Responsable de traitement

Définition

Le responsable de traitement est la personne ou l’organisme qui décide pourquoi des données personnelles sont utilisées et détermine les moyens essentiels de cette utilisation dans le cadre applicable.

Dit autrement

C’est l’acteur qui choisit la destination du dossier et les grandes règles de son utilisation, même si un prestataire le range pour lui.

Un exemple

Une association décide de collecter les coordonnées de ses adhérents. Même si elle utilise un logiciel externe, elle reste responsable des choix concernant son fichier d’adhésion.

Le responsable de traitement décide des objectifs et des moyens essentiels d’une utilisation de données personnelles. Il peut être un organisme, et pas uniquement la personne qui répond à votre courriel.

Comment ça marche

Dans le cadre du RGPD, un traitement est une opération sur des données : collecte, classement, consultation ou transmission, par exemple. L’acteur qui en détermine les objectifs et les moyens essentiels assume le rôle de responsable. Il peut faire appel à un sous-traitant pour des opérations réalisées pour son compte.

La CNIL définit le responsable de traitement. Le rôle dépend des décisions réellement prises, pas seulement du nom inscrit dans un contrat. Plusieurs acteurs peuvent parfois déterminer ensemble les éléments essentiels d’une utilisation.

Pourquoi c'est important pour vous

Identifier ce responsable permet de demander des explications au bon endroit. Le nom commercial de l’application, l’hébergeur du site et l’organisme qui gère votre dossier peuvent être différents. La notice de confidentialité doit vous aider à comprendre qui répond de l’utilisation concernée.

Pour une demande, indiquez le compte ou le dossier permettant de vous retrouver. Si un délégué à la protection des données est désigné, ses coordonnées peuvent constituer un point de contact. Il conseille et facilite les échanges, sans devenir automatiquement le responsable du traitement.

Dans un exemple fictif, un club utilise une plateforme pour gérer les inscriptions. Une erreur d’adresse doit être signalée au contact prévu pour le dossier du club. Écrire uniquement au développeur du logiciel peut ne pas permettre de résoudre la question, car il ne décide pas nécessairement du contenu du fichier.

À ne pas confondre avec le propriétaire technique

Détenir le serveur ou fournir l’outil ne signifie pas forcément choisir les objectifs de l’utilisation des données. Inversement, externaliser le stockage ne fait pas disparaître les obligations de l’organisme qui décide de cette utilisation.

La leçon pour exercer vos droits sur vos données aide à préparer la demande. Si les rôles restent flous, demandez quel organisme prend les décisions et où adresser votre démarche, plutôt que multiplier les envois contenant vos justificatifs.