L’autorité de contrôle française, la CNIL, a adopté le 12 janvier 2022 Lignes directrices pour l’utilisation ultérieure de données personnelles traitées sur mandat par des sous-traitants (“Sous-traitants : la réutilisation de données confiées par un responsable de traitement”).
La CNIL part du principe que les sous-traitants doivent traiter des données personnelles uniquement sur instruction documentée du responsable du traitement mais pas à ses propres fins et de sa propre initiative (sous réserve d’obligations légales exigeant un traitement différent). Dans le cas contraire, le sous-traitant devient responsable et encourt les risques de responsabilité et de sanction correspondants.
Mais les personnes qui traitent les commandes ont souvent besoin, et c’est compréhensible, d’avoir accès aux données des commandes. également à des fins personnelles d’utiliser, en particulier dans le domaine des services informatiques, une forme de Apprentissage automatique de l’entreprise. Le responsable du traitement peut autoriser une telle utilisation sous certaines conditions et, en même temps, le sous-traitant est tributaire de cette autorisation.
C’est là que la CNIL intervient – le responsable doit procéder comme suit :
- Test de compatibilitéDans la mesure où la réutilisation par le sous-traitant poursuit une finalité différente de celle qui a justifié la collecte initiale (obtention), le responsable du traitement doit vérifier que cette nouvelle finalité est compatible avec la finalité initiale (sauf si la personne concernée a consenti au traitement pour la nouvelle finalité ou si, à titre exceptionnel, le traitement ultérieur est imposé par la loi). La CNIL explique les critères de ce test de compatibilité et donne l’exemple suivant (traduction par DeepL) :
Un sous-traitant souhaite réutiliser des données afin d’exécuter ses tâches. Améliorer les services de cloud computing. Cette réutilisation pourrait être considérée comme liée à la transformation initiale compatible être considérés comme des “produits”, sous réserve de garanties appropriées comme l’anonymisation des données, lorsque ces données d’identification ne sont pas nécessaires. En revanche, leur réutilisation à des fins de la publicité commerciale, le “test de compatibilité” est difficile à réaliser. </blockquote
- Pas d’autorisation générique préalableLe test de compatibilité doit être effectué concrètement pour un traitement déterminé. Une autorisation préalable et générale de réutilisation n’est donc pas légale.
- ÉcritL’autorisation doit être donnée par écrit (y compris sous forme électronique).
- InformationLe responsable initial doit informer les personnes concernées et indiquer notamment s’il est possible de s’opposer au traitement ultérieur. Il est toutefois possible de déléguer l’information au nouveau responsable (c’est-à-dire au sous-traitant).
- LégalitéLe nouveau responsable doit s’assurer que son traitement est conforme à la réglementation.