La notion de responsabilite conjointe dans le RGPD
L’article 26 du RGPD definit les responsables conjoints de traitement comme deux ou plusieurs responsables de traitement qui determinent conjointement les finalites et les moyens du traitement. Cette situation se distingue de la relation responsable de traitement/sous-traitant ou deux responsables de traitement agissent de maniere independante.
La responsabilite conjointe se caracterise par une participation commune a la determination des finalites et des moyens essentiels du traitement. Il n’est pas necessaire que chaque responsable conjoint ait le meme degre de responsabilite ou d’implication dans le traitement. La participation peut etre inegale et prendre differentes formes.
Les situations de responsabilite conjointe
La responsabilite conjointe se rencontre frequemment dans les situations suivantes : deux entreprises qui gerent ensemble une plateforme de donnees, un groupe de societes qui partage une base de donnees clients, une association professionnelle et ses membres qui gerent conjointement un annuaire, ou encore un reseau de franchise qui exploite un systeme de fidelite commun.
La Cour de justice de l’Union europeenne a donne une interpretation large de la responsabilite conjointe. Dans l’affaire Fashion ID (2019), elle a juge que l’administrateur d’un site web integrant un bouton « J’aime » de Facebook est responsable conjoint avec Facebook pour la collecte et la transmission des donnees des visiteurs. Cette decision a elargi considerablement le champ de la responsabilite conjointe.
L’accord entre responsables conjoints
L’article 26 du RGPD impose aux responsables conjoints de definir de maniere transparente leurs obligations respectives. Cet accord doit determiner qui remplit les obligations d’information des personnes concernees, qui est le point de contact pour l’exercice des droits, et comment les responsabilites sont reparties entre les parties.
L’accord doit refleter fidelement les roles et les relations respectifs des responsables conjoints vis-a-vis des personnes concernees. Les grandes lignes de l’accord doivent etre mises a la disposition des personnes concernees, par exemple dans la politique de confidentialite.
Les consequences pratiques de la responsabilite conjointe
La personne concernee peut exercer ses droits a l’egard de chacun des responsables conjoints, quel que soit le contenu de l’accord entre eux. Chaque responsable conjoint est tenu de donner suite aux demandes d’exercice des droits, meme si l’accord prevoit que cette responsabilite incombe a l’autre partie.
En cas de dommage cause par le traitement, chaque responsable conjoint est potentiellement responsable de l’integralite du dommage. Le responsable qui a verse la totalite de l’indemnisation peut ensuite se retourner contre les autres responsables conjoints pour obtenir leur part de responsabilite, conformement a l’accord entre eux.
