dite « ultérieure » — l’hypothèse, fréquente en pratique, où le sous-traitant fait lui-même appel à un autre prestataire pour exécuter certaines des opérations qui lui ont été confiées. Le règlement n’interdit pas cette chaîne de sous-traitance, mais il en soumet la constitution à l’autorisation, générale ou spécifique, du responsable du traitement, et impose au sous-traitant initial de faire peser sur le sous-traitant ultérieur les mêmes obligations que celles auxquelles il est lui-même tenu. La protection des données suit ainsi le flux jusqu’au dernier maillon de la chaîne.

Quant à la seconde, elle confère au contrat de sous-traitance une fonction normative inédite : l’acte qui lie les parties doit non seulement définir l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, mais encore stipuler une série de garanties impératives — traitement sur instructions documentées du responsable, engagement de confidentialité des personnes habilitées, mesures de sécurité de l’article 32, conditions du recours à un sous-traitant ultérieur, assistance du responsable dans l’exercice des droits des personnes concernées et dans le respect de ses propres obligations, sort des données au terme de la prestation (restitution ou suppression), et mise à disposition des éléments nécessaires aux audits. Le contrat n’est plus un simple instrument de répartition économique : il devient le réceptacle obligatoire des garanties dues à la personne concernée.

Afin, de savoir si un opérateur qui manipule des données à caractère personnel est soumis à ces obligations, il convient de déterminer s’il endosse le statut de responsable du traitement ou de sous-traitant.

L’enjeu de cette qualification est considérable : de la nature du statut dépend l’étendue des obligations, la titularité des responsabilités et, en définitive, l’identité de la personne à laquelle la personne concernée pourra s’adresser et l’autorité de contrôle infliger ses sanctions. C’est donc par la définition rigoureuse de chacune de ces deux notions qu’il faut commencer.

III) Définitions

A) La notion de responsable du traitement

Selon le groupe de l’article 29 la notion de responsable du traitement des données et son interaction avec la notion de sous-traitant des données jouent un rôle central dans l’application du RGPD, car elles déterminent la ou les personnes chargées de faire respecter les règles en matière de protection des données et la manière dont les personnes concernées peuvent exercer leurs droits dans la pratique.

Ainsi, en présence d’un traitement de données à caractère personnel il convient de déterminer le responsable à qui il échoit de respecter les règles de protection des droits et libertés et de supporter d’éventuelles sanctions administratives, civiles voire pénales.

Le rôle premier de la notion de responsable du traitement est donc de déterminer qui est chargé de faire respecter les règles de protection des données, et comment les personnes concernées peuvent exercer leurs droits dans la pratique. En d’autres termes, il s’agit d’attribuer les responsabilités.

Cette fonction d’attribution explique le caractère fonctionnel, et non purement formel, de la notion : la qualité de responsable du traitement ne résulte pas d’une désignation contractuelle ni d’une étiquette que les parties s’attribueraient à leur guise, mais d’une appréciation concrète du rôle effectivement exercé. Est responsable celui qui, en fait, exerce la maîtrise décisionnelle du traitement — quand bien même il n’aurait jamais été officiellement désigné comme tel.

L’article 3 de la loi informatique et libertés définit le responsable du traitement comme « la personne, l’autorité publique, le service ou l’organisme qui détermine ses finalités et ses moyens ».

Dans une approche plus restrictive, la convention 108 désigne le responsable du traitement comme le « «maître du fichier» lequel est « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui est compétent selon la loi nationale, pour décider quelle sera la finalité du fichier automatisé, quelles catégories de données à caractère personnel doivent être enregistrées et quelles opérations leur seront appliquées. »

Cette définition n’a pas été retenue par le RGPD qui prévoit, en son article 4, 7), que le responsable du traitement est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre ».

À l’examen, la définition du responsable du traitement énoncée dans la directive s’articule, selon le G29, autour de trois composantes principales :

• L’aspect individuel: « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme »
• La possibilité d’une responsabilité pluraliste: « qui seul ou conjointement avec d’autres »
• Les éléments essentiels qui permettent de distinguer le responsable du traitement des autres acteurs: « détermine les finalités et les moyens du traitement de données à caractère personnel »

De ces trois composantes, la dernière est la plus décisive, car c’est elle qui livre le critère de qualification : est responsable celui qui détermine les finalités (le « pourquoi » du traitement) et les moyens (le « comment »). La détermination des finalités emporte à elle seule la qualité de responsable ; quant aux moyens, le règlement n’exige pas qu’ils soient tous arrêtés par le responsable, mais seulement leurs éléments essentiels — la marge laissée au prestataire sur les modalités purement techniques et organisationnelles n’étant pas de nature à lui conférer la qualité de responsable. C’est précisément en ce point que se loge la ligne de partage avec le sous-traitant, lequel se borne à exécuter des moyens au service d’une finalité qu’il n’a pas fixée.

Afin de déterminer la ou les personnes responsables d’un traitement de données à caractère personne, il convient de se reporter à la méthodologie élaborée par le G29 dans son avis 1/2010 sur les notions de «responsable du traitement» et de «sous-traitant».

1. 1) L’aspect personnel

Le premier élément de la définition a trait à l’aspect personnel: qui peut être responsable du traitement, et donc considéré comme responsable en dernier ressort des obligations découlant de la directive.

La définition reproduit exactement le libellé de l’article 2 de la convention 108 et n’a fait l’objet d’aucun débat particulier lors du processus d’adoption de la directive. Elle renvoie à un vaste éventail de sujets susceptibles de jouer le rôle de responsable du traitement, de la personne physique à la personne morale, en passant par «tout autre organisme».

Il importe que l’interprétation de ce point garantisse la bonne application de la directive, en favorisant autant que possible une identification claire et univoque du responsable du traitement en toutes circonstances, même si aucune désignation officielle n’a été faite et rendue publique.

Il convient avant tout de s’écarter le moins possible de la pratique établie dans les secteurs public et privé par d’autres domaines du droit, tels que le droit civil, le droit administratif et le droit pénal.

Dans la plupart des cas, ces dispositions indiqueront à quelles personnes ou à quels organismes les responsabilités doivent être attribuées et permettront, en principe, d’identifier le responsable du traitement.

a) Principe : le responsable du traitement est une personne morale

Dans la perspective stratégique d’attribution des responsabilités, et afin que les personnes concernées puissent s’adresser à une entité plus stable et plus fiable lorsqu’elles exercent les droits qui leur sont conférés par la directive, il est préférable de considérer comme responsable du traitement la société ou l’organisme en tant que tel, plutôt qu’une personne en son sein.

C’est en effet la société ou l’organisme qu’il convient de considérer, en premier ressort, comme responsable du traitement des données et des obligations énoncées par la législation relative à la protection des données, à moins que certains éléments précis n’indiquent qu’une personne physique doive être responsable.

