Question
Un sous-traitant doit-il désigner un DPO ?
Partenaire qui revend des assistants IA : les trois cas où l'article 37 du RGPD impose au sous-traitant un délégué à la protection des données.
Mis à jour le
Oui, dans les mêmes cas que le responsable de traitement. L'article 37 du RGPD (règlement général sur la protection des données) vise « le responsable du traitement et le sous-traitant ». Un délégué à la protection des données (DPO) est obligatoire si l'organisme est public, si ses activités de base consistent en un suivi régulier et systématique de personnes à grande échelle, ou si elles consistent à traiter à grande échelle des données sensibles ou judiciaires. Le point qui compte pour un partenaire : l'obligation s'apprécie chez vous, d'après l'ensemble de vos clients, pas client par client.
Les trois cas de l'article 37
| Cas | Ce que dit l'article 37, paragraphe 1 | Lecture pour un partenaire qui revend des assistants |
|---|---|---|
| a | Le traitement est effectué par une autorité ou un organisme public | Rare chez un partenaire privé |
| b | Les activités de base consistent en des traitements qui exigent un suivi régulier et systématique à grande échelle des personnes | À examiner si vos assistants suivent le comportement des visiteurs (historique d'une visite à l'autre, profils, relances) pour de nombreux clients |
| c | Les activités de base consistent en un traitement à grande échelle de données sensibles ou judiciaires | À examiner si vos assistants sont conçus pour recueillir, par exemple, des informations de santé |
Les trois cas sont indépendants : un seul suffit.
L'exemple qui concerne directement les revendeurs
Le guide du sous-traitant de la CNIL (Commission nationale de l'informatique et des libertés), édition de septembre 2017, reprend deux exemples des lignes directrices européennes sur le DPO adoptées le 05/04/2017.
Premier exemple. Une petite entreprise familiale d'électroménager, dans une seule ville, recourt à un sous-traitant dont l'activité de base est l'analyse de sites internet et l'aide à la publicité ciblée. Pris isolément, ni l'entreprise ni ses clients ne relèvent d'un traitement « à grande échelle ». Mais le sous-traitant a un grand nombre de clients comme elle : prises globalement, ses activités sont à grande échelle. Il doit désigner un délégué (article 37, paragraphe 1, point b). L'entreprise familiale, elle, n'y est pas tenue.
Second exemple. Un fabricant de carrelage de taille moyenne sous-traite la médecine du travail. Le sous-traitant, qui a beaucoup de clients similaires dans son département, traite des données de santé à grande échelle : il doit désigner un délégué (point c). Le fabricant n'y est pas nécessairement tenu.
Le parallèle avec la revente d'assistants est direct : chacun de vos clients est petit, mais vous additionnez leurs visiteurs.
La grille pour votre situation
- Votre activité de base est-elle de faire fonctionner des assistants pour vos clients, ou est-ce une activité annexe ?
- Les assistants suivent-ils les personnes dans la durée : reconnaissance d'un visiteur d'une visite à l'autre, profil, score, relance ?
- Recueillent-ils, par leur objet, des données sensibles : santé, opinions, religion, appartenance syndicale ? (Voir les données sensibles dans un chatbot.)
- Quel volume représentent vos clients additionnés : nombre de visiteurs, de conversations, durée de conservation ?
Les textes lus pour cette page ne donnent pas de seuil chiffré pour la « grande échelle ». Si vous répondez « oui » aux questions 2 ou 3 avec un volume important, faites trancher la question par un avocat ou un professionnel de la protection des données.
Même sans obligation
La CNIL recommande la désignation d'un délégué au-delà des cas obligatoires, parce qu'elle donne à l'organisme un expert chargé de piloter la conformité. Pour un partenaire, ce rôle a un intérêt pratique : c'est la personne qui reçoit les questions de vos clients sur le registre, l'analyse d'impact ou une violation de données.
Si vous en désignez un, ses coordonnées figurent dans votre registre de sous-traitant. Le guide de la CNIL précise que le délégué d'un sous-traitant supervise aussi les traitements que l'organisme mène pour son propre compte.
Cette page est une information générale, pas un avis juridique.
Questions fréquentes
Mes clients n'ont pas de DPO : puis-je m'en passer ?
Pas forcément. L'obligation s'apprécie chez vous, d'après vos propres activités de base. Les exemples repris par la CNIL montrent un sous-traitant tenu d'en désigner un alors que ses petits clients ne le sont pas.
Le DPO d'un sous-traitant s'occupe-t-il aussi de ses propres fichiers ?
Oui. Selon le guide de la CNIL, le délégué désigné par un sous-traitant supervise aussi les traitements que l'organisme mène comme responsable, par exemple la gestion de son personnel.
Sources
Pages consultées pour écrire cet article :