Partenariat sans sous-traitance : vérifier les données
Avant un partenariat, vérifiez pourquoi chaque donnée circule, qui décide de son usage et si une solution moins intrusive suffit.
Deux entreprises souhaitent rapprocher leurs fichiers pour faciliter une prestation commune. Elles préparent un accord de confidentialité, mais n’ont pas encore décidé quelles informations doivent circuler. La première tâche est de valider le flux lui-même : son utilité, ses données, ses destinataires et son fondement.
Décrire une opération, pas un partenariat abstrait
Écrivez qui transmet quoi, à qui, pour quelle action et à quel moment. « Améliorer la coopération » est trop vague pour décider si une adresse, un historique ou un justificatif est nécessaire.
L’Art. 5(1)(b) exige une finalité déterminée ; l’Art. 5(1)(c) limite les données à ce qui est nécessaire. Chaque acteur doit pouvoir justifier les opérations dont il est responsable au titre des Art. 5(2), 6(1) et 24(1). Source : RGPD.
Ce guide concerne un partenariat opérationnel. Les échanges destinés à la prospection obéissent en plus aux règles propres à ces usages et ne doivent pas être absorbés dans une formule générale de coopération.
Qualifier les rôles avant de choisir le contrat
Un partenaire qui utilise les données pour sa propre finalité peut être responsable distinct. Des décisions conjointes sur les finalités et les moyens peuvent relever de l’Art. 26. Un acteur qui traite exclusivement pour le compte de l’autre peut relever de l’Art. 28. La qualification dépend des faits, pas de la préférence exprimée dans le contrat. Source : CNIL, identifier son rôle.
La responsabilité conjointe doit donc être examinée sans présumer que tout partenariat la crée. Un même ensemble contractuel peut contenir plusieurs opérations qualifiées différemment.
Utiliser une grille de décision avant tout export
| Question | Réponse attendue | Si elle manque |
|---|---|---|
| Quelle action exige les données ? | Décision ou prestation précise | Reformuler le besoin |
| Pourquoi chaque champ est-il nécessaire ? | Lien avec l’action | Retirer ou réduire le champ |
| Le partenaire dispose-t-il d’un fondement ? | Base légale et conditions | Suspendre le flux concerné |
| Que sait la personne ? | Notice et circonstances de collecte | Examiner l’information et la compatibilité |
| Une alternative existe-t-elle ? | Agrégat, intermédiaire ou transmission directe | Comparer l’efficacité et les risques |
| Comment le flux se termine-t-il ? | Durée, suppression, fermeture des accès | Définir la sortie |
Cette grille doit produire une décision par catégorie de données. Elle ne se réduit pas à une case « partenaire conforme ».
Examiner les attentes des personnes et les nouveaux usages
Si la transmission ajoute une finalité, examinez l’Art. 6(4) lorsque ses conditions sont réunies, ainsi que l’information préalable des Art. 13(3) ou 14(4). Une nouvelle notice n’est pas une autorisation de réutilisation. Le dossier de changement de finalité détaille les questions à traiter.
Exemple hypothétique. Une société de maintenance doit intervenir sur un équipement. Elle peut avoir besoin de l’adresse d’intervention et d’un contact disponible ; elle n’a pas nécessairement besoin de l’historique financier complet du client. Si elle souhaite ensuite constituer son propre profil de risque, cette opération doit être analysée séparément.
Les données relevant de l’Art. 9 ou de l’Art. 10 exigent un examen supplémentaire. Un intérêt économique partagé ne supprime pas ces régimes particuliers.
Formaliser uniquement les flux approuvés
Une fois la décision prise, rédigez l’accord entre responsables distincts si cette qualification correspond aux faits. Décrivez les finalités, données, mesures de sécurité, contacts pour les droits, incidents et mises à jour.
Prévoyez une revue lorsque le partenaire ajoute un usage, un destinataire ou un nouveau mode d’accès. L’autorisation initiale d’un fichier limité ne doit pas se transformer en synchronisation permanente de toutes les données.
Conservez enfin les refus et les alternatives retenues. Ils expliquent pourquoi certains champs sont exclus et évitent qu’une prochaine équipe les réintroduise par commodité.
Ce qu’il faut retenir
- La première décision porte sur l’existence et le périmètre du flux.
- Les rôles se qualifient opération par opération.
- Le contrat formalise une transmission licite ; il ne la rend pas licite par lui-même.
FAQ
Un accord de confidentialité suffit-il ?
Non. Il peut protéger la confidentialité, mais ne remplace ni le fondement du traitement ni la minimisation, l’information ou les règles relatives aux données particulières.
Faut-il partager une base commune pour coopérer ?
Pas nécessairement. Un accès ponctuel, un message ciblé ou une transmission directe par la personne peut répondre au besoin avec moins de données.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.