D’une manière générale, on partira du principe qu’une société ou un organisme public est responsable en tant que tel des opérations de traitement qui se déroulent dans son domaine d’activité et de risques.

Parfois, les sociétés et les organismes publics désignent une personne précise pour être responsable de l’exécution des opérations de traitement.

Cependant, même lorsqu’une personne physique est désignée pour veiller au respect des principes de protection des données ou pour traiter des données à caractère personnel, elle n’est pas responsable du traitement mais agit pour le compte de la personne morale (société ou organisme public), qui demeure responsable en cas de violation des principes, en sa qualité de responsable du traitement.

Le partage est ici net : la personne physique qui œuvre au sein de la structure n’est qu’un organe ou un préposé, dont les actes s’imputent à la personne morale pour le compte de laquelle elle agit. Le délégué à la protection des données, le responsable informatique ou le dirigeant qui supervise le traitement ne deviennent pas, de ce seul fait, responsables du traitement : ils participent à l’exécution d’une mission qui demeure celle de l’entité juridique. C’est cette dernière qui répond, au plan civil comme administratif, des manquements commis dans son champ d’activité.

b) Exception : le responsable du traitement peut être une personne physique

Une analyse distincte s’impose dans le cas où une personne physique agissant au sein d’une personne morale utilise des données à des fins personnelles, en dehors du cadre et de l’éventuel contrôle des activités de la personne morale.

Dans ce cas, la personne physique en cause serait responsable du traitement décidé, et assumerait la responsabilité de cette utilisation de données à caractère personnel. Le responsable du traitement initial pourrait néanmoins conserver une certaine part de responsabilité si le nouveau traitement a eu lieu du fait d’une insuffisance des mesures de sécurité.

Le critère de la bascule réside dans la rupture du lien d’imputation : tant que la personne physique agit dans le cadre et sous le contrôle de la personne morale, ses actes s’imputent à celle-ci ; dès lors qu’elle détourne les données à des fins propres, échappant à toute supervision, elle agit pour son propre compte et devient elle-même responsable du traitement ainsi opéré. La part de responsabilité résiduelle laissée au responsable initial illustre, quant à elle, le caractère non exclusif de la responsabilité : un défaut de sécurité ayant rendu possible le détournement peut engager celui qui aurait dû le prévenir, sans pour autant exonérer l’auteur du traitement illicite.

Ainsi, le rôle du responsable du traitement est décisif et revêt une importance particulière lorsqu’il s’agit de déterminer les responsabilités et d’infliger des sanctions.

Même si celles-ci varient d’un État membre à l’autre parce qu’elles sont imposées selon les droits nationaux, la nécessité d’identifier clairement la personne physique ou morale responsable des infractions à la législation sur la protection des données est sans nul doute un préalable indispensable à la bonne application de la loi informatique et libertés.

2) La possibilité d’une personne pluraliste

La possibilité que le responsable du traitement agisse «seul ou conjointement avec d’autres» n’avait pas été prévue initialement par les textes.

Ainsi, n’était-il pas envisagé le cas où tous les responsables du traitement décident de façon égale et sont responsables de façon égale d’un même traitement.

Pourtant, la réalité montre qu’il ne s’agit là que d’une des facettes de la «responsabilité pluraliste». Dans cette optique, «conjointement» doit être interprété comme signifiant «ensemble avec» ou «pas seul», sous différentes formes et associations.

Il convient tout d’abord de noter que la probabilité de voir de multiples acteurs participer au traitement de données à caractère personnel est naturellement liée à la multiplicité des activités qui, selon la loi, peuvent constituer un «traitement» devenant, au final, l’objet de la «coresponsabilité».

La définition du traitement énoncée à l’article 2 de la loi informatique et libertés n’exclut pas la possibilité que différents acteurs participent à plusieurs opérations ou ensembles d’opérations appliquées à des données à caractère personnel.

Ces opérations peuvent se dérouler simultanément ou en différentes étapes.

Dans un environnement aussi complexe, il importe d’autant plus que les rôles et les responsabilités puissent facilement être attribués, pour éviter que les complexités de la coresponsabilité n’aboutissent à un partage des responsabilités impossible à mettre en œuvre, qui compromettrait l’efficacité de la législation sur la protection des données.

Ainsi, une coresponsabilité naît lorsque plusieurs parties déterminent, pour certaines opérations de traitement :

• soit la finalité
• soit les éléments essentiels des moyens qui caractérisent un responsable du traitement

Il faut prendre garde, ici, à ne pas confondre la coresponsabilité avec la sous-traitance. Dans la sous-traitance, les rôles sont hiérarchisés : l’un commande la finalité, l’autre l’exécute. Dans la coresponsabilité, en revanche, les rôles sont coordonnés : plusieurs acteurs concourent ensemble à la détermination de la finalité ou des moyens essentiels, sur un pied de participation, fût-elle inégale. Le critère de distinction demeure constant — la maîtrise des finalités et des moyens essentiels — mais il est, dans un cas, exclusivement détenu par une partie et, dans l’autre, partagé entre plusieurs.

Cependant, dans le cadre d’une coresponsabilité, la participation des parties à la détermination conjointe peut revêtir différentes formes et n’est pas nécessairement partagée de façon égale.

En effet, lorsqu’il y a pluralité d’acteurs, ils peuvent entretenir une relation très proche (en partageant, par exemple, l’ensemble des finalités et des moyens d’une opération de traitement) ou, au contraire, plus distante (en ne partageant que les finalités ou les moyens, ou une partie de ceux-ci).

Dès lors, un large éventail de typologies de la coresponsabilité doit être examiné, et leurs conséquences juridiques évaluées, avec une certaine souplesse pour tenir compte de la complexité croissante de la réalité actuelle du traitement de données.

Par exemple, le simple fait que différentes parties coopèrent dans le traitement de données à caractère personnel, par exemple dans une chaîne, ne signifie pas qu’elles sont coresponsables dans tous les cas. En effet, un échange de données entre deux parties, sans partage des finalités ou des moyens dans un ensemble commun d’opérations, doit être considéré uniquement comme un transfert de données entre des responsables distincts.

L’appréciation peut toutefois être différente si plusieurs acteurs décident de créer une infrastructure commune afin de poursuivre leurs propres finalités individuelles. En créant cette infrastructure, ces acteurs déterminent les éléments essentiels des moyens à utiliser et deviennent coresponsables du traitement des données, du moins dans cette mesure, même s’ils ne partagent pas nécessairement les mêmes finalités.

À cet égard, l’article 26 du RGPD prévoit que :

• D’une part, lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement. Les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d’assurer le respect des exigences du présent règlement, notamment en ce qui concerne l’exercice des droits de la personne concernée, et leurs obligations respectives quant à la communication des informations visées aux articles 13 et 14, par voie d’accord entre eux, sauf si, et dans la mesure, où leurs obligations respectives sont définies par le droit de l’Union ou par le droit de l’État membre auquel les responsables du traitement sont soumis. Un point de contact pour les personnes concernées peut être désigné dans l’accord.
• D’autre part, l’accord visé au paragraphe 1 reflète dûment les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées. Les grandes lignes de l’accord sont mises à la disposition de la personne concernée.
• Enfin, indépendamment des termes de l’accord visé au paragraphe 1, la personne concernée peut exercer les droits que lui confère le présent règlement à l’égard de et contre chacun des responsables du traitement.

