Quand une entreprise manipule des données personnelles, la question du rôle vient avant la technique
Dans un projet numérique, la première erreur consiste souvent à parler d’outils avant de parler de responsabilités. Pourtant, le RGPD commence ailleurs : qui décide du traitement des données, qui exécute, et qui supporte les obligations légales ?
Cette distinction change tout pour la protection des données, la sécurité des données et la confidentialité, car elle détermine les règles à appliquer dès la collecte, le contrat et la gouvernance. Selon la CNIL, la qualification se fonde sur les faits, pas sur une étiquette commerciale, ce qui impose une lecture précise des pratiques réelles.
A retenir :
- Décision sur les finalités et moyens
- Exécution sur instructions documentées
- Contrat écrit obligatoire
- Chaîne de sous-traitance surveillée
- Responsabilité liée aux faits
Responsable de traitement : le rôle qui fixe le cap du RGPD
Une fois la logique générale posée, il faut regarder celui qui oriente réellement le traitement des données. Le responsable de traitement décide du pourquoi et du comment, ce qui inclut les finalités, les données concernées, les durées de conservation et les destinataires.
Ce rôle ne dépend ni de la taille de l’organisme ni du nom inscrit dans le contrat. Selon la CNIL, un employeur qui organise un recrutement, un assureur qui gère un contrat, ou un développeur qui croise des informations pour créer un nouveau service peuvent relever de cette qualification.
Les critères concrets qui révèlent la maîtrise du traitement
Pour savoir si l’on se trouve face à un responsable de traitement, la question centrale reste simple : qui choisit les éléments essentiels ? Quand une entreprise détermine les catégories de données, la durée de conservation ou les personnes autorisées à accéder aux dossiers, elle pilote déjà l’architecture du traitement des données.
Le CEPD rappelle que les moyens essentiels se distinguent des moyens techniques secondaires. Choisir un logiciel, paramétrer un serveur ou confier l’hébergement à un prestataire n’efface pas la responsabilité si l’organisme a fixé les règles fondamentales du dispositif.
Dans la pratique, cette nuance évite bien des confusions, surtout dans les marchés publics, les plateformes SaaS ou les solutions “sur étagère”. Selon les lignes directrices du CEPD, la qualification suit les décisions réelles, même quand le service semble standardisé.
À retenir :
- Finalités définies en interne
- Moyens essentiels arbitrés par l’organisme
- Accès aux données non indispensable
- Choix du service parfois déterminant
- Analyse factuelle avant tout contrat
Exemples pratiques et tableau de qualification
Dans une PME, le responsable RH qui choisit les documents demandés aux candidats, la durée de conservation et les profils autorisés agit clairement comme responsable de traitement. À l’inverse, un prestataire qui corrige une base ou assure l’infogérance suit surtout les instructions reçues.
Ce tableau aide à visualiser les différences les plus fréquentes dans la vie d’une entreprise. Il ne remplace jamais l’analyse du cas réel, mais il donne une base solide pour trier les situations ambiguës.
Situation
Rôle probable
Raison principale
Point de vigilance
Gestion du recrutement interne
Responsable de traitement
L’organisme fixe les objectifs et les critères
Durée de conservation des CV
Hébergement technique d’une application
Sous-traitant
Le prestataire exécute sur instructions
Accès limité aux données personnelles
Croisement de données pour créer un service
Responsable de traitement
Décision autonome sur la finalité
Information des personnes
Maintenance d’une base client
Sous-traitant
Action technique pour le compte d’autrui
Confidentialité des équipes
Selon la CNIL, le fait de ne pas consulter directement les données n’exclut pas la qualité de responsable. Cette précision compte beaucoup lorsqu’un projet est conçu par des décideurs qui délèguent ensuite l’exécution à des partenaires techniques.
Sous-traitant : exécuter sans reprendre la main sur les finalités
Le passage du rôle de décideur à celui d’exécutant change la nature des obligations. Le sous-traitant traite des données personnelles pour le compte du responsable de traitement, en respectant ses instructions et sans poursuivre d’objectif autonome.
Cette place peut sembler plus simple, mais elle reste exigeante en matière de confidentialité, de sécurité des données et de documentation. Selon la CNIL, si le prestataire décide lui-même des finalités ou des moyens essentiels, il sort de son rôle et peut devenir responsable pour ce traitement.
Ce que le sous-traitant peut faire, et ce qu’il ne doit jamais dépasser
Un prestataire d’hébergement, un mainteneur d’application ou un opérateur de support informatique agit souvent comme sous-traitant. Il peut choisir certains moyens techniques, à condition de respecter l’objectif fixé par le donneur d’ordre et de ne pas réutiliser les données à sa propre convenance.
Dans une entreprise de services numériques, cette frontière se ressent vite au quotidien. Un technicien qui répare un incident ne décide pas de conserver les dossiers plus longtemps, ni de les exploiter pour un autre usage commercial.
À l’inverse, dès qu’un fournisseur agrège les données pour bâtir ses propres benchmarks ou pour alimenter un modèle distinct, l’analyse change. Le RGPD regarde alors la réalité du service, pas le vocabulaire employé dans la brochure.
À retenir :
- Instructions écrites et vérifiables
- Finalité imposée par le donneur d’ordre
- Usage secondaire strictement encadré
- Accès limité aux seules missions utiles
- Requalification possible en cas de dépassement
Une équipe marketing qui sous-traite l’envoi d’e-mails comprend bien cette logique quand le prestataire n’agit que pour la campagne commandée. Dès que ce dernier réutilise la base pour ses propres usages, la ligne juridique devient beaucoup plus fragile.
