Le choix entre l’article 28 et l’article 26 dépend des décisions réellement prises pour une opération de traitement. Un fournisseur peut être sous-traitant pour un service et responsable distinct pour une autre finalité. Une responsabilité conjointe suppose une détermination conjointe des finalités et des moyens essentiels ; elle n’est pas la solution par défaut en cas de doute.
Cet article fournit un arbre de décision fondé sur les critères du RGPD, six exemples concrets de qualification, et les conséquences contractuelles de chaque scénario.
Pour la rédaction du contrat dans le cas sous-traitant, voir modèle DPA Article 28. Pour la méthode d’audit, checklist Article 28.
Points clés
- L’article 28 (sous-traitant) suppose que la partie agit uniquement sur instruction du responsable. Pas de finalité propre pour l’opération sous-traitée ; une latitude sur les moyens non essentiels reste possible.
- L’article 26 (co-responsabilité) suppose que les deux parties déterminent conjointement les finalités et les moyens du traitement.
- La qualification ne dépend pas de la dénomination contractuelle. La CJUE et la CNIL examinent les conditions réelles d’exercice.
- Trois critères factuels : finalité (qui décide ?), moyens (qui définit le périmètre ?), bénéfice (qui en retire un avantage propre ?).
- En cas de doute, documenter les décisions de chaque partie ; ni le bénéfice commercial ni l’étiquette contractuelle ne tranchent seuls.
1. Les trois statuts RGPD
Le RGPD distingue trois rôles dans le traitement de données :
| Rôle | Définition | Article |
|---|---|---|
| Responsable de traitement | Détermine les finalités et les moyens | Art. 4 §7 |
| Sous-traitant | Traite les données pour le compte du responsable, sur instruction | Art. 4 §8, Art. 28 |
| Co-responsable | Détermine conjointement avec un autre responsable les finalités et les moyens | Art. 26 |
Une quatrième situation existe en pratique : deux responsables distincts et autonomes qui se transmettent des données pour leurs finalités respectives (par exemple, banque et avocat). Pas de co-responsabilité — chacun est responsable de son traitement, et le transfert est encadré par les règles de transferts entre responsables (intérêt légitime, consentement, ou base légale propre).
2. L’arbre de décision par opération
Définir l'opération, ses finalités, ses données et ses destinataires.
|
Les parties déterminent-elles conjointement les finalités et moyens essentiels ?
|-- Oui : responsabilité conjointe pour cette opération (article 26).
|-- Non : examiner le rôle de chaque partie séparément.
|
B traite-t-elle pour le compte de A, selon ses instructions,
sans déterminer une finalité propre pour cette opération ?
|-- Oui : sous-traitance (article 28), avec latitude technique non essentielle.
|-- Non : B peut être responsable distinct pour son traitement propre.
Vérifier la licéité de la communication et de chaque réutilisation.
Des décisions convergentes peuvent établir la responsabilité conjointe sans décision formelle commune, lorsqu’elles se complètent et sont nécessaires au traitement de manière indissociable. Le partage d’un outil, de données ou d’un avantage économique ne suffit pas isolément. Les lignes directrices 07/2020 du CEPD détaillent ces critères.
3. Les trois critères factuels
Critère 1 — Qui détermine la finalité ?
La finalité est la raison d’être du traitement. Si B utilise les données pour ses propres finalités (analyse marketing, profilage de ses clients, optimisation de son service), B est responsable ou co-responsable, pas sous-traitant.
Exemple : une plateforme analytics qui agrège les données de tous ses clients pour produire des benchmarks sectoriels — finalité propre à analyser comme une responsabilité distincte ou conjointe selon les décisions des parties ; la seconde ne se déduit pas automatiquement de la première.
Critère 2 — Qui définit les moyens essentiels ?
Les moyens essentiels incluent : décisions sur les durées de conservation, sur les destinataires, sur le périmètre des données collectées. Le sous-traitant peut conserver une latitude sur des moyens non essentiels, par exemple certains choix de matériel ou de configuration. Le choix d’un algorithme doit être apprécié selon son influence réelle sur le traitement ; il n’est pas toujours accessoire.
Exemple : un fournisseur de service email transactionnel — moyens techniques uniquement, sous-traitance.
Exemple : deux partenaires décident ensemble de l’objectif du ciblage, des catégories de données et des personnes visées. Cette codétermination peut établir une responsabilité conjointe pour les opérations correspondantes.
Critère 3 — Existe-t-il un usage propre derrière le bénéfice annoncé ?