La dernière de ces dispositions est capitale : quelle que soit la répartition interne convenue entre les coresponsables, la personne concernée conserve la faculté d’exercer ses droits — et, le cas échéant, de rechercher réparation — à l’encontre de chacun d’eux indifféremment. L’accord de répartition produit ses effets entre les coresponsables ; il demeure inopposable à la personne concernée, qui n’a pas à pâtir de la complexité d’une organisation à laquelle elle est étrangère. La coresponsabilité protège ainsi le titulaire des données en lui offrant une pluralité de débiteurs, sans le contraindre à démêler la part respective de chacun.

3) Les éléments essentiels qui permettent de distinguer le responsable du traitement des autres acteurs

Le responsable du traitement est celui qui « détermine les finalités et les moyens du traitement de données à caractère personnel ».

La définition est volontairement bicéphale. Elle articule, d’une part, un acte de volonté — la détermination — et, d’autre part, un objet sur lequel cette volonté s’exerce — les finalités et les moyens du traitement. Loin d’être un simple ornement rédactionnel, cette structure binaire commande l’ensemble du raisonnement de qualification : pour identifier le responsable, il faut successivement vérifier qui décide, puis vérifier sur quoi porte cette décision. Cette composante comporte ainsi deux éléments qu’il convient d’analyser séparément :

• Détermine
• Les finalités et les moyens du traitement

a) Détermine

La notion de responsable du traitement est une notion fonctionnelle, visant à attribuer les responsabilités aux personnes qui exercent une influence de fait, et elle s’appuie donc sur une analyse factuelle plutôt que formelle.

Le choix d’une qualification fonctionnelle n’est pas neutre. Il signifie que la responsabilité ne se déduit ni d’une étiquette, ni d’un statut, ni de la dénomination retenue par les parties, mais de la réalité du pouvoir décisionnel effectivement exercé. La logique est ici parente de celle qui gouverne, en droit commun, le pouvoir de requalification du juge : contra factum non valet argumentum — aucun argument tiré des qualifications conventionnelles ne saurait prévaloir contre les faits établis. Ce que la définition cherche à saisir, c’est la maîtrise réelle du traitement, indépendamment de l’habillage juridique qui l’entoure.

Par conséquent, un examen long et approfondi sera parfois nécessaire pour déterminer cette responsabilité. L’impératif d’efficacité impose cependant d’adopter une approche pragmatique pour assurer une prévisibilité de la responsabilité.

À cet égard, des règles empiriques et des présomptions concrètes sont nécessaires pour guider et simplifier l’application de la législation en matière de protection des données. Il s’agit de concilier deux exigences en tension : la fidélité aux faits, qui appelle une analyse circonstanciée, et la sécurité juridique, qui réclame des repères stables et reproductibles. La présomption joue ici un rôle d’économie probatoire : elle dispense d’une investigation systématique lorsque les indices habituels d’influence sont réunis, sauf à rapporter la preuve contraire.

Ceci implique une interprétation de la directive garantissant que «l’organisme qui détermine» puisse être facilement et clairement identifié dans la plupart des cas, en s’appuyant sur les éléments de droit et/ou de fait à partir desquels l’on peut normalement déduire une influence de fait, en l’absence d’indices contraires.

Ces contextes peuvent être analysés et classés selon les trois catégories de situations suivantes, qui permettent d’aborder ces questions de façon systématique. Elles se distinguent par la source du pouvoir de déterminer : tantôt la loi le confère expressément, tantôt elle l’implique, tantôt il ne résulte que de l’analyse des faits.

i) Responsabilité découlant d’une compétence explicitement donnée par la loi

Il s’agit notamment du cas visé dans la seconde partie de la définition, à savoir lorsque le responsable du traitement ou les critères spécifiques pour le désigner sont fixés par le droit national ou communautaire.

La désignation explicite du responsable du traitement par le droit n’est pas courante et ne présente généralement pas de grandes difficultés. Dans certains pays, le droit national prévoit que les pouvoirs publics assument la responsabilité du traitement des données à caractère personnel effectué dans le cadre de leurs fonctions.

Il est cependant plus fréquent que la législation, plutôt que de désigner directement le responsable du traitement ou de fixer les critères de sa désignation, charge une personne, ou lui impose, de collecter et traiter certaines données.

Cela pourrait être le cas d’une entité qui se voit confier certaines missions publiques (par exemple, la sécurité sociale) ne pouvant être réalisées sans collecter au moins quelques données à caractère personnel, et qui crée un registre afin de s’en acquitter.

Dans ce cas, c’est donc le droit qui détermine le responsable du traitement. De façon plus générale, la loi peut obliger des entités publiques ou privées à conserver ou fournir certaines données. Ces entités seraient alors normalement considérées comme responsables de tout traitement de données à caractère personnel intervenant dans ce cadre.

ii) Responsabilité découlant d'une compétence implicite

Il s’agit du cas où le pouvoir de déterminer n’est pas explicitement prévu par le droit, ni la conséquence directe de dispositions juridiques explicites, mais découle malgré tout de règles juridiques générales ou d’une pratique juridique établie relevant de différentes matières (droit civil, droit commercial, droit du travail, etc.).

Dans ce cas, les rôles traditionnels qui impliquent normalement une certaine responsabilité permettront d’identifier le responsable du traitement: par exemple, l’employeur pour les informations sur ses salariés, l’éditeur pour les informations sur ses abonnés, l’association pour les informations sur ses membres ou adhérents.

Dans tous ces exemples, le pouvoir de déterminer les activités de traitement peut être considéré comme naturellement lié au rôle fonctionnel d’une organisation (privée), entraînant au final également des responsabilités en matière de protection des données. La logique est ici celle de l’accessoire qui suit le principal — accessorium sequitur principale : la maîtrise des données n’est que le prolongement nécessaire d’une fonction préexistante, de sorte que celui qui assume cette fonction assume du même coup la responsabilité du traitement qui en est le corollaire.

Du point de vue juridique, peu importe que le pouvoir de déterminer soit confié aux entités juridiques mentionnées, qu’il soit exercé par les organes appropriés agissant pour leur compte, ou par une personne physique dans le cadre de fonctions similaires.

iii) Responsabilité découlant d’une influence de fait

Il s’agit du cas où la responsabilité du traitement est attribuée après une évaluation des circonstances factuelles. Un examen des relations contractuelles entre les différentes parties concernées sera bien souvent nécessaire.

