Revendeur : responsable de traitement ou sous-traitant ?

Le partenaire qui revend un assistant IA est le plus souvent sous-traitant de son client pour les conversations des visiteurs : il traite ces données, ou les fait traiter par l'éditeur, pour le compte du client et sur ses instructions. Il devient responsable de traitement dès qu'il décide lui-même pourquoi ou comment ces données sont utilisées, par exemple pour ses propres besoins commerciaux. La réponse se donne traitement par traitement, pas une fois pour toute l'entreprise.

Les définitions du RGPD

Le RGPD (règlement général sur la protection des données) pose deux définitions à l'article 4 :

• le responsable du traitement est celui « qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement » (point 7) ;
• le sous-traitant est celui « qui traite des données à caractère personnel pour le compte du responsable du traitement » (point 8).

Le Comité européen de la protection des données (CEPD) le dit plus simplement : le responsable décide « comment » et « pourquoi » ; le sous-traitant agit uniquement sur ses instructions. Quand deux acteurs décident ensemble de la finalité et des moyens, ils sont responsables conjoints et doivent se répartir les obligations.

Les quatre indices pour trancher

Le guide du sous-traitant de la CNIL (Commission nationale de l'informatique et des libertés), édition de septembre 2017, reprend le faisceau d'indices de l'avis 1/2010 des autorités européennes. Voici comment le lire dans une revente d'assistant :

Aucun indice ne décide seul. Si votre client fixe l'usage et garde la main sur les données, vous penchez du côté du sous-traitant.

Une même entreprise, deux casquettes

La CNIL rappelle qu'un sous-traitant est généralement responsable de traitement pour ce qu'il fait pour son propre compte, par exemple la gestion de son personnel ou de ses clients. Son guide donne l'exemple d'une entreprise A qui envoie des courriers de prospection avec les fichiers de B et C : A est sous-traitant de B et C pour ces envois, et responsable pour la gestion de ses propres clients, dont B et C.

Transposé à votre activité :

• responsable pour votre fichier de clients et de prospects, votre facturation, vos salariés ;
• sous-traitant pour les conversations des visiteurs de chaque client.

La CNIL recommande alors de tenir deux registres distincts. Voir le registre du sous-traitant.

Le moment où le partenaire bascule

L'article 28, paragraphe 10, est clair : un sous-traitant qui détermine lui-même les finalités et les moyens d'un traitement est considéré comme responsable de ce traitement. Dans une revente, la bascule arrive souvent sans qu'on y pense :

• relire les conversations de vos clients pour y repérer des prospects ;
• les réutiliser pour monter une démonstration ;
• les rassembler pour améliorer votre propre offre.

La CNIL a précisé le 11/01/2022 les règles de cette réutilisation. Un sous-traitant ne peut réutiliser des données pour son propre compte que si la réutilisation est compatible avec le traitement d'origine et si le responsable l'a autorisée par écrit, pour un traitement déterminé. Il devient alors responsable du nouveau traitement, avec toutes les obligations du RGPD. Une autorisation « préalable et générale » de réutilisation ne peut pas être accordée légalement. La CNIL donne deux repères : l'amélioration de services d'informatique en nuage peut être compatible, avec des garanties comme l'anonymisation ; la prospection commerciale satisferait difficilement le test.

Pour les systèmes d'IA, la CNIL ajoute, dans sa fiche du 08/04/2024 sur la qualification des acteurs, qu'un prestataire qui utilise une même base de données pour plusieurs clients se trouve en règle générale face à un traitement distinct, dont il porte la responsabilité.

Et l'éditeur de la plateforme ?

Le guide de la CNIL exclut des sous-traitants les éditeurs de logiciels « dans la mesure où ils n'ont pas accès » aux données. Une plateforme qui exécute l'assistant et conserve les conversations y a accès. Deux montages se rencontrent :

1. Vous contractez avec l'éditeur et revendez le service : l'éditeur est votre sous-traitant, donc le sous-traitant ultérieur de votre client. Voir le sous-traitant ultérieur.
2. Votre client contracte directement avec l'éditeur et vous intervenez comme prestataire de paramétrage : l'éditeur est sous-traitant direct du client, et votre rôle dépend de votre accès aux données.

La grille en six questions

1. Qui a choisi à quoi sert l'assistant chez ce client ?
2. Qui décide des documents qu'il lit et de la durée de conservation ?
3. Avez-vous accès aux conversations, et pour quoi faire ?
4. Utilisez-vous ces données pour autre chose que le service rendu au client ?
5. Avec qui l'éditeur a-t-il signé : vous ou votre client ?
6. Les rôles sont-ils écrits dans le contrat, avec les instructions du client ?

Une réponse floue à la question 4 est le signal le plus net : c'est là que se crée une responsabilité que vous n'aviez pas prévue.

Cette page donne une information générale. La qualification d'un montage précis se fait avec un avocat ou un délégué à la protection des données (DPO).