Le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD) introduit divers concepts utilis\u00e9s pour qualifier les acteurs impliqu\u00e9s dans le traitement des donn\u00e9es personnelles. Ces concepts incluent les responsables de traitement (conjoints ou s\u00e9par\u00e9s), les sous-traitants et les personnes agissant sous l’autorit\u00e9 du responsable du traitement ou du sous-traitant.<\/p>\n\n\n\n
Bien qu\u2019ils jouent un r\u00f4le fondamental dans la gestion des responsabilit\u00e9s en vertu du RGPD, ces qualifications sont souvent difficiles \u00e0 distinguer. C\u2019est pourquoi le soutien d\u2019un expert en protection des donn\u00e9es est essentiel pour \u00e9viter les probl\u00e8mes de conformit\u00e9 qui pourraient d\u00e9couler d\u2019une mauvaise qualification.<\/p>\n\n\n\n
Chez CRANIUM, gr\u00e2ce \u00e0 notre exp\u00e9rience dans l’aide apport\u00e9e aux entreprises de divers secteurs pour mettre en \u0153uvre les r\u00e8gles du RGPD, il est devenu clair que la qualification de ces diff\u00e9rents acteurs peut poser probl\u00e8me, en particulier dans les cabinets d’avocats. En effet, le statut ind\u00e9pendant de la fonction d’avocat soul\u00e8ve des doutes quant aux qualifications juridiques \u00e0 adopter.<\/p>\n\n\n\n
Le responsable du traitement d\u00e9cide des \u00e9l\u00e9ments essentiels du traitement des donn\u00e9es ; en d’autres termes, cette personne d\u00e9termine la finalit\u00e9 et les moyens du traitement : le pourquoi et le comment. \u00c0 ce titre, il agit en tant que responsable du traitement. Bien que le responsable du traitement puisse \u00eatre une personne physique, il s’agit le plus souvent d’une personne morale. Lorsque plusieurs acteurs agissent conjointement en tant que responsables du traitement, ils sont appel\u00e9s responsables conjoints du traitement.<\/p>\n\n\n\n
Un sous-traitant, en revanche, traite les donn\u00e9es personnelles pour le compte du responsable du traitement. Le sous-traitant est g\u00e9n\u00e9ralement une entit\u00e9 distincte agissant pour le compte de ce dernier et selon ses instructions. Dans certains cas, le responsable du traitement peut agir en tant que sous-traitant pour une autre entreprise.<\/p>\n\n\n\n
Si le responsable du traitement utilise ses propres ressources (comme des logiciels et des outils marketing) au sein de son organisation, il n’y a pas de sous-traitant. Les employ\u00e9s ou le personnel temporaire sont alors qualifi\u00e9s pour agir sous l’autorit\u00e9 du responsable du traitement conform\u00e9ment \u00e0 l’article 29 du RGPD.<\/p>\n\n\n\n
Les diff\u00e9rents membres d\u2019un cabinet d\u2019avocats peuvent avoir diff\u00e9rents r\u00f4les selon l\u2019op\u00e9ration de traitement sp\u00e9cifique, n\u00e9cessitant souvent une analyse au cas par cas.<\/p>\n\n\n\n
Lorsqu’un avocat repr\u00e9sente un client dans un litige et g\u00e8re une affaire, des questions peuvent se poser quant \u00e0 savoir si l’avocat agit en tant que responsable du traitement ou en tant que sous-traitant li\u00e9 \u00e0 l’affaire. Le CEPD (conform\u00e9ment au Groupe de travail Article 29) a trait\u00e9 cette question dans ses Lignes directrices 07\/2020 sur les concepts de responsable du traitement et de sous-traitant dans le RGPD :<\/p>\n\n\n\n