Cette évaluation permet de tirer des conclusions externes, attribuant le rôle et les obligations de responsable du traitement à une ou plusieurs parties.

Il peut arriver qu’un contrat ne désigne aucun responsable du traitement mais qu’il contienne suffisamment d’éléments pour attribuer cette responsabilité à une personne qui exerce apparemment un rôle prédominant à cet égard. Il se peut également que le contrat soit plus explicite en ce qui concerne le responsable du traitement.

S’il n’y a aucune raison de penser que les clauses contractuelles ne reflètent pas exactement la réalité, rien ne s’oppose à leur application. Les clauses d’un contrat ne sont toutefois pas toujours déterminantes, car les parties auraient alors la possibilité d’attribuer la responsabilité à qui elles l’entendent.

Cette réserve mérite d’être pleinement mesurée. Admettre que la seule désignation conventionnelle suffise à fixer la qualité de responsable reviendrait à autoriser les parties à se constituer à elles-mêmes leur propre titre — nemo sibi titulum constituere potest — et à éluder, par un simple jeu de plume, l’ordre public de la protection des données. Le contrat fournit donc un indice, et un indice souvent précieux ; il ne saurait constituer une vérité indiscutable lorsque l’examen des faits révèle une répartition réelle des pouvoirs différente de celle qu’il affiche. La qualification demeure, en dernière analyse, l’œuvre du juge et de l’autorité de contrôle, non celle des contractants.

Le fait même qu’une personne détermine comment les données à caractère personnel sont traitées peut entraîner la qualification de responsable du traitement, même si cette qualification sort du cadre d’une relation contractuelle ou si elle est expressément exclue par un contrat.

b) Les finalités et les moyens du traitement

La détermination des finalités et des moyens revient à établir respectivement le «pourquoi» et le «comment» de certaines activités de traitement.

Dans cette optique, et puisque ces deux éléments sont indissociables, il est nécessaire de donner des indications sur le degré d’influence qu’une entité doit avoir sur le «pourquoi» et le «comment» pour être qualifiée de responsable du traitement.

Lorsqu’il s’agit d’évaluer la détermination des finalités et des moyens en vue d’attribuer le rôle de responsable du traitement, la question centrale qui se pose est donc le degré de précision auquel une personne doit déterminer les finalités et les moyens afin d’être considérée comme un responsable du traitement et, en corollaire, la marge de manœuvre que la directive laisse à un sous-traitant.

Ces définitions prennent tout leur sens lorsque divers acteurs interviennent dans le traitement de données à caractère personnel et qu’il est nécessaire de déterminer lesquels d’entre eux sont responsables du traitement (seuls ou conjointement avec d’autres) et lesquels sont à considérer comme des sous-traitants, le cas échéant.

L’importance à accorder aux finalités ou aux moyens peut varier en fonction du contexte particulier dans lequel intervient le traitement.

Il convient d’adopter une approche pragmatique mettant davantage l’accent sur le pouvoir discrétionnaire de déterminer les finalités et sur la latitude laissée pour prendre des décisions.

Les questions qui se posent alors sont celle du motif du traitement et celle du rôle d’éventuels acteurs liés, tels que les sociétés d’externalisation de services: la société qui a confié ses services à un prestataire extérieur aurait-elle traité les données si le responsable du traitement ne le lui avait pas demandé, et à quelles conditions?

Un sous-traitant pourrait suivre les indications générales données principalement sur les finalités et ne pas entrer dans les détails en ce qui concerne les moyens.

S’agissant de la détermination des «moyens», ce terme comprend de toute évidence des éléments très divers, ce qu’illustre d’ailleurs l’évolution de la définition.

En effet, «moyens» ne désigne pas seulement les moyens techniques de traiter des données à caractère personnel, mais également le «comment» du traitement, qui comprend des questions comme «quelles données seront traitées», «quels sont les tiers qui auront accès à ces données», «à quel moment les données seront-elles effacées», etc.

C’est précisément cette extension de la notion de « moyens » qui rend nécessaire une distinction de premier ordre, sans laquelle la frontière entre responsable et sous-traitant deviendrait insaisissable : la distinction entre les moyens essentiels et les moyens non essentiels.

La détermination des «moyens» englobe donc à la fois des questions techniques et d’organisation, auxquelles les sous-traitants peuvent tout aussi bien répondre (par exemple, «quel matériel informatique ou logiciel utiliser?»), et des aspects essentiels qui sont traditionnellement et intrinsèquement réservés à l’appréciation du responsable du traitement, tels que «quelles sont les données à traiter?», «pendant combien de temps doivent-elles être traitées?», «qui doit y avoir accès», etc.

Dans ce contexte, alors que la détermination de la finalité du traitement emporterait systématiquement la qualification de responsable du traitement, la détermination des moyens impliquerait une responsabilité uniquement lorsqu’elle concerne les éléments essentiels des moyens.

Dans cette optique, il est tout à fait possible que les moyens techniques et d’organisation soient déterminés exclusivement par le sous-traitant des données.

Dans ce cas, lorsque les finalités sont bien définies mais qu’il existe peu, voire aucune indication sur les moyens techniques et d’organisation, les moyens devraient représenter une façon raisonnable d’atteindre la ou les finalités, et le responsable du traitement devrait être parfaitement informé des moyens utilisés.

Si un contractant avait une influence sur la finalité et qu’il procédait au traitement (également) à des fins personnelles, par exemple en utilisant les données à caractère personnel reçues en vue de créer des services à valeur ajoutée, il deviendrait alors responsable du traitement (ou éventuellement coresponsable du traitement) pour une autre activité de traitement et serait donc soumis à toutes les obligations prévues par la législation applicable en matière de protection des données.

B) La notion de sous-traitant

Alors que la notion de sous-traitant n’était pas définie dans la convention 108, elle figure désormais en bonne place dans le RGPD.

L’article 4 de ce texte prévoit que le sous-traitant est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ».

Il importe de ne pas confondre cette acception, propre au droit des données, avec la sous-traitance telle que la connaît le droit commun des contrats — celle de l’entrepreneur qui confie à un tiers l’exécution d’une partie de son marché, régie par la loi du 31 décembre 1975. La parenté terminologique recouvre des régimes distincts : la sous-traitance de marché peut, par exemple, ouvrir au sous-traitant une action en paiement direct contre le maître de l’ouvrage, et engager la responsabilité du banquier cessionnaire qui l’en priverait (Cass. com., 26 mai 2004, n° 02-18.160l'arrêt▾). Rien de tel ici : la sous-traitance au sens du RGPD désigne exclusivement la délégation d’opérations de traitement, et son régime relève entièrement de la logique de la protection des données.

Selon le G29 tout comme la définition du responsable du traitement, celle du sous-traitant envisage un large éventail d’acteurs pour tenir ce rôle («… une personne physique ou morale, une autorité publique, un service ou tout autre organisme …»).

