Lorsque plusieurs organisations déterminent conjointement les finalités et les moyens essentiels d’un traitement de données personnelles, elles sont responsables conjoints au sens de l’article 26. Cette qualification s’apprécie pour des opérations identifiées. Un partenariat commercial, une technologie commune ou les rôles de fournisseur et de déployeur au titre d’un autre texte ne suffisent pas à la décider.
Pourtant, de nombreuses situations de co-responsabilité restent non formalisées, exposant les partenaires à une responsabilité solidaire accrue. Ce guide détaille le cadre juridique de l’article 26, explique comment identifier une situation de co-responsabilité, présente les clauses essentielles de l’accord et fournit des exemples concrets.
La distinction entre co-responsabilité et sous-traitance (article 28) est un préalable indispensable. La désignation d’un DPO facilite la coordination entre co-responsables et la gestion de leurs obligations respectives.
Points Clés
- L’article 26 s’applique dès que deux entités déterminent conjointement les finalités et les moyens essentiels d’un traitement de données personnelles.
- Les co-responsables doivent formaliser leurs obligations dans un accord transparent, dont les grandes lignes sont mises à disposition des personnes concernées.
- La qualification repose sur une analyse factuelle de l’influence réelle sur le traitement, indépendamment des termes contractuels.
- Les personnes concernées peuvent exercer leurs droits auprès de chacun des co-responsables, quelle que soit la répartition interne.
Le cadre juridique de l’article 26 du RGPD
L’article 26 du RGPD est structuré en trois paragraphes formant un cadre complet pour la responsabilité conjointe.
Le premier paragraphe pose le principe fondateur : lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont responsables conjoints. Ce critère est purement factuel. La CJUE a confirmé dans l’arrêt Wirtschaftsakademie (C-210/16) qu’il suffit d’exercer une influence déterminante sur les finalités ou les moyens essentiels pour être qualifié de co-responsable, même sans accès direct aux données.
Le premier paragraphe impose un accord déterminant de manière transparente les obligations respectives, sauf lorsqu’elles sont déjà déterminées par le droit de l’Union ou d’un État membre. Le deuxième précise que l’accord doit refléter les rôles et relations réels avec les personnes. Cet accord précise les modalités d’exercice des droits des personnes et les obligations d’information prévues aux articles 13 et 14. Ses grandes lignes doivent être accessibles aux personnes concernées.
Le troisième paragraphe protège les personnes en leur permettant d’exercer leurs droits à l’égard de chacun des responsables, indépendamment des termes de l’accord interne.
La co-responsabilité est une qualification factuelle : elle découle de l’influence réelle sur les finalités et les moyens du traitement, pas des termes du contrat.
Comment distinguer co-responsabilité et sous-traitance ?
La distinction entre responsabilité conjointe (article 26) et sous-traitance (article 28) est un enjeu central de la conformité. Une qualification erronée invalide le cadre contractuel et expose à des sanctions.
Critères d’identification du co-responsable
Le critère déterminant est le degré d’autonomie dans la définition des finalités et des moyens essentiels du traitement. Le sous-traitant agit sur instruction et ne détermine ni le pourquoi ni le comment fondamental. Il peut disposer d’une latitude sur les moyens techniques non essentiels sans devenir co-responsable.
Il faut établir une détermination conjointe des finalités et des moyens essentiels, au moyen de décisions communes ou convergentes. Une influence technique ou une finalité propre ne prouve pas, à elle seule, cette convergence. Dans l’arrêt Fashion ID (C-40/17), la CJUE a jugé qu’un site intégrant un bouton social de Facebook peut être responsable conjoint pour la collecte et la transmission auxquelles il participe, sans l’être automatiquement pour les traitements ultérieurs du réseau social.
Exemples concrets de co-responsabilité
Les situations de co-responsabilité touchent tous les secteurs. Deux entreprises mettant en place un programme de fidélité commun et décidant ensemble des données collectées et des actions marketing sont co-responsables. Un hôpital et un laboratoire collaborant sur une étude clinique en définissant conjointement le protocole de collecte relèvent de l’article 26. Les lignes directrices du CEPD précisent que les responsables d’une plateforme et les annonceurs co-définissant les critères de ciblage sont co-responsables.
Clauses essentielles de l’accord de co-responsabilité
L’accord prévu par l’article 26 doit couvrir l’ensemble des obligations liées au traitement conjoint.
La gestion des droits des personnes concernées doit être répartie : quel co-responsable reçoit et traite les demandes d’accès, de rectification ou de droit d’opposition ? Les obligations d’information doivent être attribuées : qui rédige les mentions conformes aux articles 13 et 14 ? La base juridique doit être identifiée par chaque co-responsable.
L’accord prévoit également la gestion des incidents de sécurité et la procédure de notification conformément à l’article 33. Les mesures de sécurité techniques et organisationnelles de chaque partie doivent être décrites.
Enfin, les conditions de fin de partenariat sont essentielles : sort des données personnelles, procédure de suppression ou d’anonymisation, gestion des demandes postérieures à la dissolution. Il est recommandé de tenir un registre des traitements reflétant la réalité de la co-responsabilité.
Comment mettre en oeuvre l’accord au quotidien ?
