Suis-je responsable du traitement ou sous-traitant ?

Celui qui détermine la finalité est le responsable du traitement

Le rôle découle de la question de savoir qui décide pourquoi et comment les données sont traitées, non de la question de savoir qui saisit ou stocke effectivement les données. Une entreprise qui détermine elle-même quelles données de clients elle collecte, à quelle fin, et combien de temps elle les conserve, est responsable du traitement de ces données. Une partie qui traite ces mêmes données uniquement sur instruction — conformément aux instructions d'un tiers, sans y ajouter elle-même une finalité — est un sous-traitant. Un logiciel de comptabilité qui traite les factures selon les paramètres de l'utilisateur est typiquement un sous-traitant ; l'entreprise qui utilise le logiciel et décide quelles données de clients y figurer est responsable du traitement.

En pratique, une même entreprise est souvent les deux à la fois, selon le flux de données que l'on examine. Un cabinet de paie est un sous-traitant pour les données de personnel qu'il traite pour ses clients, et en même temps responsable du traitement pour les données de ses propres collaborateurs. Le rôle est donc attaché au traitement spécifique, non au type d'organisation ou au secteur dans lequel elle opère. Cette distinction détermine ensuite les obligations applicables : un responsable du traitement porte la responsabilité principale de la conformité et de la reddition de comptes, un sous-traitant agit dans le cadre d'un contrat de sous-traitance et des instructions qui y figurent.

Là où cela figure dans l'article 4 et 28 du RGPD

L'article 4 du RGPD donne les définitions des deux rôles : le responsable du traitement est celui qui détermine les finalités et les moyens du traitement, le sous-traitant est celui qui traite les données à caractère personnel pour le compte du responsable du traitement. L'article 28 du RGPD développe cette question et décrit ce qui est spécifiquement attendu d'un sous-traitant, notamment l'utilisation d'un contrat de sous-traitance. Les lignes directrices du CEPD approfondissent cette distinction avec des exemples pratiques, précisément parce que la frontière n'est pas toujours évidente en pratique.