L’existence d’un sous-traitant dépend du responsable du traitement, qui peut décider :

• soit de traiter les données au sein de son organisation, par exemple en habilitant des collaborateurs à traiter les données sous son autorité directe
• soit de déléguer tout ou partie des activités de traitement à une organisation extérieure, comme l’indique l’exposé des motifs de la proposition modifiée de la Commission, par «une personne juridiquement distincte du responsable mais agissant pour son compte»

Par conséquent, les deux conditions fondamentales pour agir en qualité de sous-traitant sont :

• d’une part, d’être une entité juridique distincte du responsable du traitement
• d’autre part, de traiter les données à caractère personnel pour le compte de ce dernier.

L’activité de traitement peut se limiter à une tâche ou un contexte bien précis, ou être plus générale et étendue.

En outre, le rôle de sous-traitant ne découle pas de la nature de l’entité traitant des données mais de ses activités concrètes dans un cadre précis.

En d’autres termes, la même entité peut agir à la fois en qualité de responsable du traitement pour certaines opérations de traitement et en tant que sous-traitant pour d’autres opérations, et la qualification de responsable ou de sous-traitant doit être évaluée au regard d’un ensemble spécifique de données ou d’opérations.

L’aspect le plus important est l’exigence que le sous-traitant agisse «…pour le compte du responsable de traitement…». «Agir pour le compte de» signifie servir les intérêts d’un tiers et renvoie à la notion juridique de délégation.

Cette référence à la délégation n’est pas fortuite : elle inscrit le sous-traitant dans une logique de subordination fonctionnelle dont le droit commun offre de fidèles illustrations. Le préposé qui agit pour le compte de son commettant, dans les limites de la mission qui lui est impartie, n’engage pas sa responsabilité personnelle envers les tiers (Cass. crim., 23 janvier 2001, n° 00-82.826l'arrêt▾) ; symétriquement, le commettant ne s’exonère que si le préposé a agi hors de ses fonctions, sans autorisation et à des fins étrangères à ses attributions (Cass. crim., 28 mai 2013, n° 11-88.009l'arrêt▾). La transposition est éclairante : aussi longtemps que le sous-traitant demeure dans le cadre du mandat reçu, il agit pour le compte d’autrui et n’assume pas la qualité de responsable ; dès qu’il en sort pour poursuivre ses propres fins, il change de nature juridique.

Dans le cas de la législation relative à la protection des données, un sous-traitant est amené à exécuter les instructions données par le responsable du traitement, au moins en ce qui concerne la finalité du traitement et les éléments essentiels des moyens.

Dans cette perspective, la licéité de l’activité de traitement de données du sous-traitant est déterminée par le mandat donné par le responsable du traitement. Un sous-traitant qui outrepasse son mandat et acquiert un rôle important dans la détermination des finalités ou des moyens essentiels du traitement est davantage un (co)responsable qu’un sous-traitant.

A cet égard, l’article 35 de la loi informatique et libertés prévoit que « le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement. »

Ainsi, est-il fait obligation pour le responsable du traitement de définir contractuellement la mission confiée au sous-traitant. Le contrat n’est pas ici une simple formalité : il est l’instrument par lequel se mesure le périmètre du mandat, et donc la ligne de partage entre l’exécution licite et l’outrepassement. Sa précision conditionne tant la sécurité juridique des parties que l’effectivité du contrôle exercé par l’autorité.

IV) Les conditions de recours à la sous-traitance

Deux conditions doivent être remplies pour que le responsable d’un traitement de données à caractère personnel puisse avoir recours à un sous-traitant.

Une condition additionnelle s’ajoute lorsque c’est le sous-traitant qui souhaite sous-traiter tout ou partie de la mission qui lui est confiée.

A) Première condition : la présentation de garanties suffisantes

L’article 28, §1 du RGPD prévoit que lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée.

L’exigence ainsi posée institue, à la charge du responsable, un véritable devoir de sélection diligente. Le choix du sous-traitant n’est pas libre : il est juridiquement encadré par l’obligation de ne retenir qu’un prestataire dont les garanties sont objectivement vérifiables. La formule « uniquement appel » est, à cet égard, dépourvue d’ambiguïté — elle prohibe le recours à un sous-traitant insuffisamment garant, et fait peser sur le responsable la responsabilité du mauvais choix (culpa in eligendo).

Le considérant 81 précise que le responsable du traitement ne doit faire appel qu’à des sous-traitants présentant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources, pour la mise en œuvre de mesures techniques et organisationnelles qui satisferont aux exigences du présent règlement, y compris en matière de sécurité du traitement.

Pratiquement, afin de fournir au responsable du traitement les garanties suffisantes, cela signifie pour le sous-traitant que :

• Dès la conception de ses outils, applications et services ils intègrent de façon effective les principes relatifs à la protection des données
• Par défaut ses outils, applications et services garantissent que seules sont traitées les données nécessaires à la finalité du traitement au regard de la quantité de données collectées, de l’étendue de leur traitement, de la durée de conservation et du nombre de personnes qui y a accès.

Ces deux exigences — la protection des données dès la conception (privacy by design) et la protection des données par défaut (privacy by default) — ne se confondent pas. La première est temporelle : elle commande d’intégrer les garanties en amont, au stade même de l’élaboration de l’outil, et non de les ajouter après coup. La seconde est paramétrique : elle impose que la configuration native du service soit la plus protectrice possible, de sorte que l’inaction de l’utilisateur ne se traduise jamais par une collecte excessive.

Selon la CNIL, la constitution de ces garanties peut, par exemple, impliquer :

• De permettre au responsable du traitement de paramétrer par défaut et a minima la collecte de données et ne pas rendre techniquement obligatoire le renseignement d’un champ facultatif
• De ne collecter que les données strictement nécessaires à la finalité du traitement (minimisation des données) de purger automatiquement et sélectivement les données d’une base active à l’issue d’une certaine durée
• De gérer des habilitations et droits d’accès informatiques « donnée par donnée » ou sur demande des personnes concernées (pour les réseaux sociaux par exemple)

Le §5 de l’article 28 ajoute que l’application, par un sous-traitant, d’un code de conduite approuvé comme le prévoit l’article 40 ou d’un mécanisme de certification approuvé comme le prévoit l’article 42 peut servir d’élément pour démontrer l’existence des garanties suffisantes.

Ces deux instruments — code de conduite et certification — opèrent comme des moyens de preuve facilités. Ils ne valent pas présomption irréfragable de conformité, mais ils allègent la charge probatoire du sous-traitant en attestant, par l’intervention d’un tiers de confiance, du sérieux de ses engagements. Leur valeur est ainsi indiciaire : ils nourrissent l’appréciation des garanties suffisantes sans s’y substituer, le responsable demeurant tenu d’une vérification propre, à proportion de la sensibilité du traitement délégué.

