Coresponsabilité du traitement (RGPD)

Définition

La coresponsabilité du traitement, prévue par l'article 26 du RGPD, s'applique lorsque deux ou plusieurs responsables de traitement déterminent conjointement les finalités et les moyens d'un même traitement de données à caractère personnel. Cette situation diffère de la relation classique entre responsable de traitement et sous-traitant, car les coresponsables partagent un pouvoir de décision réel sur le traitement, même si ce partage peut être asymétrique et porter sur des aspects différents du traitement. Le règlement impose aux coresponsables de définir de manière transparente, au moyen d'un accord formalisé, leurs obligations respectives, notamment pour l'exercice des droits des personnes concernées et l'information à leur fournir au titre des articles 13 et 14. Les grandes lignes de cet accord doivent être mises à la disposition des personnes concernées, qui peuvent exercer leurs droits auprès de chacun des coresponsables indépendamment de la répartition interne des tâches convenue entre eux. La qualification de coresponsabilité, plutôt que de sous-traitance, a des conséquences juridiques significatives en matière de responsabilité solidaire en cas de manquement, ce qui rend son identification précise essentielle dès la conception d'un partenariat impliquant un traitement conjoint de données, par exemple dans le cadre d'une plateforme partagée entre plusieurs organisations ou d'un programme de fidélité commun.