Qui répond du fichier de fidélité

Aux Arcades, le centre commercial qui sert de fil rouge à cette série, le programme de fidélité tourne plutôt bien. Une carte, un point par euro dépensé, une offre envoyée pour l'anniversaire du porteur.

La direction du centre a décidé de le lancer. Elle a choisi ce qu'on demande à l'adhésion, pourquoi on le demande, et combien de temps on le garde. Elle ne gère pourtant rien elle-même : une société extérieure édite les cartes, héberge la base et expédie les campagnes.

Un jour, un client écrit pour demander l'effacement de ses données. Sa lettre arrive chez le prestataire, qui la renvoie à la direction du centre. La direction répond que le fichier est chez le prestataire. Le client attend.

Le règlement tranche cette partie de ping-pong avant même qu'elle commence, et il la tranche sur un critère unique. Pas sur qui détient le fichier, pas sur qui a signé quoi : sur qui a décidé pourquoi et comment on traite.

Le billet précédent a posé le vocabulaire de la donnée. Celui-ci pose celui des acteurs, parce qu'avant de savoir ce qui doit être fait, il faut savoir qui doit le faire.

Le RGPD ne demande pas qui héberge les données. Il demande qui détermine les finalités et les moyens du traitement.

Vue d'ensemble : un critère, quatre situations

Le règlement définit deux rôles principaux et en dérive deux situations particulières. Tout tient dans une seule phrase de l'article 4.

Le responsable du traitement, article 4(7), est celui qui détermine les finalités et les moyens, seul ou conjointement avec d'autres. Le sous-traitant, article 4(8), traite pour le compte du responsable. Quand plusieurs acteurs déterminent ensemble finalités et moyens, l'article 26 les qualifie de responsables conjoints. Et l'article 29 vise la personne agissant sous l'autorité de l'un ou de l'autre, qui n'est pas un acteur distinct.

Deux mots portent tout le poids. La finalité, c'est le pourquoi : fidéliser, facturer, recruter. Les moyens, c'est le comment : quelles données, sur quelles personnes, pendant combien de temps, avec quels accès.

Une précision qui évite beaucoup d'erreurs : cette qualification ne se négocie pas. Elle se constate. Les lignes directrices 07/2020 du Comité européen de la protection des données insistent sur le caractère factuel de ces notions. Se déclarer sous-traitant dans un contrat ne change rien si, dans les faits, on décide des finalités.

Viennent ensuite deux objets qui découlent de cette répartition et que ce billet traite dans la foulée : le délégué à la protection des données, articles 37 à 39, et le registre des traitements, article 30. Pour le cadre général du RGPD comme obligation légale, à côté d'ISO 27001, de SOC 2 et de NIS2, ce billet renvoie au billet sur la conformité plutôt que de le refaire.

On ne choisit pas son rôle par contrat. On le lit dans les faits, traitement par traitement.

Le responsable du traitement : celui qui décide

Revenons aux Arcades. La direction a fixé la finalité du programme de fidélité, elle a arrêté les données demandées à l'adhésion, elle a tranché la durée de conservation. Elle n'a jamais touché la base de données. Elle est pourtant le responsable du traitement.

L'article 4(7) définit ce rôle comme la personne physique ou morale, l'autorité publique, le service ou l'organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.

Le Comité européen de la protection des données affine cette lecture en distinguant les moyens essentiels des moyens non essentiels. Quelles catégories de données, quelles personnes concernées, quelle durée, qui a accès, à qui on communique : ces choix appartiennent au responsable. Le choix d'un modèle de serveur, d'un langage ou d'un format de sauvegarde peut être laissé au prestataire sans que rien ne bascule.

Ce rôle porte l'essentiel des obligations du règlement : disposer d'une base légale, informer les personnes, répondre à leurs demandes, sécuriser le traitement, notifier les violations. L'article 5(2) ajoute une exigence qui structure tout le reste : le responsable est responsable du respect des principes et doit être en mesure de démontrer qu'ils sont respectés. L'article 24 en tire les conséquences pratiques, avec des mesures techniques et organisationnelles appropriées, revues et actualisées.

Cette obligation de démonstration change la nature du travail. Il ne suffit pas d'être conforme, il faut pouvoir le prouver, ce qui suppose des traces : décisions écrites, analyses documentées, registre tenu à jour.

