Responsable de traitement, sous-traitant et prestataires : qualifier les rôles

Vérifier le cadre de l'article 28

Lorsqu'une sous-traitance est retenue, le traitement doit être encadré par un contrat ou un acte juridique qui décrit objet, durée, nature, finalité, types de données, personnes concernées, obligations et droits du responsable. Il doit aussi traiter les instructions, la confidentialité, la sécurité, l'aide aux droits, les violations, les sous-traitants ultérieurs et la fin de prestation.

La signature ne clôt pas l'analyse. Le responsable vérifie les garanties, l'effectivité des mesures et les changements de chaîne de sous-traitance. Le prestataire alerte lorsqu'une instruction lui paraît contraire au RGPD. Une annexe générique non reliée aux opérations réelles ne permet ni de piloter les accès ni de réagir correctement à un incident.

• Périmètre du traitement et finalités nommés.
• Données, personnes et durées explicites.
• Sous-traitants ultérieurs encadrés.
• Aide aux droits et aux violations organisée.
• Sort des données défini à la fin du service.

Traiter les rôles multiples et les cas limites

Un propriétaire, un gestionnaire, une plateforme et un prestataire de terrain peuvent intervenir dans une même activité sans partager une qualification unique. Le gestionnaire peut agir comme mandataire opérationnel tout en décidant seul de son fichier de prospection. La plateforme peut déterminer ses propres traitements contractuels. Le prestataire de ménage n'est pas nécessairement sous-traitant s'il ne reçoit aucune donnée personnelle utile à sa mission.

Pour chaque cas, conservez la finalité, les décisions observées, le contrat lu, la conclusion, le relecteur et la date. Si deux acteurs déterminent conjointement finalités et moyens essentiels, documentez l'analyse de responsabilité conjointe et la répartition transparente. Une incertitude importante est un motif d'escalade, pas une invitation à choisir la qualification la plus pratique.

Produire une fiche de qualification exploitable

La fiche de sortie tient sur une page par traitement : finalité, acteurs, données, décision sur les rôles, indices, source, contrat, obligations, points ouverts et prochaine revue. Elle alimente ensuite la matrice de responsabilités et le plan de violation. Elle ne contient pas les données des voyageurs ou locataires dont elle décrit seulement la gouvernance.

Révisez la qualification lors d'une nouvelle finalité, d'un changement de prestataire, d'une fonctionnalité de suivi ou d'une réutilisation annoncée. Contrôlez un échantillon d'accès et d'instructions pour vérifier que la pratique correspond au document. Si l'écart persiste, suspendez le flux non nécessaire et obtenez une décision du rôle compétent.

1. Créer une fiche par traitement.
2. Joindre les indices et clauses utiles.
3. Faire relire les cas ambigus.
4. Reporter les rôles dans la matrice.
5. Programmer la revue et les tests d'effectivité.

Après une rectification : organiser la notification aux destinataires

Complément vérifié le 11 octobre 2026. Une donnée personnelle corrigée dans le dossier du responsable peut rester erronée dans une copie précédemment transmise. L’article 19 du RGPD prévoit que le responsable notifie la rectification à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou efforts disproportionnés. Il fournit à la personne concernée des informations sur ces destinataires si elle les demande. Cette obligation de notification ne prouve pas que chaque système a déjà été corrigé.

La CNIL conseille d’identifier l’organisme et son canal d’exercice des droits, puis de conserver la demande et les réponses. Décrivez le champ concerné, la correction demandée et la référence utile sans transmettre tout le dossier. Une erreur encore visible chez un tiers peut être signalée au responsable avec sa source et sa date d’observation ; ne déduisez pas d’un nom de partenaire qu’il a reçu cette donnée précise. Demandez quelles notifications ont été effectuées et les informations sur les destinataires. Une impossibilité ou des efforts disproportionnés invoqués restent une réponse à examiner, pas une correction réalisée.

Pour coordonner, séparez correction annoncée, correction vérifiée sur le périmètre connu, notification effectivement envoyée, réponse reçue et correction confirmée chez le destinataire. Le responsable organise la suite ; un sous-traitant agit selon ses instructions et un destinataire ayant ses propres finalités doit être qualifié pour ce traitement. Une réponse « transmis au partenaire » ne suffit pas à déclarer la copie à jour. Ne contournez pas les habilitations pour vérifier un fichier tiers et ne publiez pas les pièces dans un groupe. Le suivi conserve les points ouverts sans promettre une propagation automatique, un délai technique universel ou l’effacement de l’historique.

Cas fictif : adresse corrigée, fiche d’intervention encore ancienne

Nora fait corriger son numéro d’appartement auprès du gestionnaire. Celui-ci confirme la correction de son dossier courant. Une fiche d’intervention datée ensuite, envoyée par le prestataire, porte toujours l’ancien numéro. Nora conserve la référence et signale ce fait par le canal connu, avec le seul champ utile. Elle demande des informations sur les destinataires de la donnée et sur la notification de la rectification. Dans cette fiction, le gestionnaire retrouve la transmission antérieure au prestataire et lui adresse effectivement la correction ; cette étape est enregistrée séparément de la modification du dossier.

Le prestataire accuse réception mais ne confirme pas encore la mise à jour de sa fiche : le suivi reste « notification reçue, correction chez ce destinataire à confirmer ». Une nouvelle fiche ensuite reçue et contrôlée peut démontrer que son numéro est corrigé, sans établir que toutes les archives ou autres copies le sont. Si l’erreur a déjà entraîné un déplacement ou une facture contestée, cette conséquence fait l’objet d’un suivi distinct : corriger une adresse ne résout pas automatiquement le désaccord. Aucun dossier réel n’est consulté, aucune notification réelle n’est envoyée et aucune synchronisation entre produits DOHM n’est annoncée.