La rémunération ou l’intérêt commercial commun ne suffit pas. Recherchez un usage concret : B conserve-t-il des données personnelles pour son marketing ou un produit destiné à d’autres clients ? Cette finalité propre demande une qualification séparée, puis l’examen d’une éventuelle codétermination avec A.
Dans Fashion ID, le raisonnement porte notamment sur la participation aux finalités et moyens de la collecte et de la transmission. Le bénéfice économique n’est pas, à lui seul, le test de responsabilité conjointe.
4. Six cas pratiques de qualification
Cas 1 — Hébergement sur instruction
Un hébergeur conserve les fichiers du client selon ses instructions, sans les exploiter pour une finalité propre : cette opération relève de la sous-traitance. Ses activités distinctes, comme certaines obligations légales de gestion de comptes, demandent une analyse séparée. Le choix technique d’un serveur ne le rend pas automatiquement responsable du fichier hébergé.
Cas 2 — Service d’analyse et réutilisation pour un produit propre
Le prestataire réalise d’abord des statistiques exclusivement pour son client, puis veut réutiliser les données personnelles pour vendre un produit à d’autres clients. Séparez les opérations. La première peut relever de l’article 28 ; la seconde peut relever d’une responsabilité distincte ou conjointe selon les faits. Une option de partage désactivée ne tranche pas à elle seule toutes les finalités du service.
Cas 3 — Collecte via un module social
Dans Fashion ID, C-40/17, la CJUE distingue la collecte et la transmission liées au module des traitements ultérieurs. L’exploitant du site peut être responsable conjoint pour les opérations dont il codétermine les finalités et moyens, sans l’être pour toute exploitation ultérieure du réseau. Délimitez les flux plutôt que de qualifier globalement une marque publicitaire.
Cas 4 — Conseil d’un avocat
Pour les traitements dont il détermine les finalités et moyens dans l’exercice de sa mission professionnelle, le cabinet peut être responsable distinct. Le fait que le client le rémunère ne le transforme pas en sous-traitant. Identifiez les catégories de personnes et la base permettant leur communication ; les personnes dont le dossier contient les données ne sont pas nécessairement parties au contrat de conseil.
Cas 5 — Prestations comptables distinctes
Une saisie effectuée strictement selon les instructions du client peut relever de la sous-traitance. Une mission imposant au professionnel des décisions et obligations propres appelle une autre qualification. N’attribuez donc pas un statut unique à tout cabinet comptable : décomposez tenue, conseil, contrôles et éventuelles obligations légales.
Cas 6 — Prestataire dans la chaîne de sous-traitance
Le fournisseur d’envoi transactionnel utilisé par un CRM peut être sous-traitant ultérieur pour l’envoi réalisé pour le compte du responsable initial. Vérifiez l’autorisation, la transmission des obligations et les finalités du fournisseur. Sa place au second rang de la chaîne ne crée pas une finalité propre, mais ne dispense pas de l’examiner.
Ces six situations sont des exemples de qualification, pas des validations contractuelles de fournisseurs particuliers.
5. Tableau de synthèse : conséquences contractuelles
| Aspect | Art. 28 (sous-traitance) | Art. 26 (co-responsabilité) |
|---|---|---|
| Contrat | DPA conforme art. 28 §3 | Accord de co-responsabilité (art. 26 §1) |
| Information aux personnes | Politique unique du responsable | Mentions obligatoires sur la répartition des responsabilités, accessibles aux personnes |
| Point de contact | Responsable, avec assistance du sous-traitant | Peut être désigné ; les droits restent exerçables auprès de chacun |
| Exercice des droits | Adressés au responsable, transmis au sous-traitant | Personnes peuvent exercer auprès de l’un OU l’autre |
| Réparation du dommage | Article 82 : obligations propres/instructions et conditions des paragraphes 2 à 4 | Article 82 : participation et responsabilité dans le dommage à établir |
| Sanctions CNIL | Ciblées sur la défaillance | Ciblées sur les deux ou l’un des co-responsables |
L’article 82(4) peut concerner responsables et sous-traitants participant au même traitement et responsables du dommage dans les conditions légales. Il ne faut donc pas promettre une absence générale de solidarité en choisissant l’article 28.
6. Comment se prémunir d’une requalification ?
Six bonnes pratiques :
- Audit annuel des relations contractuelles avec les fournisseurs traitant des données. Identifier ceux qui ont une finalité propre (analytics avec partage, publicité ciblée, plateformes de matching).