Deux conséquences surprennent souvent. On peut être responsable sans détenir un octet, comme la direction des Arcades. Et on peut le devenir sans l'avoir voulu, simplement parce qu'on a décidé de collecter quelque chose.

Ce qui fait le responsable du traitement, c'est la décision d'ouvrir le fichier, pas la garde du serveur qui l'héberge.

Le sous-traitant : celui qui exécute, et seulement cela

Le prestataire des Arcades héberge la base, imprime les cartes et envoie les courriels. Il n'a rien décidé du programme, il exécute une commande. C'est un sous-traitant.

L'article 4(8) le définit comme celui qui traite des données pour le compte du responsable du traitement. Deux conditions cumulatives : être une entité distincte, et agir pour le compte d'un autre.

L'article 29 pose la règle de conduite : le sous-traitant, comme toute personne agissant sous l'autorité du responsable ou du sous-traitant, ne traite les données que sur instruction du responsable, sauf obligation prévue par le droit de l'Union ou d'un État membre.

Au passage, cet article règle une confusion fréquente. Un salarié qui accède au fichier client n'est pas un sous-traitant : il agit sous l'autorité de son employeur. La sous-traitance suppose une personne morale distincte.

L'article 28 encadre la relation. Il exige un contrat ou un autre acte juridique écrit, et il liste ce que cet acte doit prévoir. Le détail de ces clauses et la manière d'évaluer un prestataire avant de signer font l'objet du billet sur la due diligence article 28, qui ferme ce lot.

Reste le point de bascule. L'article 28(10) prévoit qu'un sous-traitant qui, en violation du règlement, détermine les finalités et les moyens d'un traitement est considéré comme responsable du traitement pour ce traitement. Le prestataire des Arcades qui déciderait d'exploiter le fichier pour son propre ciblage publicitaire ne serait plus un exécutant. Il aurait changé de rôle, et de régime d'obligations.

Rôle Ce qu'il décide Obligations qui lui sont propres Exposition
Responsable du traitement, art. 4(7) Les finalités et les moyens essentiels Base légale, information, droits des personnes, sécurité, registre de l'art. 30(1), notification des violations, démonstration de l'art. 5(2) La plus large : les manquements aux principes de l'art. 5 et aux bases de l'art. 6 relèvent du plafond le plus élevé de l'art. 83(5)
Responsables conjoints, art. 26 Ils déterminent ensemble finalités et moyens Les mêmes, réparties par un accord dont les grandes lignes sont mises à disposition des personnes Chacun reste tenu ; la personne peut exercer ses droits contre l'un ou l'autre, art. 26(3)
Sous-traitant, art. 4(8) et 28 Rien sur les finalités, au plus des moyens non essentiels Agir sur instructions documentées, sécurité de l'art. 32, registre de l'art. 30(2), alerte du responsable en cas de violation (art. 33(2)), encadrement de ses propres sous-traitants Sanctions au titre des obligations qui lui incombent, art. 83(4) ; responsabilité civile délimitée par l'art. 82(2)
Personne agissant sous autorité, art. 29 Rien Ne traiter que sur instruction Ce n'est pas un acteur distinct : l'employeur répond du traitement

L'article 82(2) mérite une lecture attentive. Le sous-traitant n'est tenu pour responsable du dommage que s'il n'a pas respecté les obligations qui incombent spécifiquement aux sous-traitants, ou s'il a agi en dehors des instructions licites du responsable, ou contrairement à celles-ci. Sortir des instructions, c'est donc sortir de sa protection.

Un sous-traitant qui décide pour son propre compte cesse d'être un sous-traitant. L'article 28(10) le requalifie, sans qu'aucun contrat n'ait à être modifié.

Les responsables conjoints : décider à plusieurs

Deux enseignes des Arcades montent une opération commune. Elles définissent ensemble la cible, l'offre, le fichier utilisé et la durée de la campagne. Aucune ne travaille pour le compte de l'autre : elles codécident.

L'article 26(1) vise exactement cela. Lorsque deux responsables ou plus déterminent conjointement les finalités et les moyens, ils sont responsables conjoints. Le texte leur demande de définir de manière transparente leurs obligations respectives, par un accord entre eux, qui peut désigner un point de contact pour les personnes concernées.

