Attribuer les rôles RGPD sans transférer artificiellement la responsabilité

Partir de ce que chaque acteur décide

Le responsable du traitement ne se détermine pas uniquement par la propriété du logiciel ou le financement du projet. La question est de savoir qui détermine les finalités et les moyens du traitement. Un organisme qui décide pourquoi les données sont utilisées ne devient pas simple sous-traitant parce qu’un contrat le désigne ainsi. Inversement, un fournisseur qui réalise une opération pour le compte d’un organisme ne devient pas responsable de toutes les finalités parce qu’il maîtrise une technologie.

Une qualification sérieuse examine les décisions essentielles : personnes concernées, données nécessaires, destinataires, accès, durée et usages autorisés. La description ne doit pas confondre les choix techniques quotidiens d’un prestataire avec la détermination d’une finalité propre. Le même acteur peut avoir des rôles différents selon les opérations. Un fournisseur peut héberger des dossiers sur instruction et poursuivre une finalité distincte sur certaines données ; cette seconde opération doit être identifiée séparément.

L’article 24 du RGPD rattache au responsable la mise en œuvre de mesures appropriées et la capacité de démontrer la conformité. Il ne suffit donc pas de désigner un pilote administratif. Les décisions relatives au traitement doivent être assumées par l’organisme compétent, avec les ressources et pièces nécessaires. La répartition interne facilite l’exécution de cette responsabilité ; elle ne change pas automatiquement sa qualification juridique. ^[3]

Les finalités doivent rester liées à une base de licéité appropriée. L’article 6 distingue notamment obligation légale, mission d’intérêt public et autres fondements. Une plateforme commune ne fournit pas, par elle-même, une base permettant à chaque partenaire de consulter tous les dossiers. Les compétences et les besoins propres des organismes doivent être examinés avant de décider les transmissions. ^[1]

Distinguer coopération et responsabilité conjointe

L’article 26 du RGPD concerne les responsables qui déterminent conjointement les finalités et les moyens. Ils doivent définir de manière transparente leurs obligations respectives, notamment pour les droits des personnes et l’information, dans les conditions du texte. Le contenu essentiel de l’accord doit être mis à disposition des personnes. Cette qualification ne se déduit pas seulement d’un partenariat, d’une subvention ou d’un portail visuellement commun. ^[3]

Deux organismes peuvent partager une infrastructure tout en poursuivant des traitements distincts. Leurs formulaires, décisions et accès peuvent alors être séparés. À l’inverse, une opération commune peut impliquer une détermination réellement conjointe d’un objectif et de ses moyens. La méthode consiste à qualifier chaque traitement et chaque phase, plutôt qu’à choisir une étiquette unique pour tous les échanges du projet.

L’accord entre partenaires doit être concret. Il indique qui informe les personnes, qui reçoit les demandes, comment les réponses sont coordonnées et qui met en œuvre les mesures de sécurité relevant de son périmètre. Une clause disant que chacun respecte le RGPD n’explique pas le circuit lorsqu’une personne demande la correction d’une donnée partagée. La répartition doit être utilisable par les équipes et compréhensible dans ses éléments essentiels.

Les articles 12 à 22 organisent la transparence et les droits dans les conditions prévues par le règlement. La qualification des rôles doit permettre leur exercice, et non créer une succession de renvois entre partenaires. Une personne qui contacte un organisme doit pouvoir être orientée dans un circuit effectif. La complexité institutionnelle du projet ne justifie pas une information ambiguë sur les opérations ou sur les interlocuteurs. ^[2]

Une commune, un CCAS et un fournisseur

Le cas est fictif. Une commune souhaite un portail unique pour plusieurs démarches et propose à son centre communal d’action sociale de l’utiliser pour recevoir des demandes d’aide. Le fournisseur assure l’hébergement et la maintenance. Le portail possède une page d’accueil commune, mais les demandes d’aide sont instruites dans le circuit du CCAS, tandis que les réservations d’activités municipales relèvent des services communaux. Les finalités ne sont pas identiques.

L’équipe commence par séparer les formulaires et les habilitations. Les agents chargés des réservations n’accèdent pas aux demandes d’aide. Le service informatique gère les comptes techniques sans recevoir un droit général de lecture des dossiers. La présentation commune du portail n’est donc pas utilisée comme argument pour fusionner les accès. Les responsables examinent leurs rôles par traitement et documentent les transmissions réellement nécessaires.

