La distinction entre destinataires et sous-traitants peut prêter à confusion, car dans les deux cas, ces entités reçoivent des données personnelles dans le cadre de leurs interactions avec un responsable de traitement.

Pourtant, leur rôle et leur niveau d’intervention diffèrent : les destinataires agissent généralement pour leurs propres finalités, tandis que les sous-traitants exécutent des traitements strictement encadrés pour le compte du responsable.

Cette subtilité, combinée aux obligations similaires liées au transfert des données, peut facilement brouiller les repères !

➡️ Cet article a donc pour vocation de vous éclairer, sous format de questions/réponses, sur les principaux points distinguant ces deux acteurs au sens du RGPD.

❓ Le terme "destinataires de données" et le terme "sous-traitants", au sens du RGPD, désignent-ils les mêmes personnes ?

Non (ô surprise !) les termes "destinataires de données" et "sous-traitants" au sens du RGPD ne désignent pas les mêmes personnes !

Ces notions sont distinctes et définies séparément dans le règlement :

📨 Destinataires de données (article 4, point 9 du RGPD)

Un destinataire est toute personne physique ou morale, autorité publique, service ou autre organisme qui reçoit communication des données à caractère personnel, qu’il s’agisse ou non d’un tiers.

Par exemple : Une administration fiscale, un partenaire commercial, ou une autorité de contrôle recevant des données.

💡 A retenir : Les destinataires incluent à la fois les tiers (ceux qui ne sont pas parties au contrat ou au traitement) et les entités internes ou externes recevant les données dans le cadre du traitement.

🤝 Sous-traitants (article 4, point 8 du RGPD)

Un sous-traitant est une personne physique ou morale, une autorité publique, un service ou un autre organisme qui traite les données à caractère personnel pour le compte du responsable de traitement.

Le sous-traitant agit sur instruction du responsable de traitement.

↪ Il ne devient pas propriétaire des données, et n'est pas autonome dans leur traitement.

Par exemple : Un prestataire de services cloud, une agence marketing gérant des campagnes en ligne, un éditeur de logiciel assurant un support technique.

💡 A retenir : Les sous-traitants ont un lien contractuel avec le responsable de traitement qui définit leurs obligations et responsabilités en matière de traitement.

En résumé, les sous-traitants sont une sous-catégorie spécifique de destinataires, mais tous les destinataires ne sont pas des sous-traitants. Une analyse contextuelle est nécessaire pour bien distinguer les deux notions en pratique.

❓ Les obligations incombant au responsable de traitement sont-elles les mêmes selon que les données sont envoyées à un destinataire ou à un sous-traitant ?

Si les bonnes pratiques en termes d'informations et de précautions à prendre dans toute hypothèse de transfert de données restent similaire, les obligations incombant au responsable de traitement diffèrent sensiblement dans les deux hypothèses :

📨 Obligations du responsable de traitement envers un destinataire

Lorsque le responsable de traitement envoie des données à un destinataire, ses obligations principales sont :

• Informer les personnes concernées : Mentionner les destinataires ou les catégories de destinataires dans les informations communiquées (article 13 ou 14 du RGPD).
• Respecter une base légale : L'envoi des données doit être justifié par une base légale (consentement, obligation légale, exécution d’un contrat, intérêt légitime, etc.).
• Limiter les données envoyées : Transmettre uniquement les données nécessaires pour les finalités prévues (principe de minimisation).
• Garantir la sécurité des données : S’assurer que le transfert est sécurisé et ne met pas en danger les données.
• Documenter le transfert : Conserver une trace de ces transmissions pour garantir la traçabilité.

🤝 Obligations du responsable de traitement envers un sous-traitant

Lorsque le responsable de traitement envoie des données à un sous-traitant, il doit :

• Établir un contrat écrit : Prévoir un contrat ou un acte juridique encadrant strictement les traitements réalisés par le sous-traitant (article 28 du RGPD).
• S'assurer de la conformité du sous-traitant : Vérifier que le sous-traitant met en œuvre des garanties suffisantes (sécurité, confidentialité, respect des droits).
• Donner des instructions claires : Définir précisément les finalités et les modalités du traitement des données.
• Surveiller les traitements : Mettre en place des contrôles réguliers pour vérifier la conformité des pratiques du sous-traitant.
• Assurer la sécurité des données : Collaborer avec le sous-traitant pour garantir la sécurité des données.