L'article 26(2) précise que cet accord reflète dûment leurs rôles réels et que ses grandes lignes sont mises à la disposition de la personne concernée. L'article 26(3) ferme la porte à toute répartition opposable au public : indépendamment des termes de l'accord, la personne peut exercer ses droits à l'égard de chacun des responsables.

Attention à ne pas ranger là toute relation entre deux organismes. Quand une entreprise transmet des données à une administration qui les traite ensuite pour ses propres missions définies par la loi, il n'y a pas codétermination mais deux responsables distincts et successifs. La responsabilité conjointe suppose des décisions convergentes sur la même opération.

Ce dernier mot est décisif. La qualification s'apprécie opération par opération, pas au niveau d'une relation d'affaires prise en bloc. Deux acteurs peuvent être conjoints sur la collecte et parfaitement indépendants sur ce qui suit.

flowchart TD op["Une opération de traitement
précise"] q1{"Est-ce moi qui fixe la finalité
et les moyens essentiels ?"} q2{"Un autre acteur les fixe-t-il
conjointement avec moi ?"} q3{"Est-ce que j'agis pour le compte
d'un tiers, sur ses instructions ?"} rc["Responsable du traitement
art. 4(7)"] conj["Responsables conjoints
art. 26"] st["Sous-traitant
art. 4(8) et 28"] autre["Ni l'un ni l'autre ici : destinataire,
ou personne agissant
sous autorité, art. 29"] bascule["Requalifié en responsable
pour ce traitement, art. 28(10)"] op --> q1 q1 -->|oui| q2 q2 -->|non| rc q2 -->|oui| conj q1 -->|non| q3 q3 -->|oui| st q3 -->|non| autre st -->|"si je traite pour mes
propres finalités"| bascule classDef question fill:#ede9e1,stroke:#b5651d,color:#1a1a1a classDef principal fill:#8a4d16,stroke:#5f5e5a,color:#f5f2ec classDef secondaire fill:#b5651d,stroke:#5f5e5a,color:#f5f2ec classDef tertiaire fill:#d89253,stroke:#5f5e5a,color:#1a1a1a classDef neutre fill:#f5f2ec,stroke:#5f5e5a,color:#3a3a3a class q1,q2,q3 question class rc,conj principal class st secondaire class bascule tertiaire class op,autre neutre
La responsabilité conjointe n'est pas une responsabilité partagée en deux moitiés. Chacun reste tenu, et la personne concernée s'adresse à qui elle veut.

Le DPO : conseiller et contrôler, sans endosser

Aux Arcades, le directeur sûreté veille sur les caméras et les rondes. Le délégué à la protection des données clients fait autre chose : il vérifie que le fichier de fidélité est tenu selon les règles, et il alerte quand ce n'est pas le cas. Il n'a pas la main sur le programme, il a un avis et un droit d'accès à la direction.

Le rôle a déjà été situé parmi les fonctions de gouvernance dans le billet sur la gouvernance de la sécurité. Ce qui suit se limite à ce que le règlement en dit.

L'article 37(1) énumère trois cas de désignation obligatoire, qui valent aussi bien pour un responsable que pour un sous-traitant.

Cas de l'art. 37(1) Ce que le texte vise Transposition aux Arcades
(a) Traitement effectué par une autorité publique ou un organisme public, hors juridictions dans l'exercice de leur fonction juridictionnelle La collectivité qui exploite le parking public mitoyen
(b) Activités de base consistant en des traitements qui exigent un suivi régulier et systématique à grande échelle des personnes concernées Le suivi des déplacements en galerie croisant wifi et vidéo
(c) Activités de base consistant en un traitement à grande échelle de catégories particulières de l'art. 9, ou de données relatives aux condamnations et infractions de l'art. 10 Le centre de santé installé au premier niveau

En dehors de ces cas, la désignation reste facultative, sauf lorsque le droit de l'Union ou d'un État membre l'exige, comme le prévoit l'article 37(4). L'article 37(5) demande de choisir la personne sur la base de ses qualités professionnelles et de ses connaissances spécialisées du droit et des pratiques de protection des données. L'article 37(6) autorise un salarié comme un prestataire externe. L'article 37(7) impose de publier ses coordonnées et de les communiquer à l'autorité de contrôle.

