Responsable de traitement, sous-traitant et prestataires : qualifier les rôles

Partir des décisions, jamais des étiquettes

Pour chaque traitement, formulez la finalité : gérer une réservation, organiser une intervention, répondre à un incident ou produire un compte rendu. Identifiez ensuite qui choisit les catégories de données, les personnes concernées, la durée, les destinataires et les règles d'accès. Selon la CNIL, celui qui détermine ce pourquoi et ces moyens essentiels est responsable de traitement.

Un prestataire devient sous-traitant lorsqu'il agit pour le compte du responsable, dans le cadre d'instructions documentées. Il peut choisir des moyens techniques non essentiels sans changer automatiquement de rôle. S'il poursuit sa propre finalité ou réutilise les données hors instruction, il faut analyser ce traitement séparément au lieu de prolonger artificiellement la qualification initiale.

Vérifier le cadre de l'article 28

Lorsqu'une sous-traitance est retenue, le traitement doit être encadré par un contrat ou un acte juridique qui décrit objet, durée, nature, finalité, types de données, personnes concernées, obligations et droits du responsable. Il doit aussi traiter les instructions, la confidentialité, la sécurité, l'aide aux droits, les violations, les sous-traitants ultérieurs et la fin de prestation.

La signature ne clôt pas l'analyse. Le responsable vérifie les garanties, l'effectivité des mesures et les changements de chaîne de sous-traitance. Le prestataire alerte lorsqu'une instruction lui paraît contraire au RGPD. Une annexe générique non reliée aux opérations réelles ne permet ni de piloter les accès ni de réagir correctement à un incident.

• Périmètre du traitement et finalités nommés.
• Données, personnes et durées explicites.
• Sous-traitants ultérieurs encadrés.
• Aide aux droits et aux violations organisée.
• Sort des données défini à la fin du service.

Traiter les rôles multiples et les cas limites

Un propriétaire, un gestionnaire, une plateforme et un prestataire de terrain peuvent intervenir dans une même activité sans partager une qualification unique. Le gestionnaire peut agir comme mandataire opérationnel tout en décidant seul de son fichier de prospection. La plateforme peut déterminer ses propres traitements contractuels. Le prestataire de ménage n'est pas nécessairement sous-traitant s'il ne reçoit aucune donnée personnelle utile à sa mission.

Pour chaque cas, conservez la finalité, les décisions observées, le contrat lu, la conclusion, le relecteur et la date. Si deux acteurs déterminent conjointement finalités et moyens essentiels, documentez l'analyse de responsabilité conjointe et la répartition transparente. Une incertitude importante est un motif d'escalade, pas une invitation à choisir la qualification la plus pratique.

Produire une fiche de qualification exploitable

La fiche de sortie tient sur une page par traitement : finalité, acteurs, données, décision sur les rôles, indices, source, contrat, obligations, points ouverts et prochaine revue. Elle alimente ensuite la matrice de responsabilités et le plan de violation. Elle ne contient pas les données des voyageurs ou locataires dont elle décrit seulement la gouvernance.

Révisez la qualification lors d'une nouvelle finalité, d'un changement de prestataire, d'une fonctionnalité de suivi ou d'une réutilisation annoncée. Contrôlez un échantillon d'accès et d'instructions pour vérifier que la pratique correspond au document. Si l'écart persiste, suspendez le flux non nécessaire et obtenez une décision du rôle compétent.

1. Créer une fiche par traitement.
2. Joindre les indices et clauses utiles.
3. Faire relire les cas ambigus.
4. Reporter les rôles dans la matrice.
5. Programmer la revue et les tests d'effectivité.