En résumé, avec un destinataire, le responsable de traitement se limite à garantir la légalité et la sécurité du transfert, là où, avec un sous traitant, le responsable de traitement a une responsabilité étendue de contrôle et de supervision.

❓ Les envois de données réalisés vers des destinataires établis en dehors de l'UE doivent-ils répondre aux mêmes obligations que les envois de données réalisés vers des sous-traitants établis en dehors de l'UE ?

Non, les envois de données vers des destinataires établis en dehors de l'Espace Économique Européen (EEE) et les envois de données vers des sous-traitants établis hors EEE sont encadrés par des obligations similaires en matière de transfert international, mais leurs modalités diffèrent en raison du rôle distinct des destinataires et des sous-traitants dans le traitement des données.

📨 Envoi de données à des destinataires hors EEE

L'envoi de données vers un destinataire hors EEE est un transfert international au sens du RGPD, nécessitant :

• Une base légale pour le transfert : Le responsable de traitement doit garantir que le transfert repose sur :
  • Une décision d'adéquation de la Commission européenne.
  • Des garanties appropriées (clauses contractuelles types, règles contraignantes d’entreprise, etc.).
  • Une dérogation spécifique prévue par l'article 49 du RGPD (consentement explicite, nécessité pour un contrat, etc.).
• L'information des personnes concernées : Les personnes doivent être informées de l'existence transfert, des destinataires concernés, et des garanties mises en place.

💡Particularité : Une fois les données transférées, le destinataire (ex. une entreprise hors EEE) peut devenir un responsable de traitement indépendant, ce qui limite le contrôle direct du responsable initial sur l'utilisation des données.

🤝 Envoi de données à des sous-traitants hors EEE

L'envoi de données à un sous-traitant hors EEE est également un transfert international, mais avec des obligations supplémentaires liées à la relation contractuelle :

• Contrat de sous-traitance (article 28 RGPD) :
  • Il doit inclure les clauses encadrant spécifiquement les transferts internationaux, comme les clauses contractuelles types (CCT) validées par la Commission européenne.
  • Le sous-traitant s'engage à respecter les instructions du responsable de traitement et à garantir un niveau de protection équivalent à celui exigé dans l'EEE.
  • Vérification des garanties : Le responsable de traitement doit s’assurer que le sous-traitant dispose de mesures techniques et organisationnelles adaptées, même hors EEE.
• Supervision continue : Le responsable reste tenu de contrôler la conformité du sous-traitant, y compris dans le contexte d'un transfert international.

💡 Particularité : Le sous-traitant agit exclusivement pour le compte du responsable, ce qui implique une relation contractuelle étroite et une responsabilité accrue.

En résumé, bien que les exigences de transfert international soient similaires dans les deux cas, le lien contractuel et le contrôle continu diffèrent significativement lorsqu'il s'agit de sous-traitants.

En conclusion, bien que les notions de destinataires et de sous-traitants puissent sembler proches, elles se distinguent par leurs rôles respectifs dans le traitement des données personnelles et les obligations spécifiques qu’elles imposent au responsable de traitement.

Si le transfert de données vers un destinataire implique principalement de garantir la légalité et la sécurité du transfert, celui vers un sous-traitant s’accompagne d’une supervision renforcée et d’un encadrement contractuel strict.

___________________________________________

Article rédigé par Ninon MAIRE, le 22/11/2024

Le logiciel RGPD du DPO

Les DPO internes, vous disposez de documentations et d’outils intuitifs, permettant la collaboration avec vos équipes.

Les DPO mutualisés et externes (consultants freelance, cabinets d'avocats ou de conseil, institutions publiques), en plus de disposer des mémes fonctionnalités que les DPO internes pour tous vos clients, vous gérez ensemble sur une seule plateforme.

En savoir plus