Responsable du traitement ou sous-traitant RGPD : décider par activité

Dernière mise à jour : 26 août 2026.

Déterminer si une partie est responsable du traitement ou sous-traitant RGPD ne revient pas à choisir l’étiquette la plus commode pour le contrat. La question porte sur une activité précise : qui décide pourquoi elle existe, qui en fixe les paramètres essentiels et qui exécute les instructions d’autrui ? La réponse peut changer d’une opération à l’autre au sein de la même relation.

Réponse rapide Pour déterminer si une partie est responsable du traitement ou sous-traitant au titre du RGPD, partez d’une opération précise. Celui qui décide de sa finalité et de ses moyens essentiels est responsable ; celui qui agit pour son compte selon des instructions est sous-traitant. Des décisions conjointes peuvent créer une responsabilité conjointe.

Qualifier l’activité plutôt que l’entreprise

Le rôle suit les faits d’un traitement délimité, pas l’identité générale de l’organisation. Commencez par écrire une phrase opérationnelle : « Le service reçoit telles données, concernant telles personnes, afin d’accomplir tel résultat, pendant telle durée. » Cette phrase empêche de mélanger le fichier clients d’une partie, l’assistance fournie à l’autre et une éventuelle réutilisation indépendante.

Le responsable du traitement détermine les finalités et les moyens du traitement. Le sous-traitant traite des données à caractère personnel pour le compte du responsable. Ces fonctions découlent des articles 4, 24 et 28 du RGPD, tandis que les lignes directrices du Comité européen de la protection des données insistent sur une appréciation fonctionnelle fondée sur les rôles réels ^{1 2}. Une désignation contractuelle constitue donc un indice, jamais un raccourci qui remplace l’analyse.

Une organisation peut être responsable pour sa gestion de compte, sous-traitante pour une fonction exécutée sur instruction et responsable distincte pour une autre utilisation licite de données. Ce constat n’est pas incohérent : les rôles appartiennent aux activités. Décomposez la relation jusqu’à ce que chaque finalité, chaque flux et chaque décideur puissent être décrits sans ambiguïté.

Avant de passer au contrat, rassemblez les preuves contemporaines : proposition commerciale, configuration choisie, matrice des accès, instructions, documentation produit, échanges sur les finalités et décisions de conservation. Si ces pièces racontent une histoire différente du projet d’accord, il faut corriger l’accord ou l’activité. Signer une qualification inexacte ne modifie pas la réalité.

Trois résultats à distinguer dès le départ

Le test ne se limite pas à opposer responsable et sous-traitant. Une activité peut relever d’un responsable et de son sous-traitant, de responsables conjoints, ou de responsables distincts ; l’analyse peut aussi conclure qu’une partie n’entre dans aucun de ces rôles pour l’opération considérée. Les trois routes documentaires principales sont les suivantes.

Délimitez d’abord une activité et déterminez, d’après les faits, qui en fixe la finalité et les moyens essentiels ; l’étiquette contractuelle ne modifie pas le rôle ^{1 2}. Des décisions communes indispensables conduisent à l’article 26, tandis qu’un traitement sous les instructions de l’autre partie conduit à l’article 28. Des finalités propres conduisent à des clauses entre responsables distincts ; si aucun de ces rôles n’existe dans le périmètre, consignez ce résultat.

La conclusion « ni l’un ni l’autre » reste possible pour une partie qui ne détermine rien et ne traite pas de données pour le compte d’un responsable dans cette activité. Elle doit être expliquée, non utilisée comme case de sortie. Décrivez ce que la partie fait réellement et pourquoi les définitions ne s’appliquent pas.

Le résultat doit être attribué à chaque relation bilatérale et à chaque opération. Dans une chaîne, A peut confier une activité à B, qui en délègue une part à C. L’analyse ne consiste pas à donner un seul rôle global à B : elle identifie sa position vis-à-vis de A, puis celle de C vis-à-vis de B, avec les instructions et responsabilités correspondantes.

Pour rendre le résultat exploitable, écrivez une conclusion complète pour chaque partie : rôle, activité couverte, faits décisifs, faits écartés et document à ouvrir. Cette discipline empêche qu’un simple « prestataire » soit interprété plus tard comme synonyme de sous-traitant. Elle révèle aussi les activités qui n’impliquent aucun traitement par une partie donnée. Si les preuves ne permettent pas encore de choisir, consignez l’incertitude, limitez l’opération concernée et attribuez la question ; ne transformez pas un dossier incomplet en qualification définitive.

