Aller au contenu principal
Quel logiciel RGPD

Quand êtes-vous responsables conjoints, et que faut-il écrire ?

Pour qui : Votre organisation monte un traitement avec une filiale, un partenaire ou un prestataire. Un juriste, un client ou un formulaire parle de responsabilité conjointe, et vous devez savoir s’il faut un accord.

Vous êtes responsables conjoints si vous déterminez ensemble le but et les moyens d’un même traitement, par une décision commune ou par des décisions inséparables, sans lesquelles le traitement n’aurait pas lieu. Partager un outil, une base ou un intérêt commercial ne suffit pas.

Dans ce cas, l’article 26 vous demande de définir par accord qui fait quoi, notamment pour les droits des personnes et leur information, et de mettre les grandes lignes de cet accord à leur disposition. Ni la forme du contrat ni un logiciel ne décident de la qualification : ce sont les faits.

Notre avis

Répondez d’abord à trois questions sur les faits. Si le résultat désigne une responsabilité conjointe, écrivez un accord contraignant qui répartit les tâches. Aucun logiciel ne fera cette qualification à votre place.

Pourquoi

  • Le comité européen fait du fait de participer ensemble à la décision sur le but et les moyens le critère central. Plusieurs entités autour d’un traitement ne suffisent pas.
  • Le texte ne fixe aucune forme pour l’accord, mais le comité recommande un document contraignant : en cas de manquement, il permet de se retourner contre l’autre.
  • L’erreur de qualification se paie sur le mauvais document : accord au lieu d’un contrat de sous-traitance, ou l’inverse.

Ce qui change le choix

Un acteur que vous pensiez prestataire réutilise les données pour ses propres buts, ou un partenaire indépendant finit par décider avec vous des données collectées. La qualification change avec les faits, et le document doit suivre.

L’ordre à suivre

  1. Un acteur est payé pour un service, sans but propre sur les données : contrat de sous-traitance.
  2. Chacun poursuit son but de son côté, même sur les mêmes données ou la même base : responsables distincts.
  3. But et moyens décidés ensemble, ou décisions inséparables : responsables conjoints et accord.

Trois questions à poser pour chaque traitement

Répondez traitement par traitement : on peut être conjoints sur une opération et seul responsable sur la suivante. La responsabilité conjointe n’implique pas non plus un partage égal, d’après la jurisprudence citée par le comité.

  1. L’autre acteur poursuit-il un but qui lui est propre avec ces données ? Non, et il est seulement payé pour un service : selon le comité européen, il agit en sous-traitant.
  2. Le but est-il commun, ou étroitement lié et complémentaire ? Non, chacun décide seul pour son compte : responsables distincts, même sur une base partagée ou à la suite l’un de l’autre.
  3. Chacun a-t-il une influence décisive sur le fait de traiter et la façon de le faire, au point que le traitement n’existerait pas sans lui ? Oui aux deux dernières questions : responsabilité conjointe probable, pour ce traitement seulement.

Situations tranchées par le comité européen

Exemples des lignes directrices 07/2020
SituationQualificationLimite
Une agence, un hôtel et une compagnie aérienne créent une plateforme commune de voyages et décident ensemble des données et des accèsConjoints pour la plateforme et le marketing communChacun reste seul responsable de ses autres traitements
Des instituts alimentent une plateforme pour un projet de recherche communConjoints pour le stockage et la communication sur la plateformeSéparés pour tout traitement hors plateforme
Un cabinet croise les CV reçus par un client avec sa propre baseConjoints pour la recherche de candidats, sur décisions convergentesLe cabinet seul pour sa base, le client seul pour l’embauche
Un groupe partage une base clients, chaque société décide seule et ne voit pas les données des autresResponsables distinctsMère sous-traitante pour l’hébergement
Une société confie sa paie à un prestataire qui suit ses instructionsPrestataire sous-traitantIl peut choisir son logiciel, sans dépasser les instructions
Une société transmet les salaires à l’administration fiscaleResponsables distinctsAucun but ni moyen décidé ensemble

L’accord : ce qu’il doit dire et où le montrer

Le RGPD ne fixe aucune forme. Le comité recommande un document contraignant, écrit clairement, qui rappelle l’objet du traitement, les données et les personnes concernées. Il doit répartir au minimum la réponse aux demandes de droits et l’information des personnes. Le comité ajoute notamment les principes généraux, les violations de données, les analyses d’impact, le recours à un prestataire, les transferts et les contacts avec l’autorité. Si le droit fixe déjà certaines obligations, l’accord le reflète.

Les grandes lignes doivent être à la disposition des personnes. Le RGPD ne dit pas comment : le comité cite la politique de confidentialité ou une demande adressée au délégué ou au point de contact. Il recommande d’y faire figurer les éléments d’information des articles 13 et 14, avec le responsable de chacun. Nommer un point de contact reste facultatif. Le comité européen recommande de le faire, et nous aussi : la personne pourra de toute façon s’adresser à chacun d’entre vous.

Le logiciel note le résultat, sans le décider

Votre registre doit porter le nom et les coordonnées du responsable conjoint sur la fiche concernée. Un tableur le permet. Un logiciel peut fournir ce champ, un modèle d’accord ou une alerte : la décision reste une analyse des faits, à écrire vous-même, datée et signée par ceux qui décident.