L'article 38 protège la fonction. Le délégué est associé en temps utile à toutes les questions relatives aux données personnelles, il dispose des ressources nécessaires, il ne reçoit aucune instruction sur l'exercice de ses missions, il ne peut être relevé de ses fonctions ni pénalisé pour les avoir exercées, et il fait directement rapport au niveau le plus élevé de la direction. L'article 38(6) admet qu'il exerce d'autres missions, à condition qu'elles n'entraînent pas de conflit d'intérêts.

Ce dernier point est plus contraignant qu'il n'en a l'air. Les lignes directrices du groupe de travail « Article 29 » consacrées au délégué, reprises par le Comité européen de la protection des données, considèrent qu'une fonction qui conduit à déterminer les finalités et les moyens se concilie mal avec le rôle : direction générale, direction des systèmes d'information, direction des ressources humaines, direction marketing. On ne contrôle pas utilement les décisions qu'on a prises soi-même.

L'article 39 liste les missions : informer et conseiller, contrôler le respect du règlement et des règles internes, y compris la répartition des responsabilités et la sensibilisation du personnel, conseiller sur l'analyse d'impact et en vérifier l'exécution, coopérer avec l'autorité de contrôle et lui servir de point de contact.

Ce que la liste ne contient pas est tout aussi instructif : il n'y est question ni de décider ni de répondre. Le délégué conseille et contrôle. La responsabilité reste là où les articles 5(2) et 24 l'ont placée, chez le responsable du traitement. Désigner un délégué ne transfère rien.

Le délégué à la protection des données n'est pas un fusible. Il éclaire une décision qu'il ne prend pas et dont il ne répond pas.

Le registre des traitements : la répartition mise noir sur blanc

Aux Arcades, personne ne saurait dire de mémoire quels fichiers existent, qui les manipule et pour combien de temps. Le registre sert à cela : c'est l'inventaire de qui traite quoi, pourquoi, et jusqu'à quand.

L'article 30 en fait une obligation, et il en prévoit deux versions distinctes. Le responsable tient le sien au titre du 30(1), le sous-traitant tient le sien au titre du 30(2). Leur contenu n'est pas le même, et leur logique d'organisation non plus.

Registre du responsable, art. 30(1) Registre du sous-traitant, art. 30(2)
Axe d'organisation Par finalité de traitement Par responsable pour le compte duquel il agit
Identités à mentionner Le responsable, le responsable conjoint le cas échéant, le représentant, le délégué Le sous-traitant, chaque responsable concerné, les représentants, le délégué
Description du traitement Finalités, catégories de personnes concernées, catégories de données, catégories de destinataires Catégories de traitements effectuées pour le compte de chaque responsable
Transferts hors Union Pays tiers ou organisation internationale et, dans le cas visé par l'art. 49, documentation des garanties Même exigence
Durées Délais d'effacement prévus, dans la mesure du possible Non prévu par le texte
Sécurité Description générale des mesures de l'art. 32(1), si possible Description générale des mesures de l'art. 32(1), si possible

L'article 30(3) impose la forme écrite, y compris électronique. L'article 30(4) oblige à mettre le registre à disposition de l'autorité de contrôle qui le demande, ce qui en fait souvent la première pièce examinée lors d'un contrôle.

L'article 30(5) prévoit bien une dérogation pour les organisations de moins de 250 salariés, mais elle tombe dès que le traitement est susceptible de comporter un risque pour les droits et libertés, dès qu'il n'est pas occasionnel, ou dès qu'il porte sur des catégories particulières de l'article 9 ou sur des données de l'article 10. Un programme de fidélité qui tourne en continu n'est pas occasionnel, et la dérogation ne le couvre donc pas.

Voici à quoi ressemble une entrée, côté responsable. Ce n'est pas un modèle à recopier, seulement l'article 30(1) mis en forme sur le cas des Arcades.