La finalité et les moyens essentiels révèlent le décideur

La finalité répond à « pourquoi traiter ces données ? ». Les moyens essentiels décrivent les choix étroitement liés à ce but : quelles personnes, quelles données, quels destinataires, quelle durée et, selon l’opération, quelles fonctions déterminantes. Celui qui prend ces décisions exerce le pouvoir caractéristique d’un responsable du traitement ².

Le tableau sépare les décisions de fond des choix d’exécution. Il doit être rempli avec des verbes et des noms de décideurs, pas avec « selon le contrat » ou « comme nécessaire ».

Le financement, la possession d’un système ou la capacité technique ne répondent pas seuls à la question. Une partie peut payer sans déterminer la finalité ; une autre peut exploiter l’infrastructure sans pouvoir modifier le but. À l’inverse, une prétendue exécutante qui décide d’une réutilisation indépendante ne reste pas sous-traitante pour cette nouvelle activité.

Examinez aussi le pouvoir de dire non ou de modifier le traitement. Qui peut ajouter une catégorie de personnes, prolonger la conservation, ouvrir un nouveau destinataire ou changer le résultat recherché ? Les validations formelles comptent moins que le circuit réel de décision. Une approbation automatique d’un choix conçu entièrement par l’autre partie peut révéler une décision convergente, mais elle ne suffit pas sans analyse du caractère indispensable de chaque contribution.

Une marge d’exécution peut rester au sous-traitant

Un sous-traitant n’est pas nécessairement un exécutant sans aucune autonomie technique. Il peut choisir des moyens non essentiels pour fournir le service efficacement et en sécurité, à condition de rester dans la finalité, le périmètre et les instructions documentées du responsable. Cette latitude explique pourquoi « qui choisit le logiciel ? » ne tranche pas, à elle seule, la qualification.

La frontière apparaît lorsque le choix technique redéfinit l’activité. Trois questions diagnostiques doivent être posées :

1. Ce choix crée-t-il un but propre ? Une utilisation destinée à améliorer une offre indépendante, établir un profil pour un autre client ou entraîner un modèle pour le compte du prestataire peut constituer une nouvelle finalité, au lieu d’une simple exécution.
2. Ce choix modifie-t-il un moyen essentiel ? Ajouter de nouvelles personnes, de nouvelles catégories de données, un destinataire autonome ou une durée décidée sans instruction dépasse généralement le détail technique.
3. Le responsable peut-il donner une instruction réelle et vérifiable ? S’il ne peut ni comprendre la décision, ni la limiter, ni obtenir son exécution, l’affirmation « sur instruction » mérite d’être réexaminée.

Les instructions peuvent figurer dans l’accord, une annexe, un ticket autorisé ou une configuration approuvée, pourvu que leur caractère contraignant et leur historique soient établis. Une documentation assez vague pour permettre toute utilisation ne protège aucune qualification. Elle masque la décision au lieu de l’attribuer.

Le sous-traitant doit aussi avertir immédiatement le responsable s’il estime qu’une instruction enfreint le RGPD ou une autre disposition applicable de l’Union ou d’un État membre relative à la protection des données ¹. Cette obligation ne lui transfère pas la finalité ; elle encadre la manière dont il exécute légalement les instructions.

La responsabilité conjointe constitue une branche propre

La responsabilité conjointe existe lorsque plusieurs parties déterminent ensemble les finalités et les moyens du même traitement. « Ensemble » ne signifie pas nécessairement qu’elles prennent une décision identique au même instant. Des décisions convergentes ou complémentaires peuvent suffire lorsque chacune est indispensable à la conception du traitement et que l’opération ne se présenterait pas de la même manière sans leur combinaison ².

Le test doit rester exigeant. Un bénéfice mutuel ne prouve pas une décision conjointe : deux responsables distincts peuvent tirer avantage d’un échange. La coopération ne suffit pas non plus : une partie peut aider l’autre sans fixer son but. L’accès aux données, la dépendance économique, l’utilisation du même outil ou une campagne menée au même moment sont des faits à examiner, mais aucun ne remplace l’identification des décisions essentielles.