B) Seconde condition : l’établissement d’un contrat de sous-traitance

Le recours à un sous-traitant ne se réduit pas à un simple choix de prestataire : il doit être formalisé. L’article 28, §3 du RGPD subordonne, en effet, ce recours au respect d’une seconde condition, qui consiste en l’établissement d’un contrat de sous-traitance. À la différence du droit antérieur, où l’exigence d’un écrit demeurait elliptique et cantonnée aux mesures de sécurité, le règlement européen érige l’instrumentum en pièce maîtresse du dispositif : il est tout à la fois le siège des obligations du sous-traitant, l’instrument de leur traçabilité et le support de la démonstration de conformité — autrement dit, la traduction contractuelle du principe de responsabilité (accountability) qui irrigue l’ensemble du texte.

L’article 28, §3 prévoit en ce sens que le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement. La formule appelle deux observations. D’une part, l’exigence n’est pas purement formelle : le sous-traitant qui traiterait des données sans cadre contractuel — ou sur le fondement d’un contrat lacunaire — se trouverait en infraction, quand bien même il aurait, dans les faits, scrupuleusement respecté les instructions reçues. D’autre part, le règlement admet qu’un « autre acte juridique » tienne lieu de contrat, ce qui vise principalement l’hypothèse où la relation entre les deux entités procède non d’un accord de volontés librement négocié, mais d’un texte de droit interne — tel un acte réglementaire confiant un traitement à un organisme tiers.

Cette ouverture rappelle, au demeurant, ce qui fait la singularité du contrat de sous-traitance au regard de la théorie générale. Le contrat se définit classiquement comme un accord de volontés entre deux ou plusieurs personnes destiné à créer, modifier, transmettre ou éteindre des obligations — définition que consacre désormais l’article 1101 du Code civil. Espèce de convention, il suppose la rencontre d’au moins deux volontés, fût-ce pour ne faire naître d’obligations qu’à la charge d’une seule des parties. Or, en matière de protection des données, le législateur européen admet qu’un acte unilatéral de droit public puisse produire des effets analogues : c’est dire que l’« acte juridique » visé par l’article 28, §3 déborde la catégorie contractuelle stricto sensu, sans toutefois en altérer la fonction — fixer, de manière opposable, les obligations respectives des parties au traitement.

1) Le contenu obligatoire du contrat

Le règlement ne se contente pas d’imposer un écrit : il en prescrit le contenu minimal. Ce contrat doit ainsi définir l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées. Ces mentions ne relèvent pas de la simple clause de style ; elles délimitent le périmètre exact dans lequel le sous-traitant est autorisé à intervenir et, partant, constituent le critère permettant d’apprécier s’il a ou non excédé son mandat. Tout traitement opéré en dehors de ce cadre — pour une finalité non prévue, sur des catégories de données non visées ou au-delà de la durée convenue — fait basculer le sous-traitant hors de son statut : il devient alors responsable du traitement pour cette opération, avec les conséquences que cette requalification emporte.

Il doit, en outre, se présenter sous une forme écrite, y compris au format électronique. L’exigence d’un écrit n’implique donc nullement un support papier : un échange contractuel conclu par voie électronique, voire un acte signé électroniquement, satisfait pleinement à la condition, pourvu que le contenu en soit fixé et conservé de manière à pouvoir être ultérieurement produit.

Le considérant 81 précise qu’il doit être tenu compte, pour ce faire, des tâches et responsabilités spécifiques du sous-traitant dans le cadre du traitement à effectuer et du risque pour les droits et libertés de la personne concernée. Le contenu du contrat n’est donc pas figé : il se module selon l’intensité du risque et la nature des opérations confiées, conformément à l’approche par les risques qui structure l’ensemble du règlement. Un traitement portant sur des données sensibles — données de santé, données relatives à des condamnations pénales — appellera des garanties contractuelles renforcées que ne justifierait pas un traitement anodin.

A cet égard, le responsable du traitement et le sous-traitant peuvent choisir de recourir à un contrat particulier ou à des clauses contractuelles types, qui sont adoptées soit directement par la Commission soit par une autorité de contrôle conformément au mécanisme de contrôle de la cohérence, puis par la Commission. Ces clauses types présentent un double intérêt pratique : elles dispensent les parties d’une rédaction ad hoc souvent délicate et offrent une présomption de conformité au regard des exigences de l’article 28 — sans pour autant exonérer les parties de les compléter par les mentions propres à leur traitement.

2) Les stipulations imposées par l’article 28, §3

Outre ces informations qui doivent figurer au contrat, l’article 28, §3 dispose que le contrat de sous-traitance doit prévoir, notamment, que le sous-traitant :

• Ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit de l’État membre auquel le sous-traitant est soumis; dans ce cas, le sous-traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d’intérêt public;
• Veille à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité;
• Prend toutes les mesures requises en vertu de l’article 32, soit celles relatives à la sécurité du traitement des données
• Respecte les conditions visées aux paragraphes 2 et 4 de l’article 28 du RGPD pour recruter un autre sous-traitant, ce qui signifie notamment que le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement.
• Tient compte de la nature du traitement, aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits prévus au chapitre III;
• Aide le responsable du traitement à garantir le respect des obligations prévues aux articles 32 à 36, compte tenu de la nature du traitement et des informations à la disposition du sous-traitant (sécurité du traitement, notification des violations de données et analyse d’impact) ;
• Selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel ;
• Met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d’audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu’il a mandaté, et contribuer à ces audits. En ce qui concerne ce dernier point, le sous-traitant informe immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du présent règlement ou d’autres dispositions du droit de l’Union ou du droit des États membres relatives à la protection des données.

La lecture de cette énumération révèle que le contrat ne se borne pas à répartir des responsabilités : il dessine la subordination juridique du sous-traitant. Le pivot en est l’exigence d’une « instruction documentée » — formule qui condense, à elle seule, la philosophie du dispositif. Le sous-traitant n’agit jamais pour son propre compte ; il exécute, et chacune de ses interventions doit pouvoir être rattachée à une consigne traçable du responsable du traitement. L’écueil que le règlement entend conjurer est celui de l’initiative non autorisée : le prestataire qui, fût-ce dans l’intérêt supposé de son client, traiterait les données d’une manière que celui-ci n’a pas prescrite engagerait sa responsabilité propre.

Doivent encore être relevées la portée des stipulations relatives aux transferts hors de l’Union — soumis à la même exigence d’instruction documentée, le sous-traitant ne pouvant exporter les données de sa seule initiative — et la clause d’alerte qui referme l’énumération : tenu d’aviser immédiatement le responsable lorsqu’une instruction lui paraît contraire au règlement, le sous-traitant cesse d’être un simple exécutant pour devenir le gardien de second rang de la légalité du traitement. Cette obligation d’alerte tempère la logique de subordination : la documentation de l’instruction ne saurait couvrir une instruction manifestement illicite.