- DPA conforme pour les sous-traitants vérifiés (voir modèle DPA).
- Accord de responsabilité conjointe pour les opérations effectivement qualifiées ainsi, avec périmètre et répartition des obligations.
- Information transparente des personnes concernées sur la double qualité (politique de confidentialité, mentions de cookies).
- Désactivation du partage de données dans les outils analytics quand l’option existe.
- Recours à un conseil juridique pour les relations contractuelles ambiguës (analytics premium, plateformes IoT, partenariats data).
7. Cas particulier : groupes de sociétés
Au sein d’un groupe, les transferts entre filiales peuvent être qualifiés de :
- Co-responsabilité : si les finalités et les moyens essentiels (par exemple, gestion RH centralisée pour le groupe) sont conjointement définis.
- Sous-traitance : si une filiale agit pour le compte d’une autre (centre de services partagés agissant strictement sur instruction).
- Responsables distincts : si chaque filiale a sa propre finalité (exemple, holding et filiales opérationnelles avec activités distinctes).
Le critère reste factuel : un groupe ne choisit pas librement une qualification plus commode. Une centralisation informatique peut organiser une sous-traitance, des responsabilités distinctes ou un traitement conjoint selon les décisions réelles.
La fiche de qualification à joindre au contrat
Pour chaque opération, consignez : finalité, personnes concernées, données, décideur des durées, décideur des destinataires, instructions possibles et usages propres du prestataire. Citez les pièces : description de service, paramètres, contrat et échanges sur les décisions.
Exemple fictif : le contrat dit « sous-traitant », mais le fournisseur se réserve le droit d’utiliser les données nominatives pour son marketing. Demandez quel usage est effectivement prévu, s’il peut être désactivé et qui le décide. Corrigez les faits et les clauses, puis examinez la base juridique et l’information ; signer à la fois un DPA et un accord de responsabilité conjointe sans délimiter les opérations ne résout pas l’ambiguïté.
Faites valider la fiche par les responsables du projet et prévoyez sa réouverture si une nouvelle finalité apparaît. Le guide de l’article 26 aide à rédiger la répartition lorsque la responsabilité conjointe est établie ; la trame DPA correspond au cas de sous-traitance.
Conclusion
La qualification article 28 vs article 26 ne dépend pas du nom du contrat. Elle dépend des décisions réelles concernant les finalités et les moyens essentiels de chaque opération. Une mauvaise qualification expose le responsable à une requalification CNIL et à une responsabilité solidaire imprévue. L’arbre de décision sert à produire une justification documentée pour chaque opération, sans présumer du nombre de fournisseurs ni du résultat.
Pour aller plus loin : modèle DPA Article 28, checklist audit sous-traitants, guide article 28 RGPD, article 26 RGPD.
FAQ
Comment savoir si un fournisseur est sous-traitant ou co-responsable ?
Identifiez qui décide des finalités et des moyens essentiels, puis examinez si ces décisions sont conjointes. Une finalité propre ou un bénéfice peut révéler une responsabilité, mais pas nécessairement une responsabilité conjointe.
Le contrat peut-il imposer la qualification de sous-traitance ?
Non. La qualification est déterminée par les conditions factuelles, pas par la dénomination contractuelle. La CJUE et la CNIL requalifient régulièrement. Un contrat de sous-traitance qui décrit en réalité une co-responsabilité est inopérant pour son volet “qualification”.
Google Analytics est-il sous-traitant ou co-responsable ?
Le nom ou la version du produit ne suffit pas. Examinez les opérations, les paramètres, les conditions applicables et les usages propres du fournisseur. Distinguez mesure pour le client et réutilisations ; ne signez pas deux accords contradictoires pour éviter cette qualification factuelle.
Que se passe-t-il en cas de co-responsabilité non formalisée ?
L’absence d’accord de co-responsabilité (article 26 §1) est un manquement sanctionnable. Les personnes concernées peuvent en outre adresser leurs demandes à l’une ou l’autre des parties — une partie non formalisée est exposée à des demandes qu’elle ne peut traiter sans la coopération de l’autre.
Le responsable peut-il être sanctionné pour la défaillance d’un sous-traitant ?
Le responsable conserve ses obligations propres : choix de garanties suffisantes, contrat et suivi adaptés. La défaillance du sous-traitant ne prouve pas automatiquement celle du responsable ; il faut examiner les faits et les obligations de chacun.
Sources vérifiées le 26 septembre 2026 : CEPD 07/2020, RGPD, articles 26, 28 et 82 et arrêt Fashion ID précité.