Une opération particulière exige ensuite une étude plus fine : les deux organismes souhaitent proposer une orientation commune vers les services adaptés. Ils doivent préciser quelles informations servent à cette orientation, qui définit les critères et quelles décisions sont prises. Si l’objectif et les moyens sont déterminés conjointement, l’article 26 appelle un accord adapté. Si l’orientation se limite à une information générale sans partage de dossiers, la qualification et les risques diffèrent. ^[3]

Le fournisseur est qualifié pour les opérations d’hébergement réalisées sur instruction. Le contrat décrit les catégories de données, la durée, les mesures de sécurité, l’assistance et les autres sous-traitants dans le cadre de l’article 28. Une clause prévoit initialement la réutilisation des contenus pour améliorer les services commerciaux. Les organismes demandent sa suppression pour les données du projet : cette réutilisation ne correspond pas à l’instruction d’hébergement qu’ils veulent confier. ^[3]

Une demande de rectification arrive ensuite. Une personne signale que ses coordonnées sont erronées dans son dossier d’aide et dans son compte de réservation. Le circuit distingue la correction du compte commun et celle des dossiers propres. Les équipes vérifient les données concernées, évitent une modification non maîtrisée dans un autre dossier et expliquent la suite donnée. Cette organisation montre qu’une interface unique peut nécessiter plusieurs opérations coordonnées.

Enfin, le fournisseur signale un incident de sécurité. Le contrat identifie les interlocuteurs capables de recevoir l’alerte et les informations attendues. Les organismes ne délèguent pas au prestataire la décision de considérer que l’incident serait sans conséquence pour les personnes. Ils examinent les faits dans leurs périmètres, avec l’appui des experts. La répartition des responsabilités devient ainsi un moyen d’agir, et non une clause utilisée après l’incident pour rechercher un responsable unique.

Le DPO conseille et contrôle sans devenir décideur

L’article 37 prévoit la désignation d’un délégué dans le cas des autorités et organismes publics, sous l’exception qu’il indique. Les articles 38 et 39 organisent son association en temps utile, ses moyens, son indépendance et ses missions de conseil et de contrôle. Le DPO doit donc être associé avant que les choix soient verrouillés. Il ne peut être réduit à la relecture d’une notice lorsque les flux et les contrats sont déjà fixés. ^[3]

Son avis ne constitue pas une autorisation générale du projet. Le responsable décide et doit être capable de démontrer les mesures prises. Un avis peut comporter des réserves, des demandes de pièces et une recommandation de modification. La direction doit en traiter les conséquences et conserver le raisonnement. Demander au DPO de signer une formule approuve le projet risque de masquer cette distinction et de créer une attente étrangère à sa mission.

Le responsable de sécurité apporte une expertise complémentaire. Il examine les accès, la disponibilité, la traçabilité et les mesures techniques. Le service métier explique les besoins et les conséquences d’une erreur. Le juriste examine les compétences et les instruments. Ces fonctions doivent se parler sans devenir interchangeables. Un chiffrement robuste ne démontre pas la licéité d’une collecte excessive ; une base juridique correcte ne démontre pas la sécurité du système.

L’objection concerne les petites structures, où une même personne exerce plusieurs fonctions. La répartition doit alors rester proportionnée, mais les conflits d’intérêts et l’indépendance du DPO doivent être examinés au regard de l’article 38. Un organigramme réduit ne fait pas disparaître les rôles. Il peut justifier une mutualisation de moyens et des circuits simples, à condition que les décisions et le conseil restent identifiables. ^[3]

Une nouvelle fonctionnalité peut aussi modifier les rôles. Si le fournisseur propose une analyse pour ses propres objectifs ou si les organismes créent une finalité commune, l’ancienne qualification ne doit pas être reconduite automatiquement. Le dossier décrit ce changement, les décisions prises et les exigences nouvelles. Cette revue évite qu’un contrat d’hébergement devienne, par une évolution silencieuse du produit, le support d’opérations que les organismes n’avaient jamais examinées.

Une matrice doit résoudre les situations concrètes

La matrice de responsabilités relie chaque opération à celui qui décide, réalise, conseille et reçoit l’information. Elle est testée sur trois événements : demande d’un usager, changement de finalité et incident. Dans le cas du portail, cet exercice révèle les accès trop larges, la clause de réutilisation et la nécessité de coordonner certaines corrections. Un document qui ne permet pas de traiter ces situations reste incomplet, même s’il utilise toutes les catégories du règlement.

La réponse à la question initiale est de partir des décisions effectives et de traduire les rôles dans des circuits utilisables. Le contrat encadre le fournisseur ; l’accord entre organismes clarifie les obligations communes ; le DPO éclaire et contrôle la conformité. La direction conserve sa responsabilité de décision. Cette articulation permet un projet partagé sans présenter la technologie, la coopération ou l’intervention d’un expert comme une dispense des obligations propres à chaque organisme.