Reconstituez le dessin de l’activité. La première partie a-t-elle défini le public et le résultat recherché tandis que la seconde a établi une règle indispensable de sélection ou de diffusion ? Les deux apports poursuivent-ils une finalité commune ou des finalités étroitement liées ? Chaque partie a-t-elle eu une influence déterminante sur une étape sans laquelle le traitement commun n’existerait pas ? Des réponses documentées permettent de distinguer la convergence réelle d’une simple succession de services.

Une responsabilité conjointe peut ne couvrir qu’une phase. La collecte conçue ensemble peut relever de l’article 26, puis une utilisation ultérieure décidée séparément placer chaque partie dans un rôle de responsable distinct. Délimitez donc le début, la fin, les données et les opérations de la zone conjointe. Étendre l’étiquette à toute la relation rend l’accord moins précis et les informations fournies aux personnes moins fiables.

Lorsque le test est satisfait, les responsables conjoints définissent de manière transparente leurs obligations respectives, notamment pour l’exercice des droits et l’information, au moyen d’un accord dont les grandes lignes sont mises à disposition des personnes concernées ¹. Cet accord organise les responsabilités ; il ne réduit pas les droits que les personnes peuvent exercer à l’égard de chacun.

Une relation de service peut contenir plusieurs rôles

Prenons un service externalisé abstrait, sans lui attribuer une profession ni une catégorie définie par un droit national. L’équipe ouvre un registre de décision et crée une première ligne pour la fonction commandée. Le client choisit le résultat, les personnes concernées, les données nécessaires, les destinataires et la durée. Le prestataire configure l’infrastructure et exécute ces choix dans les limites des instructions. Les faits conduisent ici à une relation responsable–sous-traitant, même si le prestataire conserve une véritable expertise technique.

Une deuxième ligne concerne un traitement que le prestataire dit accomplir pour son propre compte. L’équipe ne reprend pas cette formule comme une conclusion. Elle demande quel résultat distinct est recherché, quelles données sont réellement nécessaires, qui fixe la durée, qui reçoit les informations et quel document informe les personnes. Si le prestataire décide de cette finalité et de ses moyens essentiels, il peut être responsable distinct pour cette seule ligne. Si le « but propre » n’est qu’une étape indispensable de l’instruction principale, la qualification de sous-traitant peut rester la bonne.

La troisième ligne porte sur une fonction dessinée par les deux parties. Le client définit le groupe d’utilisateurs et l’effet recherché ; le prestataire établit une règle de sélection sans laquelle la fonction commune ne peut produire cet effet. L’équipe consigne les comptes rendus de conception, le pouvoir de modifier la règle et la raison pour laquelle les deux décisions sont indispensables. Elle teste alors la responsabilité conjointe pour ce périmètre précis, au lieu de la déduire du seul fait que les parties ont collaboré.

Le résultat n’est donc pas une colonne unique portant le nom du prestataire. Il s’agit de trois lignes, chacune reliée à sa finalité, ses moyens essentiels, ses décideurs, ses preuves et sa route documentaire. Les flux peuvent utiliser le même environnement technique sans recevoir la même qualification. À l’inverse, une différence d’écran ou de module ne crée pas une nouvelle activité si la finalité et les décisions essentielles restent identiques.

Cette méthode évite deux erreurs opposées : déclarer le prestataire sous-traitant pour tout et ignorer une utilisation indépendante, ou le déclarer responsable pour tout parce qu’il choisit la technologie. Si une ligne reçoit encore deux réponses incompatibles, elle est trop large. Scindez les opérations jusqu’à ce qu’un lecteur puisse expliquer qui décide de quoi, sur quelle preuve et avec quel document.

Diriger le résultat vers les bonnes clauses

Le document vient après la qualification. Chaque route répond à une architecture de responsabilités différente ; choisir la mauvaise ne « sécurise » pas la relation. Une clause d’article 28 ne transforme pas deux décideurs indépendants en responsable et sous-traitant, et un accord d’article 26 ne crée pas un contrôle conjoint absent des faits.

Dans la première route, vérifiez que l’instrument est contraignant et couvre l’activité réelle, y compris ses annexes. Dans la deuxième, ne réduisez pas l’accord à un partage interne de responsabilité : la personne concernée conserve les droits prévus par le RGPD. Dans la troisième, évitez de donner des « instructions » à un responsable indépendant comme s’il agissait pour le compte de l’autre.

