Co-responsable de Traitement

Définition

La co-responsabilité de traitement est le mécanisme par lequel deux ou plusieurs entités déterminent conjointement les finalités et les moyens d'un même traitement de données à caractère personnel. Définie à l'article 26 du RGPD, cette qualification s'applique dès lors que plusieurs acteurs prennent ensemble les décisions essentielles sur un traitement, même si leurs rôles respectifs diffèrent dans leur étendue ou leur nature. L'arrêt Fashion ID de la Cour de Justice de l'Union Européenne (CJUE, 2019) a précisé que la co-responsabilité peut être partielle : deux entités peuvent être co-responsables pour certaines phases d'un traitement sans l'être pour d'autres. L'arrêt Wirtschaftsakademie (CJUE, 2018) a établi que l'administrateur d'une page Facebook est co-responsable avec Meta pour les données collectées via les pixels et statistiques de page. Les co-responsables doivent conclure un accord interne (article 26) définissant de manière transparente leurs obligations respectives en matière de conformité RGPD, notamment qui est responsable de l'information des personnes concernées, de la gestion des demandes d'exercice des droits et de la notification des violations. Cet accord doit refléter les rôles réels de chaque partie. L'essence de cet accord doit être mise à disposition des personnes concernées. Les personnes peuvent exercer leurs droits contre chacun des co-responsables, indépendamment de la répartition interne des responsabilités. Toute entité reconnue comme co-responsable est donc solidairement exposée aux sanctions en cas de violation du RGPD. En pratique, la co-responsabilité survient fréquemment dans les groupes de sociétés, les partenariats commerciaux impliquant des échanges de données clients, les plateformes numériques et les écosystèmes d'applications. Une analyse juridique préalable de chaque situation de traitement partagé est indispensable pour qualifier correctement les rôles et mettre en place les mécanismes de gouvernance appropriés.