3) La sanction de l’absence ou de l’insuffisance de contrat

L’exigence contractuelle n’est pas une recommandation : elle est une obligation dont la méconnaissance est sanctionnée. L’absence de contrat de sous-traitance, comme l’insuffisance de son contenu au regard de l’article 28, expose tant le responsable du traitement que le sous-traitant aux mesures correctrices et aux sanctions administratives de l’autorité de contrôle. Le manquement présente, en outre, la singularité d’être autonome : il est constitué par le seul défaut d’encadrement, indépendamment de toute atteinte effective aux données ou aux droits des personnes concernées. La pratique des autorités de contrôle européennes en témoigne, qui sanctionnent régulièrement le défaut de mise en conformité du cadre contractuel, alors même qu’aucune violation de données n’est survenue.

C) Condition additionnelle en cas de sous-traitance par un sous-traitant

L’article 28, §2 du RGPD dispose que « le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. »

Ainsi, le recours par un sous-traitant à un sous-traitant est-il subordonné à l’autorisation préalable du responsable du traitement. Cette règle procède d’une exigence de transparence de la chaîne de traitement : le responsable, demeurant comptable du sort des données qu’il a confiées, ne saurait en perdre la maîtrise au gré de délégations successives opérées à son insu. Elle constitue le contrepoint de la liberté contractuelle reconnue au sous-traitant, lequel ne peut s’adjoindre un tiers qu’avec l’aval de celui pour le compte duquel il opère.

Cette autorisation peut être, au choix des parties, spécifique, c’est-à-dire accordée pour un sous-traitant particulier, ou générale.

Dans ce dernier cas, un certain nombre de règles devront être observées par le sous-traitant.

L’article 28 précise, en effet, que « dans le cas d’une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable du traitement la possibilité d’émettre des objections à l’encontre de ces changements ».

Le responsable du traitement doit dès lors, en tout état de cause, être informé de tout changement intervenant dans la sous-traitance de la mission qu’il a confiée à son sous-traitant.

Surtout, il pourra s’opposer ou poser des conditions dans l’hypothèse où le prestataire retenu par son sous-traitant pour exécuter tout ou partie de la mission confiée ne lui conviendrait pas. Ce droit d’opposition n’est pas illusoire : il suppose, en amont, que le sous-traitant ménage un délai raisonnable entre l’information du changement projeté et sa mise en œuvre effective, faute de quoi la faculté d’objection se trouverait privée d’effet utile. Pratiquement, l’exercice de l’opposition contraindra les parties à rechercher une solution de substitution, voire conduira, en cas de désaccord persistant, à la remise en cause de la relation contractuelle elle-même.

V) Les obligations qui incombent au sous-traitant

Deux sortes de sous-traitant peuvent être distinguées :

• Le sous-traitant du responsable du traitement
• Le sous-traitant du sous-traitant

Cette distinction n’est pas purement descriptive : elle commande le régime applicable. Si le second est, par l’effet de l’article 28, §4, soumis aux mêmes obligations que le premier, il s’en distingue par la structure de la responsabilité, le sous-traitant initial demeurant le débiteur de premier rang à l’égard du responsable du traitement. Il convient, dès lors, d’examiner successivement les obligations qui pèsent sur l’un et sur l’autre.

A) Les obligations qui incombent au sous-traitant du responsable du traitement

Depuis l’adoption du RGPD, l’obligation qui incombe au sous-traitant ne se limite pas seulement au respect des conditions de sécurité du traitement, comme tel était le cas sous l’empire du droit antérieur. Sous la loi du 6 janvier 1978 dans sa rédaction première, le sous-traitant — alors qualifié de « destinataire » ou de simple prestataire technique — n’était directement tenu qu’à une obligation de sécurité et de confidentialité, le responsable du traitement concentrant sur sa seule tête l’essentiel des devoirs et de la responsabilité. Le règlement européen a rompu avec cette logique en faisant du sous-traitant un débiteur d’obligations propres, directement opposables et directement sanctionnables.

Désormais, les obligations qui s’imposent à lui sont bien plus nombreuses et contraignantes. Ce renforcement procède d’un constat pragmatique : l’externalisation massive des traitements — hébergement, infogérance, services en nuage, outils de messagerie ou de paie — a fait du sous-traitant un acteur central de la sécurité effective des données, dont la défaillance compromet directement les droits des personnes concernées. Il était, dès lors, cohérent de lui imposer des devoirs à la mesure de son rôle réel.

A cet égard, il ressort du RGPD que ces obligations sont au nombre de trois :

1) L’obligation de transparence et de traçabilité

L’obligation de transparence et de traçabilité commande au sous-traitant de rendre son action lisible et vérifiable, à tout instant, par le responsable du traitement. Elle est le corollaire direct du principe de responsabilité : le sous-traitant ne doit pas seulement se conformer aux règles, il doit être en mesure de démontrer qu’il s’y conforme. Cette obligation s’infère de plusieurs devoirs que le RGPD met à sa charge :

• Devoir d’établir avec le responsable du traitement un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l’article 28 du règlement européen.
• Devoir de recenser par écrit les instructions adressées au sous-traitant afin de prouver qu’il agit « sur instruction documentée du responsable de traitement»
• Devoir de demander l’autorisation écrite du responsable du traitement afin de déléguer la mission confiée à un sous-traitant
• Devoir de mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations du sous-traitant et pour permettre la réalisation d’audits.
• Devoir de tenir un registre qui recense les clients pour le compte desquels le sous-traitant opère et qui décrit les traitements effectués pour leur compte.

Le dernier de ces devoirs mérite une attention particulière. Le registre des catégories d’activités de traitement, tenu par le sous-traitant, constitue le pendant du registre que doit tenir le responsable du traitement : il offre à l’autorité de contrôle une vision d’ensemble des traitements opérés pour le compte de l’ensemble des clients, et permet de reconstituer, en cas d’incident, la chaîne des responsabilités. Sa tenue n’est, du reste, pas une faculté laissée à la discrétion du prestataire, mais une obligation autonome dont l’inobservation est, en elle-même, sanctionnable.

2) L’obligation de sécurité du traitement

L’obligation de sécurité, qui constituait sous le droit antérieur le cœur — sinon l’unique objet — des devoirs du sous-traitant, demeure une pièce centrale de son statut. Elle se décline en mesures techniques et organisationnelles appropriées, dont l’intensité s’apprécie au regard de l’état de l’art, des coûts de mise en œuvre et, surtout, du risque que le traitement fait peser sur les droits et libertés des personnes concernées. L’obligation de sécurité du traitement implique, pour le sous-traitant :

• D’assurer la confidentialité des données traitées pour le compte des responsables de traitement
• De notifier au responsable du traitement toute violation de ses données
• De prendre toute mesure utile pour garantir un niveau de sécurité adapté aux risques encourus par le traitement.
• Au terme de la prestation et selon les instructions du responsable du traitement
  • De supprimer, toutes les données et les lui restituer.
  • De détruire les copies existantes sauf obligation légale de les conserver.