# Entrée de registre, côté responsable du traitement, art. 30(1)
traitement: "Programme de fidélité Les Arcades"
responsable: "Les Arcades SAS"
delegue: "dpo@les-arcades.example"
finalites:
  - "Gestion des adhésions et du cumul de points"
  - "Envoi d'offres personnalisées aux porteurs de carte"
categories_de_personnes: ["clients porteurs de carte"]
categories_de_donnees: ["identité", "coordonnées", "historique d'achats"]
categories_de_destinataires:
  - "Prestataire de gestion des cartes (sous-traitant)"
  - "Prestataire de routage des courriels (sous-traitant)"
transferts_hors_ue: "aucun"
delai_effacement: "3 ans après le dernier achat"
mesures_securite: "chiffrement au repos, accès nominatif, journalisation"

Ce document est aussi le premier outil de vérification de la qualification. Un prestataire incapable de dire pour le compte de quels responsables il traite, ou un responsable incapable de lister ses destinataires, a probablement une répartition des rôles plus floue qu'il ne le croit.

Le registre tient lieu de carte du territoire, et de première preuve exigible au titre de l'article 5(2).

Fashion ID : deux lignes de script, deux responsables

Le cas qui illustre le mieux ce billet ne parle ni de fichier volé ni de faille technique. Il parle d'un bouton.

Fashion ID est un détaillant allemand de mode en ligne. Son site intégrait le module social « J'aime » de Facebook. Une association allemande de défense des consommateurs, la Verbraucherzentrale NRW, a engagé une action, et la juridiction allemande saisie a interrogé la Cour de justice de l'Union européenne. L'arrêt a été rendu le 29 juillet 2019, dans l'affaire C-40/17.

L'élément central du dossier tenait au fonctionnement du module. D'après la description retenue par la juridiction de renvoi, l'intégration du bouton provoquait la transmission de données du visiteur vers Facebook dès le chargement de la page, sans qu'un clic soit nécessaire, et sans que le visiteur ait à être membre du réseau social.

La Cour a jugé que l'exploitant du site pouvait être considéré comme responsable conjoint avec Facebook Ireland, mais avec une délimitation nette. La responsabilité conjointe couvre les opérations pour lesquelles l'exploitant détermine effectivement, avec Facebook, les finalités et les moyens : la collecte des données des visiteurs et leur transmission. Elle ne s'étend pas aux traitements ultérieurs effectués par Facebook seul, sur lesquels l'exploitant n'a aucune prise.

La Cour en a tiré des conséquences directement opérationnelles. Le consentement, lorsqu'il est requis, doit être recueilli par l'exploitant du site pour les seules opérations dont il est responsable, et l'obligation d'information qui lui incombe se limite au même périmètre. La Cour avait déjà admis, dans l'arrêt Wirtschaftsakademie Schleswig-Holstein du 5 juin 2018, affaire C-210/16, qu'un acteur peut être responsable conjoint sans avoir lui-même accès aux données.

Une précision d'honnêteté sur la portée du raisonnement : les faits étant antérieurs à l'application du RGPD, l'arrêt a été rendu au regard de la directive 95/46/CE. La définition du responsable qu'il interprète est celle que l'article 4(7) du règlement reprend en substance, ce qui explique que la décision continue de servir de référence.

L'arrêt recoupe tout ce qui précède. Un rôle s'acquiert par les faits, ici par l'ajout de quelques lignes de script à un gabarit de page. La qualification se découpe opération par opération, pas relation par relation. Et la responsabilité conjointe n'est pas une responsabilité identique : la Cour a soigneusement borné celle de l'exploitant à ce qu'il maîtrise réellement.

Aux Arcades comme sur un site marchand, on peut devenir responsable conjoint sans jamais avoir consulté une seule ligne du fichier.

Points clés

  • Le RGPD répartit les obligations sur un seul critère, posé à l'article 4(7) : qui détermine les finalités et les moyens du traitement.
  • La qualification se constate dans les faits, elle ne se décide pas par contrat. L'article 28(10) requalifie en responsable le sous-traitant qui traite pour ses propres finalités.
  • Les responsables conjoints de l'article 26 répartissent leurs obligations par un accord, mais l'article 26(3) permet à la personne concernée de s'adresser à l'un comme à l'autre.
  • Le délégué à la protection des données, articles 37 à 39, conseille, contrôle et dialogue avec l'autorité. La responsabilité reste chez le responsable du traitement, articles 5(2) et 24.
  • Le registre de l'article 30 matérialise cette répartition, avec un contenu différent côté responsable et côté sous-traitant, et sert de première preuve en cas de contrôle.

Dans la série

Palier 3 : Tenir la galerie. Domaine : Protection des données.

Pour aller plus loin