Un accord de co-responsabilité n’a de valeur que s’il est effectivement appliqué. Sa mise en oeuvre requiert des processus concrets et une gouvernance partagée.
Organisation de la coordination opérationnelle
Il est possible de désigner un point de contact pour les personnes concernées, identifiable via les mentions d’information ou un formulaire de collecte conforme. Des canaux de communication sécurisés entre co-responsables permettent le traitement des demandes de droits et la gestion des incidents.
Prévoyez une revue lors des évolutions significatives du traitement ; une périodicité annuelle peut être utile, sans être un minimum fixé par l’article 26. Les modifications des finalités, l’ajout de nouvelles catégories de données ou le changement de base juridique imposent une mise à jour et une information des personnes concernées.
Un accord de co-responsabilité est un document vivant : sa révision régulière est la condition de sa conformité durable.
Délimiter et mettre en œuvre l’accord : exemple de fidélité commune
Deux commerçants décident ensemble d’un programme : mêmes critères d’adhésion, catégories de données et avantages. Ils peuvent être responsables conjoints pour ce programme. Leur paie, leur comptabilité ou une campagne décidée séparément ne deviennent pas conjointes pour autant.
| Opération du programme | Répartition à écrire | Contrôle utile |
|---|---|---|
| Inscription | Qui fournit la notice et recueille les choix nécessaires ? | Même version d’information aux deux points d’entrée |
| Calcul des avantages | Qui fixe les règles et les données utilisées ? | Décisions communes documentées |
| Demande d’accès | Qui coordonne la recherche auprès des deux commerçants ? | Transmission interne permettant le délai de l’article 12 |
| Violation | Qui alerte les autres et prépare les notifications requises ? | Contacts joignables et décision partagée tracée |
| Sortie du programme | Quelles données chaque partie supprime ou conserve pour un motif distinct ? | Absence de réutilisation automatique du fichier commun |
Le point de contact facilite les démarches mais n’empêche pas une personne de s’adresser à l’autre responsable. Les grandes lignes accessibles doivent expliquer les rôles, sans imposer la publication des clauses commerciales intégrales. Reliez l’accord aux modalités de réponse de l’article 12 et aux conditions de notification.
Testez un cas fictif de demande reçue par le partenaire qui ne coordonne pas habituellement les réponses. Si elle reste bloquée chez lui, la répartition écrite ne fonctionne pas. Précisez alors les délais internes et la personne de remplacement.
Risques et sanctions en cas de non-conformité
Le non-respect de l’article 26 expose à des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, conformément à l’article 83 du RGPD.
L’article 82 distingue participation au traitement et responsabilité dans le dommage. Lorsque plusieurs responsables ou sous-traitants participent au même traitement et sont responsables d’un dommage dans les conditions des paragraphes 2 et 3, chacun peut être tenu de réparer l’ensemble du dommage. Des recours entre eux sont prévus. Il faut donc établir les conditions de responsabilité ; toute collaboration ne produit pas automatiquement une dette indemnitaire.
L’absence d’accord requis constitue un écart à corriger, sans préjuger à elle seule du montant d’une sanction. La démarche de mise en conformité doit intégrer un audit des situations de co-responsabilité.
FAQ
Une entreprise peut-elle être co-responsable sans le savoir ?
Oui, c’est une situation fréquente. La co-responsabilité est une qualification factuelle qui s’impose indépendamment de la volonté des parties. Une entreprise qui participe à la définition des finalités d’un traitement est co-responsable même si le contrat la qualifie de prestataire. La CJUE a réaffirmé ce principe dans l’arrêt Jehovan todistajat (C-25/17). Il est essentiel d’auditer régulièrement ses partenariats pour identifier les situations non formalisées.
L’accord de co-responsabilité doit-il être publié intégralement ?
Non. L’article 26 exige seulement que les grandes lignes de l’accord soient mises à disposition des personnes concernées. Un résumé accessible dans la politique de confidentialité, précisant l’identité des co-responsables, leurs rôles respectifs et le point de contact pour l’exercice des droits, suffit à satisfaire cette exigence de transparence.
Comment gérer une violation de données en situation de co-responsabilité ?
L’accord doit prévoir la procédure de gestion des violations. Idéalement, il désigne le co-responsable chargé de la notification à l’autorité dans le délai de 72 heures. Le co-responsable qui découvre la violation informe immédiatement les autres. Ils collaborent ensuite pour évaluer le risque, mettre en oeuvre les mesures correctives et communiquer aux personnes concernées. En l’absence de clause spécifique, chaque co-responsable doit s’assurer que les obligations de notification qui lui incombent sont remplies, selon le risque et la compétence des autorités.
Conclusion
L’article 26 du RGPD encadre une réalité croissante du traitement des données : la collaboration entre plusieurs acteurs déterminant ensemble les objectifs et modalités d’un traitement. Formaliser un accord de responsabilité conjointe constitue un outil de gouvernance indispensable pour sécuriser les partenariats et protéger les droits des personnes. Les organisations qui intègrent cette exigence dans leur démarche de conformité transforment une obligation réglementaire en levier de confiance, essentiel pour pérenniser leurs collaborations.
Sources vérifiées le 26 septembre 2026 : article 26 et article 82 RGPD, CEPD 07/2020 et CJUE Fashion ID, C-40/17.