L’obligation de notification appelle une précision quant à son économie. Le sous-traitant qui constate une violation de données — destruction, perte, altération, divulgation ou accès non autorisés — n’est pas tenu, à la différence du responsable du traitement, d’en aviser l’autorité de contrôle : il doit la signaler à son donneur d’ordre, et ce dans les meilleurs délais. La logique est celle d’une remontée d’information en cascade, le sous-traitant alertant le responsable, à charge pour ce dernier d’apprécier s’il y a lieu de notifier l’autorité, voire d’informer les personnes concernées. Le sous-traitant n’en demeure pas moins le maillon premier de la chaîne d’alerte, de sorte que tout retard de sa part se répercute mécaniquement sur la capacité du responsable à satisfaire à ses propres obligations.

Quant à l’obligation de restitution ou de suppression au terme de la prestation, elle traduit le caractère intrinsèquement précaire de la détention des données par le sous-traitant : celui-ci ne possède aucun titre lui permettant de conserver, pour son compte, les données traitées une fois sa mission achevée. Le choix entre restitution et suppression appartient au seul responsable du traitement, le sous-traitant ne disposant, sur ce point, d’aucune marge d’appréciation autonome.

3) L’obligation d’assistance, d’alerte et de conseil

La troisième obligation marque, plus encore que les précédentes, la rupture avec le droit antérieur : le sous-traitant n’est plus un exécutant passif, mais un partenaire actif de la conformité, tenu d’éclairer et de seconder le responsable du traitement. L’obligation d’assistance, d’alerte et de conseil implique pour le sous-traitant de :

• Alerter le responsable du traitement si l’une de ses instructions est constitutive d’une violation des règles en matière de protection des données
• Assister le responsable du traitement, dans la mesure du possible, quant à la prise en charge d’une demande formulée par la personne concernée d’exercice de ses droits (accès, rectification, effacement, portabilité, opposition, ne pas faire l’objet d’une décision individuelle automatisée, y compris le profilage)
• Aider le responsable du traitement à garantir le respect des obligations en matière de sécurité du traitement, de notification de violation de données et d’analyse d’impact relative à la protection des données.

Le devoir d’alerte mérite, ici encore, d’être souligné, car il révèle la nature singulière de cette obligation. En imposant au sous-traitant de signaler toute instruction qui lui paraît illicite, le règlement le constitue gardien de la légalité du traitement : il ne saurait s’abriter derrière l’instruction reçue pour se soustraire à sa responsabilité dès lors que l’illicéité de cette instruction lui apparaissait. L’obligation d’assistance présente, quant à elle, un caractère mesuré — le sous-traitant n’est tenu que « dans la mesure du possible » et « compte tenu de la nature du traitement et des informations à sa disposition » —, ce qui en module l’intensité selon les moyens dont il dispose et la teneur des opérations confiées. Il n’en demeure pas moins que l’étendue concrète de cette assistance gagne à être précisée au contrat, afin de prévenir les contestations sur le partage des diligences, notamment lorsque le responsable du traitement doit, dans un délai contraint, répondre à une demande d’exercice de droits émanant d’une personne concernée.

B) Les obligations qui incombent au sous-traitant du sous-traitant

L’article 28, § 4 du RGPD prévoit que « lorsqu’un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection de données que celles fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant conformément au paragraphe 3, sont imposées à cet autre sous-traitant par contrat ou au moyen d’un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement ».

Ainsi, le sous-traitant du sous-traitant est-il soumis aux mêmes obligations que le sous-traitant du responsable du traitement. Le règlement organise, de la sorte, une transitivité des obligations le long de la chaîne de sous-traitance : les devoirs imposés au premier maillon doivent se répercuter, à l’identique, sur chaque maillon suivant, de telle sorte que le niveau de protection ne se dégrade pas à mesure que l’on s’éloigne du responsable du traitement. La clause de « retransmission » des obligations — par laquelle le sous-traitant initial fait porter sur son propre prestataire les engagements qu’il a lui-même souscrits — constitue, à cet égard, le mécanisme contractuel par lequel s’opère cette transitivité.

1) Le maintien de la responsabilité du sous-traitant initial

Reste que lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations. Cette règle est cardinale : elle interdit au sous-traitant de se décharger de sa responsabilité par le seul effet de la délégation. En d’autres termes, le sous-traitant initial répond, à l’égard de son donneur d’ordre, des manquements de celui qu’il s’est adjoint, comme s’il les avait lui-même commis. Cette responsabilité du fait du sous-traitant ultérieur constitue la contrepartie naturelle de la faculté de déléguer : qui choisit son prestataire en répond.

2) Le cumul des responsabilités et le régime des sanctions

Pour rappel, il ressort des articles 82 et 83 du RGPD que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement européen peut obtenir la réparation intégrale de son préjudice de la part, tant du responsable de traitement, que du sous-traitant. Le règlement institue, à cet égard, un mécanisme protecteur de la victime : celle-ci peut agir indifféremment contre le responsable du traitement ou contre le sous-traitant, chacun pouvant être tenu pour le tout, à charge pour celui qui a indemnisé de se retourner contre les autres acteurs à proportion de leur part respective de responsabilité. La personne concernée n’a donc pas à démêler, en amont, l’écheveau des responsabilités au sein de la chaîne de traitement : il lui suffit d’établir le dommage et la violation, l’imputation interne relevant des rapports entre les coresponsables.

Par ailleurs, le sous-traitant est susceptible de faire l’objet de sanctions administratives importantes pouvant s’élever, selon la catégorie de l’infraction, jusqu’à 10 ou 20 millions d’euros, ou, dans le cas d’une entreprise, jusqu’à 2% ou 4% du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu. Le règlement distingue deux paliers de gravité : le manquement aux obligations propres du sous-traitant — au premier rang desquelles celles de l’article 28 et les obligations de sécurité de l’article 32 — relève du palier inférieur (10 millions d’euros ou 2 % du chiffre d’affaires) ; la violation des principes fondamentaux du traitement ou des droits des personnes concernées relève, quant à elle, du palier supérieur (20 millions d’euros ou 4 %).

Il convient, dans ces conditions, pour le sous-traitant de faire preuve d’une extrême vigilance lorsqu’il sous-traite la mission qui lui a été confiée par le responsable du traitement. Son statut ne l’exonère pas de sa responsabilité — bien au contraire : en faisant du sous-traitant un débiteur d’obligations propres, directement exposé tant à l’action en réparation des personnes concernées qu’aux sanctions de l’autorité de contrôle, le règlement a définitivement rompu avec la conception ancienne d’un prestataire technique réfugié derrière la responsabilité de son donneur d’ordre. La diligence dans le choix, la surveillance et l’encadrement contractuel des sous-traitants ultérieurs n’est, dès lors, pas une simple précaution de bonne gestion : elle est la condition même de la maîtrise du risque juridique et financier qui pèse, en propre, sur le sous-traitant.