Quelle est la différence entre responsable du traitement et sous-traitant ?

La distinction repose d’abord sur le rôle décisionnel. Le responsable du traitement est la personne privée ou l’organe fédéral qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données personnelles. Autrement dit, il décide pourquoi les données sont traitées et comment ce traitement est organisé. Le sous-traitant, lui, ne se définit pas par ce pouvoir de décision: il traite des données personnelles pour le compte du responsable du traitement. La différence essentielle est donc la suivante: celui qui fixe le but et les moyens est responsable du traitement; celui qui exécute le traitement pour ce responsable est sous-traitant.^[1]

Pour appliquer correctement cette distinction, il faut aussi comprendre ce que recouvre le mot traitement. Il s’agit de toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données. Ainsi, une entité peut accomplir matériellement ces opérations sans être responsable du traitement si elle agit pour le compte d’une autre. À l’inverse, une entité peut être responsable du traitement même si elle confie l’exécution pratique de certaines opérations à un tiers, dès lors qu’elle détermine les finalités et les moyens. Il faut donc vérifier, dans la situation concrète, qui décide du but poursuivi et des modalités essentielles du traitement.^[1]

• Vérifier qui détermine les finalités du traitement de données personnelles.
• Vérifier qui détermine les moyens du traitement.
• Vérifier si une personne privée ou un organe fédéral agit seul ou conjointement avec d’autres.
• Vérifier si l’entité qui traite les données le fait pour le compte du responsable du traitement.
• Tenir compte du fait que le traitement couvre notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données.

^[1]

Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Il faut vérifier la disposition actuellement en vigueur ainsi que toute modification ultérieure avant d’agir.^[1]