Responsable de traitement, sous-traitant, DPO et gouvernance interne (registre, PIA/AIPD, privacy by design et by default)
Ce domaine teste la répartition des rôles - donc de la responsabilité - et les outils de gouvernance attendus d'une organisation conforme.
Qui est qui
Le responsable (art. 4.7) détermine finalités et moyens ; le sous-traitant (art. 4.8) agit pour son compte sur instructions documentées. La responsabilité conjointe (art. 26) suppose une détermination conjointe des finalités, formalisée par un accord dont l'essentiel est publié. Le DPO (art. 37-39) conseille, informe et contrôle ; sa désignation est obligatoire pour une autorité publique, un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles ; elle est communiquée à la CNIL et le DPO ne doit pas être en conflit d'intérêts.
Gouvernance interne
Registre des activités de traitement (art. 30), politique de protection des données, procédure de gestion des droits, PIA/AIPD pour les traitements à risque élevé (art. 35), privacy by design et by default (art. 25), contrat de sous-traitance complet (art. 28), formation et sensibilisation.
Exemple raisonné
Un éditeur SaaS héberge les données RH de ses clients. Raisonnement : sous-traitant pour l'hébergement (instructions, sous-traitants ultérieurs autorisés par écrit, assistance, audit) ; mais responsable de ses propres traitements (facturation, journaux d'usage, support) et donc tenu d'un registre propre. S'il exploite les données clients pour entraîner un modèle, il fixe une finalité : requalification en responsable, sauf instruction documentée contraire.
Pièges à éviter
- Croire que le sous-traitant n'a aucune obligation propre : les articles 30 § 2, 32 et 33 § 2 lui imposent des devoirs.
- Nommer DPO un dirigeant informatique qui définit les moyens techniques.
- Oublier l'autorisation écrite préalable pour tout sous-traitant ultérieur.
- Confondre registre du responsable et registre du sous-traitant.