La notion de responsabilité conjointe dans le RGPD
L’article 26 du RGPD définit les responsables conjoints de traitement comme deux ou plusieurs responsables de traitement qui déterminent conjointement les finalités et les moyens du traitement. Cette situation se distingue de la relation responsable de traitement/sous-traitant ou deux responsables de traitement agissent de manière indépendante.
La responsabilité conjointe se caractérise par une participation commune à la détermination des finalités et des moyens essentiels du traitement. Il n’est pas nécessaire que chaque responsable conjoint ait le même degré de responsabilité ou d’implication dans le traitement. La participation peut être inégalé et prendre différentes formes.
Les situations de responsabilité conjointe
La responsabilité conjointe se rencontre fréquemment dans les situations suivantes : deux entreprises qui gèrent ensemble une plateforme de données, un groupe de sociétés qui partage une base de données clients, une association professionnelle et ses membres qui gèrent conjointement un annuaire, ou encore un réseau de franchise qui exploite un système de fidélité commun.
La Cour de justice de l’Union européenne a donné une interprétation large de la responsabilité conjointe. Dans l’affaire Fashion ID (2019), elle a jugé que l’administrateur d’un site web intégrant un bouton « J’aime » de Facebook est responsable conjoint avec Facebook pour la collecte et la transmission des données des visiteurs. Cette décision à élargi considérablement le champ de la responsabilité conjointe.
L’accord entre responsables conjoints
L’article 26 du RGPD impose aux responsables conjoints de définir de manière transparente leurs obligations respectives. Cet accord doit déterminer qui remplit les obligations d’information des personnes concernées, qui est le point de contact pour l’exercice des droits, et comment les responsabilités sont reparties entre les parties.
L’accord doit refléter fidèlement les rôles et les relations respectifs des responsables conjoints vis-à-vis des personnes concernées. Les grandes lignes de l’accord doivent être misés à la disposition des personnes concernées, par exemple dans la politique de confidentialité.
Les conséquences pratiques de la responsabilité conjointe
La personne concernée peut exercer ses droits à l’égard de chacun des responsables conjoints, quel que soit le contenu de l’accord entre eux. Chaque responsable conjoint est tenu de donner suite aux demandes d’exercice des droits, même si l’accord prévoit que cette responsabilité incombe à l’autre partie.
En cas de dommage causé par le traitement, chaque responsable conjoint est potentiellement responsable de l’intégralité du dommage. Le responsable qui a versé la totalité de l’indemnisation peut ensuite se retourner contre les autres responsables conjoints pour obtenir leur part de responsabilité, conformément à l’accord entre eux.