\u00ab La raison pour laquelle les donn\u00e9es personnelles sont trait\u00e9es est le mandat du cabinet d’avocats de repr\u00e9senter le client devant le tribunal. Ce mandat n’est cependant pas sp\u00e9cifiquement destin\u00e9 au traitement des donn\u00e9es personnelles. Le cabinet d’avocats agit avec un degr\u00e9 d’ind\u00e9pendance significatif, par exemple en d\u00e9cidant quelles informations utiliser et comment les utiliser, et il n’y a pas d’instructions de la part de l’entreprise cliente concernant le traitement des donn\u00e9es personnelles. Le traitement effectu\u00e9 par le cabinet d’avocats pour remplir sa mission de repr\u00e9sentant l\u00e9gal de l’entreprise est donc li\u00e9 au r\u00f4le fonctionnel du cabinet, de sorte qu’il doit \u00eatre consid\u00e9r\u00e9 comme responsable du traitement pour ce traitement. \u00bb<\/p>\n\n\n\n
Par cons\u00e9quent, le cabinet d’avocats, dans ses relations avec les clients, doit \u00eatre consid\u00e9r\u00e9 comme le responsable du traitement des donn\u00e9es personnelles.<\/p>\n\n\n\n
En r\u00e9alit\u00e9, un cabinet d’avocats regroupe plusieurs avocats qui agissent s\u00e9par\u00e9ment et ont un statut ind\u00e9pendant. Avons-nous donc affaire \u00e0 un ou plusieurs responsables du traitement ?<\/p>\n\n\n\n
Lorsqu’un cabinet d’avocats utilise un logiciel qui centralise les comptes des avocats, le cabinet sera responsable du traitement des donn\u00e9es personnelles contenues dans le logiciel. Dans ce cas, le cabinet d\u00e9cide de l’acc\u00e8s, de la cat\u00e9gorisation et de la dur\u00e9e de conservation des dossiers.<\/p>\n\n\n\n
En m\u00eame temps, chaque avocat g\u00e8re ses comptes de mani\u00e8re autonome, ce qui les rend responsables du traitement lorsqu’ils traitent des donn\u00e9es personnelles dans le cadre de la pr\u00e9paration d’un dossier de d\u00e9fense ou de la r\u00e9daction d’un document proc\u00e9dural. Pour les avocats travaillant sous l’instruction d’un chef de d\u00e9partement, la qualification en tant que responsable du traitement peut \u00eatre discut\u00e9e en fonction de la latitude dont dispose l’avocat dans la gestion des affaires dans lesquelles il est impliqu\u00e9.<\/p>\n\n\n\n
Un cabinet d’avocats utilise presque toujours des sous-traitants, par exemple lorsqu’il utilise un logiciel de gestion pour les professionnels du droit.<\/p>\n\n\n\n
Cependant, la question se pose de savoir si un avocat peut \u00eatre un sous-traitant au sens du RGPD. L’ind\u00e9pendance de la profession juridique (article 444 du Code judiciaire) rend exceptionnel qu’un avocat soit consid\u00e9r\u00e9 comme un sous-traitant.<\/p>\n\n\n\n
Par exemple, un avocat peut \u00eatre consid\u00e9r\u00e9 comme tel lorsqu’il se voit confier un dossier \u00e0 plaider par un coll\u00e8gue, \u00e0 la stricte condition qu’il reste dans le cadre des instructions donn\u00e9es par ce coll\u00e8gue.<\/p>\n\n\n\n
En 2011, la CNIL a \u00e9galement consid\u00e9r\u00e9 qu’un avocat intervenant dans un audit bas\u00e9 sur des instructions strictement d\u00e9finies par ses clients pouvait \u00eatre consid\u00e9r\u00e9 comme un sous-traitant.<\/p>\n\n\n\n
Il ne fait gu\u00e8re de doute qu’une secr\u00e9taire ou une assistante juridique soit qualifi\u00e9e comme telle, puisqu’elle traite des donn\u00e9es personnelles dans le cadre d’un contrat de travail, au sein de l’entit\u00e9 du responsable du traitement, c’est-\u00e0-dire le cabinet d’avocats, et sous son autorit\u00e9. Ces employ\u00e9s sont donc qualifi\u00e9s de personnes agissant sous l’autorit\u00e9 du responsable du traitement.<\/p>\n\n\n\n
Un cas qui soul\u00e8ve de nombreuses questions est la qualification du r\u00f4le du stagiaire avocat. Est-ce celui d’un responsable du traitement distinct, d’un sous-traitant qui suit les instructions de son responsable ou celui d’une personne agissant sous l’autorit\u00e9 du responsable du traitement ?<\/p>\n\n\n\n