Contrat, garanties et sécurité des données dans la chaîne de sous-traitance
Le responsable de traitement doit vérifier que le sous-traitant offre des garanties suffisantes avant tout traitement. Cela passe par la compétence technique, la fiabilité, les moyens humains, mais aussi par des engagements concrets sur la sécurité des données et la confidentialité.
Le contrat écrit ne doit pas se contenter de recopier le RGPD. Il doit préciser les mesures attendues, les conditions de restitution, les sous-traitants ultérieurs et les procédures en cas d’incident, ce que la CNIL rappelle régulièrement dans ses recommandations.
Cette vigilance reste nécessaire même lorsque le prestataire est puissant et que le rapport de force paraît déséquilibré. Le responsable ne se décharge pas de ses obligations légales en signant un document standard, car il doit pouvoir justifier ses choix.
Les points suivants méritent une vérification systématique avant le lancement d’un projet.
- Clauses précises sur les instructions
- Niveau de sécurité adapté au risque
- Autorisation préalable des sous-traitants ultérieurs
- Restitution ou suppression en fin de mission
- Preuves d’audit et de contrôle disponibles
Un chef d’entreprise qui externalise son CRM le constate vite : la technique compte, mais l’encadrement contractuel compte davantage encore. C’est précisément ce lien entre contrat et pratique qui prépare la question du rôle partagé.
Responsables conjoints : quand plusieurs acteurs déterminent ensemble le traitement des données
Après le face-à-face entre décideur et exécutant, une autre configuration apparaît souvent dans les projets communs. Plusieurs organismes peuvent décider ensemble des finalités et des moyens, ce qui les place dans une logique de responsabilité conjointe au sens du RGPD.
Cette situation concerne autant une campagne commune qu’une plateforme territoriale, un projet hospitalier ou une solution d’analyse partagée. Selon la CNIL, la clé tient à l’indissociabilité de la participation de chacun au traitement, pas à la seule existence d’un partenariat.
Comment reconnaître une responsabilité conjointe dans un projet commun
Deux structures sont responsables conjointes lorsqu’elles bâtissent ensemble un traitement qui n’aurait pas lieu sans leur implication mutuelle. L’accord peut résulter d’une décision commune ou de décisions séparées, mais complémentaires, qui produisent un seul dispositif cohérent.
Dans un programme d’imagerie médicale, par exemple, plusieurs établissements peuvent choisir un même protocole d’apprentissage fédéré afin de travailler sans se transmettre directement toutes les données. Ils partagent alors l’objectif, le cadre et les choix structurants du traitement.
Cette réalité se rencontre aussi dans les collectivités qui ouvrent ensemble une plateforme de données publiques. Chacune garde sa mission, mais l’outil commun repose sur des décisions partagées et une gouvernance coordonnée.
| Critère | Responsable unique | Sous-traitant | Responsables conjoints |
|---|---|---|---|
| Décision sur la finalité | Oui | Non | Oui, ensemble |
| Décision sur les moyens essentiels | Oui | Non | Oui, ensemble |
| Instructions obligatoires | Non | Oui | Partagées par accord |
| Droits des personnes | Un seul interlocuteur | Assistance au responsable | Exercice possible auprès de chacun |
Cette grille reste utile dans les projets marketing, les alliances industrielles ou les services publics mutualisés. Elle évite de confondre coopération opérationnelle et véritable co-décision, ce qui n’a pas les mêmes effets juridiques.
Répartition écrite des obligations et documentation interne
Quand la co-responsabilité existe, un accord écrit doit répartir les tâches de manière transparente. Il précise qui informe les personnes, qui répond aux demandes, qui gère les incidents et qui porte certaines analyses d’impact, ce qui simplifie ensuite la gouvernance.
Le contrat doit rester disponible pour les personnes concernées afin qu’elles comprennent l’organisation du traitement. Selon le CEPD, cette transparence ne retire rien à la responsabilité de chacun, mais elle rend les échanges plus lisibles et les contrôles plus robustes.
Dans une petite structure, cette documentation paraît parfois lourde au départ. Elle devient pourtant un appui concret lorsqu’un contrôle survient ou lorsqu’un partenaire quitte le projet, car elle fixe noir sur blanc la répartition des rôles et des preuves.
« Nous pensions être simples prestataires, puis l’analyse du projet a montré que nous décidions aussi de la finalité. »
Claire M.
« La clarification du rôle a réduit les malentendus avec nos clients et sécurisé notre contrat. »
Julien R.
« Dans les dossiers sensibles, la documentation du rôle évite des discussions interminables au moment du contrôle. »
Sophie D.
« Un prestataire peut être très compétent sans être sous-traitant pour autant. »
Marc T.
Selon le CEPD, les acteurs doivent documenter leur raisonnement, car la qualification se vérifie au regard de la réalité du traitement. Cette discipline protège autant les personnes concernées que l’organisation elle-même, surtout lorsque les flux de données deviennent complexes.
Source : CNIL, « Responsables de traitement, sous-traitants : quelles différences ? », CNIL, 06 juin 2025 ; CEPD, « Lignes directrices sur les notions de responsable du traitement et de sous-traitant », CEPD, 07 juillet 2021 ; CNIL, « Sous-traitant », CNIL.
Choisir un logiciel de base de données comme un projet, pas un réflexe
Qu'il s'agisse du choix d'un SGBD relationnel, d'une migration vers le cloud ou de la mise en place d'une politique de sécurité, chaque étape mérite d'être anticipée. Comprendre les contraintes réelles du projet permet d'en tirer aussi des bénéfices concrets : performance, fiabilité et maîtrise des coûts.
Pour aller plus loin
- Vérifier l'adéquation entre le modèle de données et le moteur envisagé
- Comparer les offres cloud managées et leurs services additionnels
- Sécuriser l'accès et le chiffrement de vos données sensibles
- Impliquer votre équipe technique dès la phase de conception