Le mauvais formulaire peut aussi cacher une lacune opérationnelle. Si une partie refuse une qualification parce que son modèle contractuel ne prévoit pas l’autre route, revenez aux décisions et aux flux. Le choix consiste à corriger le document, redessiner l’activité ou renoncer au traitement concerné, non à altérer le raisonnement pour conserver le modèle.

Pour une organisation française qui cherche le canal approprié afin d’échanger sur ses obligations, la Commission nationale de l’informatique et des libertés (CNIL) fournit un point de contact. Ce lien oriente le lecteur ; il n’ajoute pas une règle nationale à la qualification européenne et ne remplace pas l’analyse de l’activité.

Conserver une fiche de décision réutilisable

Une fiche courte, détenue par un responsable interne, rend la qualification explicable et révisable. Elle ne remplace pas les contrats ni les registres obligatoires ; elle conserve le chemin qui relie les faits au résultat. Les dix lignes suivantes forment un minimum pratique.

Rédigez le raisonnement assez clairement pour qu’un collègue absent de la négociation puisse le refaire. « Le contrat le dit » n’est pas une justification. « La partie A choisit le but et les catégories de personnes ; B choisit seulement l’infrastructure dans les limites de l’annexe » est une explication vérifiable.

Joignez les versions des documents sur lesquelles repose l’analyse. Une interface, une fonction ou une condition de service peut changer sans que le titre du contrat évolue. La fiche doit permettre de comparer les faits à deux dates et d’identifier qui devait lancer la revue.

Les obligations immédiates suivent le rôle

La qualification produit des devoirs dès que le traitement commence. Le responsable doit démontrer le respect du RGPD, choisir uniquement des sous-traitants présentant des garanties suffisantes, définir les instructions, assurer l’information, traiter les droits et maîtriser la licéité, la minimisation, la sécurité et la conservation ^{1 4}. Il ne délègue pas son obligation de rendre compte en signant un accord.

Le sous-traitant agit sur instruction documentée, garantit la confidentialité, prend les mesures de sécurité requises, respecte les conditions applicables aux sous-traitants ultérieurs, assiste le responsable et permet les audits prévus par l’article 28. Il tient aussi les registres qui lui incombent et informe le responsable d’une instruction qu’il estime contraire au droit applicable. S’il détermine lui-même les finalités et moyens d’un traitement, il est considéré comme responsable pour cette activité ¹.

Les responsables conjoints répartissent leurs obligations de façon transparente, notamment l’information et l’exercice des droits, tout en conservant chacun les responsabilités que le RGPD lui attribue. Leur accord doit correspondre au fonctionnement réel. Une répartition interne ne prive pas une personne de la possibilité d’exercer ses droits à l’encontre de chacun des responsables concernés.

Deux responsables distincts doivent, chacun pour ses propres finalités, établir une base juridique, fournir les informations nécessaires, répondre aux droits, sécuriser les données et fixer leur conservation. Le contrat peut organiser la coopération et les notifications, mais aucune partie ne peut transférer à l’autre sa propre responsabilité de responsable.

Réexaminer la qualification lorsque les faits évoluent

Une qualification est une conclusion datée, pas un attribut permanent. Inscrivez des déclencheurs dans la gouvernance du service : nouvelle finalité, nouvelles données, nouveau groupe de personnes, destinataire supplémentaire, conservation prolongée, utilisateurs différents, intégration ajoutée, sous-traitant ultérieur ou changement de la frontière des instructions.

Deux évolutions méritent une attention particulière. Une réutilisation indépendante peut créer une activité de responsable distinct, même si le flux initial reste exécuté comme sous-traitant. L’entraînement ou l’amélioration d’un modèle à partir des données confiées peut également introduire un but propre, des moyens essentiels nouveaux ou des destinataires qui n’existaient pas lors de la qualification initiale.

La revue doit repartir des faits, non du résultat précédent. Comparez la finalité, les personnes, les données, les destinataires, la durée et les décisions avant et après le changement. Puis mettez à jour ensemble la fiche, l’instrument juridique, les annexes, les informations aux personnes, les registres et les contrôles techniques concernés.

Prévoyez un propriétaire de la décision et des canaux qui lui font remonter les changements commerciaux et techniques. Une revue annuelle peut détecter une dérive silencieuse, mais elle ne justifie pas d’attendre lorsqu’un déclencheur se produit. La bonne question reste toujours la même : pour cette activité telle qu’elle fonctionne aujourd’hui, qui décide du pourquoi et des moyens essentiels ?