Partage de données : rédiger un accord entre responsables
Accord de partage entre responsables distincts : vérifiez les rôles, les finalités et les engagements utiles sans utiliser un contrat inadapté.
Deux entreprises veulent échanger des dossiers pour leurs activités respectives. Elles proposent de signer un contrat de sous-traitance standard, alors qu’aucune ne traite les données uniquement pour le compte de l’autre. Avant de rédiger les clauses, il faut qualifier chaque opération et vérifier que le partage est licite.
Distinguer trois relations possibles
Le responsable détermine les finalités et moyens du traitement au sens de l’Art. 4(7). Le sous-traitant agit pour son compte au sens de l’Art. 4(8). Lorsque plusieurs acteurs déterminent conjointement les finalités et moyens, l’Art. 26(1) s’applique. Source : texte officiel du RGPD.
Il existe aussi des transmissions entre responsables distincts, chacun poursuivant ses propres finalités. Un échange de données n’implique pas automatiquement une responsabilité conjointe. Inversement, écrire « responsables indépendants » dans le contrat ne suffit pas si les décisions effectives sont communes. La CNIL rappelle que la qualification dépend des faits.
Rédigez d’abord une courte note : qui décide quelles données seront transmises, à qui, pour quel objectif et combien de temps ? Comparez ensuite la situation avec les règles de responsabilité conjointe et de sous-traitance.
Vérifier la licéité du partage avant les clauses
Un accord n’est pas une base légale autonome. L’émetteur doit justifier la transmission ; le destinataire doit justifier ses propres traitements. Selon les faits, les bases peuvent différer. Les données sensibles exigent aussi l’examen des conditions de l’Art. 9(2), lorsqu’il s’applique.
Définissez la finalité de chaque côté, la nécessité des catégories transmises et les restrictions de réutilisation. Si des données sont réutilisées pour un autre objectif, la question de compatibilité doit être examinée dans les conditions de l’Art. 6(4). Le guide des bases légales RGPD permet de structurer cette analyse.
L’information des personnes dépend notamment des modalités de collecte : Art. 13 pour la collecte auprès d’elles, Art. 14 pour les données obtenues autrement, avec les conditions et exceptions propres à ces textes. Ne supposez pas que l’information donnée par une partie couvre nécessairement tous les traitements de l’autre.
Un plan d’accord pour des responsables autonomes
Le RGPD n’impose pas, pour chaque partage de cette catégorie, un modèle général identique à celui de l’Art. 28(3). D’autres règles peuvent toutefois exiger un contrat dans le contexte concerné. L’accord ci-dessous est une proposition de gouvernance pour traduire les obligations réelles.
| Bloc | Ce qu’il faut décrire |
|---|---|
| Opérations et rôles | Flux précis et responsabilités effectivement exercées |
| Finalités | Usages autorisés par chacune des parties, avec renvoi aux bases légales analysées |
| Données | Catégories, populations, périmètre et exclusions |
| Modalités de transmission | Fréquence, contrôle du destinataire et canal sécurisé |
| Information et droits | Informations fournies, points de contact et coopération pratique |
| Exactitude | Signalement des erreurs et mise à jour des données pertinentes |
| Sécurité et incidents | Mesures, interlocuteurs, informations utiles et coopération |
| Conservation et fin du partage | Durées propres à chaque finalité, fermeture des accès et sort des copies |
| Transferts et destinataires suivants | Conditions applicables et information nécessaire |
Les obligations de chaque responsable restent les siennes. L’accord peut organiser une coopération, mais ne doit pas prétendre rendre inopposables aux personnes leurs droits.
Exemple : définir le flux avant le document
Exemple hypothétique. Un organisme adresse à un professionnel indépendant les coordonnées et pièces nécessaires à une mission déterminée. Avant de conclure qu’il s’agit d’une sous-traitance, les parties examinent qui décide des objectifs et moyens essentiels des traitements liés à cette mission.
Si l’analyse conclut à des responsables distincts, elles décrivent les pièces nécessaires et excluent les éléments du dossier sans rapport avec la mission. Elles fixent aussi la manière de corriger une pièce transmise par erreur. Le contrat organise alors le partage retenu ; il ne crée pas artificiellement une relation d’instructions qui n’existe pas dans les faits.
Cet exemple ne qualifie pas tous les professionnels indépendants de la même manière : la réponse dépend de la mission et du traitement étudiés.
Adapter les clauses qui viennent d’un DPA
Trois formulations standard méritent une vigilance particulière. « Ne traiter que sur nos instructions » peut être incohérent avec l’autonomie réelle du destinataire. « Supprimer toutes les données sur notre simple demande » peut ignorer les finalités et obligations propres qui justifient certaines conservations. « Nous répondons seuls à toutes les demandes » peut rendre l’exercice des droits plus difficile si les traitements du destinataire restent invisibles.
Remplacez ces automatismes par des mécanismes correspondant aux rôles : points de contact, délais opérationnels de coopération, transmission des informations nécessaires et décision de chaque responsable sur son périmètre. Le guide du responsable de traitement rappelle les obligations qui ne disparaissent pas avec la signature.
Préparer la fin de la relation
Distinguez la fermeture des accès communs, l’arrêt des flux et les données déjà reçues. Leur sort doit être examiné finalité par finalité ; il ne se déduit pas automatiquement de la résiliation commerciale.
Conservez la note de qualification, l’analyse de licéité et la version signée avec votre dossier de conformité. Réexaminez-les si le partenariat évolue vers un outil ou une finalité effectivement déterminés en commun.
Ce qu’il faut retenir
- Le partage de données ne signifie pas automatiquement sous-traitance ou responsabilité conjointe.
- Le contrat doit refléter les décisions réelles et ne constitue pas une base légale autonome.
- Une matrice des flux aide à rédiger des engagements adaptés à chaque responsable.
- La fin du partenariat exige de distinguer accès futurs et traitements déjà engagés.
FAQ
Un accord entre responsables distincts remplace-t-il l’information RGPD ?
Non. Les obligations d’information des Art. 13 et 14 doivent être respectées selon la situation de chaque partie.
Peut-on choisir les rôles pour simplifier le contrat ?
Les rôles se qualifient d’après les faits. Une rédaction contractuelle ne rend pas autonome un traitement effectivement réalisé pour le compte d’autrui, ni l’inverse.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.