Bien que formellement soumis \u00e0 l’obligation d’ind\u00e9pendance, comme tout avocat, la r\u00e9alit\u00e9 pour les stagiaires est souvent diff\u00e9rente. Encore une fois, la qualification d\u00e9pend du cas. Certains stagiaires agissent avec plus de libert\u00e9 que d’autres dans leurs activit\u00e9s quotidiennes, tout en \u00e9tant plus ou moins \u00e9troitement supervis\u00e9s.<\/p>\n\n\n\n
Par cons\u00e9quent, pour d\u00e9terminer les r\u00f4les, il est important d’analyser les faits, c’est-\u00e0-dire quel acteur d\u00e9finit la finalit\u00e9 et les moyens du traitement. Il est possible qu’un m\u00eame acteur ait plusieurs r\u00f4les, selon l’activit\u00e9 de traitement qu’il exerce.<\/p>\n\n\n\n
L’existence de clauses contractuelles n’est pas en soi d\u00e9terminante pour qualifier les r\u00f4les des parties. Cependant, ces clauses peuvent aider \u00e0 identifier le responsable du traitement, \u00e0 condition que le contrat refl\u00e8te fid\u00e8lement la r\u00e9alit\u00e9 sur le terrain.<\/p>\n\n\n\n
L’attribution des r\u00f4les d\u00e9termine les responsabilit\u00e9s de chaque partie en mati\u00e8re de conformit\u00e9 au r\u00e8glement, ainsi que la mani\u00e8re dont les personnes concern\u00e9es peuvent exercer leurs droits. En effet, le responsable du traitement et le sous-traitant n’ont pas les m\u00eames obligations en vertu du RGPD.<\/p>\n\n\n\n
De plus, tout traitement de donn\u00e9es personnelles par un sous-traitant doit \u00eatre r\u00e9gi par un contrat ou un autre acte juridique \u00e9tabli par \u00e9crit et incluant les \u00e9l\u00e9ments \u00e9num\u00e9r\u00e9s \u00e0 l’article 28 du RGPD. Selon l’article 29 du RGPD, les personnes agissant sous l’autorit\u00e9 du responsable du traitement ou du sous-traitant doivent \u00e9galement suivre les instructions du responsable du traitement ou du sous-traitant, bien qu’il ne soit pas n\u00e9cessaire que la relation soit formalis\u00e9e par un contrat sp\u00e9cifique.<\/p>\n","protected":false},"excerpt":{"rendered":"
Le R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD) introduit divers concepts utilis\u00e9s pour qualifier les acteurs impliqu\u00e9s dans le traitement des donn\u00e9es personnelles. Ces concepts incluent les responsables de traitement (conjoints ou s\u00e9par\u00e9s), les sous-traitants et les personnes agissant sous l’autorit\u00e9 du responsable du traitement ou du sous-traitant. Bien qu\u2019ils jouent un r\u00f4le fondamental […]<\/p>\n","protected":false},"author":3,"featured_media":2293,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","footnotes":""},"categories":[61],"tags":[71,66],"post_folder":[],"class_list":["post-2562","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogpost-fr","tag-droit-numerique","tag-protection-de-la-vie-privee"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/2562","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/comments?post=2562"}],"version-history":[{"count":0,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/posts\/2562\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media\/2293"}],"wp:attachment":[{"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/media?parent=2562"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/categories?post=2562"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/tags?post=2562"},{"taxonomy":"post_folder","embeddable":true,"href":"https:\/\/www.cranium.eu\/fr\/wp-json\/wp\/v2\/post_folder?post=2562"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}