- Le CEPD a publié un guide sur les notions de responsable du traitement, de sous-traitant et de responsable conjoint.
- Le guide se réfère au règlement (UE) 2018/1725 pour les institutions de l’UE, pas directement au RGPD.
- Les définitions des termes sont pratiquement identiques à celles du RGPD, les différences concernent principalement le champ d’application.
- Le guide souligne le large champ d’application de la responsabilité conjointe et intègre la décision Fashion ID de la CJCE.
Le superviseur européen de la protection des données (EDPS), qui sont nécessaires pour Organes et autorités de la UE l’autorité compétente en matière de protection des Guide sur les notions de responsable du traitement, de sous-traitant et de co-responsable du traitement publié (EDPS Lignes directrices sur les concepts de contrôleur, de processeur et de contrôle conjoint en vertu du règlement (UE) 2018/1725). Le guide se réfère à la définition légale de la Règlement 2018/1725 à la protection lors du traitement de données personnelles par les institutions, organes et organismes de la UE, donc pas sur les RGPD. Les définitions légales correspondantes sont toutefois pratiquement identiques (à quelques différences près, qui soit se rapportent au champ d’application du règlement 2018/1725, soit n’ont pas d’importance).
Du point de vue des responsables privés, le contenu du guide n’apporte pas grand-chose de nouveau. Le guide reprend certes déjà l’actuelle Décision de la CJCE dans l’affaire Fashion ID mais n’en déduit rien de surprenant. Il apparaît toutefois clairement – une fois de plus – que le champ d’application de la responsabilité commune est (très) large.
Le flowchart suivant du guide est utile :