Limites de cette page

Cette page donne une règle générale et les exemples du comité européen, dont la conclusion dépend des faits décrits. Nous lisons la version anglaise : les termes français sont les nôtres. Pour un cas réel disputé, un traitement à fort enjeu ou un partenaire qui refuse l’accord, faites qualifier la situation par un conseil.

Prochaine action

Prenez le traitement en cause et répondez par écrit aux trois questions, avec le nom de celui qui décide des données, des durées et des accès. Si la réponse désigne une responsabilité conjointe, rédigez la répartition des tâches avec l’autre partie et reportez son nom au registre.

Preuves et sources

Lu le 5 novembre 2026 : l’article 26 du RGPD dans le texte publié par la CNIL et les lignes directrices 07/2020 du comité européen de la protection des données, version 2.1 du 20 septembre 2022, en anglais.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. L’article 26 du RGPD prévoit que les responsables qui déterminent conjointement finalités et moyens définissent leurs obligations par accord, notamment pour les droits des personnes et les informations des articles 13 et 14, sauf si le droit les définit, que les grandes lignes de l’accord sont mises à disposition de la personne et qu’elle peut exercer ses droits contre chacun.

    Portée : Article 26, paragraphes 1 à 3.

    Réserve : Texte reproduit par la CNIL.

  • Déclaration de l’éditeur. Pour le comité européen, le critère central est la participation conjointe de plusieurs entités à la détermination des finalités et des moyens, par une décision commune ou des décisions convergentes, un critère important étant que le traitement ne serait pas possible sans la participation de chacune.

    Portée : Lignes directrices 07/2020, version 2.1, points 53 à 55.

    Réserve : Lecture en anglais, traduction de notre part.

  • Déclaration de l’éditeur. Le comité européen indique que la qualification s’apprécie sur l’influence réelle et les faits, et qu’un simple critère formel ne suffit pas.

    Portée : Lignes directrices 07/2020, version 2.1, point 52 et suivants.

    Réserve : Sans objet.

  • Déclaration de l’éditeur. Le comité européen écrit qu’un bénéfice mutuel, par exemple commercial, ne crée pas à lui seul une responsabilité conjointe, et qu’une entité sans finalité propre, seulement rémunérée pour un service, agit en sous-traitant.

    Portée : Lignes directrices 07/2020, version 2.1, point 62.

    Réserve : Sans objet.

  • Déclaration de l’éditeur. Le comité européen écrit que la responsabilité conjointe peut être exclue lorsque plusieurs entités utilisent une base ou une infrastructure commune et que chacune détermine ses propres finalités, ainsi qu’en présence d’acteurs successifs ayant chacun une finalité et des moyens indépendants.

    Portée : Lignes directrices 07/2020, version 2.1, points 71 et 72.

    Réserve : Exemples à rapprocher des faits réels.

  • Déclaration de l’éditeur. Le comité européen précise, d’après la jurisprudence, que la responsabilité conjointe n’implique pas une responsabilité égale, les opérateurs pouvant intervenir à des stades et degrés différents.

    Portée : Lignes directrices 07/2020, version 2.1, point 58.

    Réserve : Arrêts de la Cour non relus en source propre.

  • Déclaration de l’éditeur. Les lignes directrices 07/2020 donnent pour exemples une plateforme commune de voyages, un projet de recherche entre instituts et un cabinet de recrutement qualifiés de responsabilité conjointe sur un périmètre limité, ainsi qu’une base de groupe, une administration de la paie et une transmission à l’administration fiscale qui ne le sont pas.

    Portée : Exemples des lignes directrices, version 2.1.

    Réserve : Résumés par nos soins. Le résultat dépend des faits de chaque exemple.

  • Déclaration de l’éditeur. Le comité européen écrit que le RGPD ne fixe pas la forme de l’accord et recommande un document contraignant, écrit clairement, avec des informations générales sur l’objet, la finalité, le type de données et les catégories de personnes.

    Portée : Lignes directrices 07/2020, version 2.1, points 171 à 175.

    Réserve : Recommandation, sans obligation de forme.

  • Déclaration de l’éditeur. Le comité européen cite, parmi les obligations à répartir au-delà de l’article 26, les principes généraux, la notification des violations, les analyses d’impact, le recours à un sous-traitant, les transferts et les contacts avec les personnes et les autorités.

    Portée : Lignes directrices 07/2020, version 2.1, point 166.

    Réserve : Liste non exhaustive selon le comité, citée ici en partie.

  • Déclaration de l’éditeur. Le comité européen recommande que les grandes lignes de l’accord couvrent au moins les éléments d’information des articles 13 et 14 et le responsable de chacun, laisse le choix du moyen de les rendre disponibles, indique que la désignation d’un point de contact n’est pas obligatoire et recommande aux responsables conjoints d’en désigner un.

    Portée : Lignes directrices 07/2020, version 2.1, points 180 à 182.

    Réserve : Sans objet.

  • Fait lu. Le registre du responsable indique, le cas échéant, le nom et les coordonnées du responsable conjoint.

    Portée : Article 30, paragraphe 1, point a.

    Réserve : Texte reproduit par la CNIL.

  • Notre avis. Le fait qu’un logiciel ne décide pas de la qualification est notre avis : celle-ci dépend de faits sur les décisions réelles, qu’un outil enregistre sans les établir.

    Portée : Logiciels de gouvernance en général.

    Réserve : Aucun logiciel n’a été essayé pour cette page.