Le Lan­des­amt für Daten­schutz (LfD) de Bas­se-Saxe a publié un Fiche d’in­for­ma­ti­on avec FAQ sur le trai­te­ment des com­man­des publié.

Trai­te­ments à façon typiques

L’OND con­sidè­re géné­ra­le­ment les acti­vi­tés sui­van­tes com­me un trai­te­ment de don­nées à carac­tère personnel :

• l’é­li­mi­na­ti­on (des­truc­tion, effa­ce­ment) des sup­ports de don­nées con­tenant des don­nées à carac­tère personnel,
• Stocka­ge de don­nées à carac­tère per­son­nel dans le nuage,
• Trai­te­ment d’adres­ses publi­ci­taires dans un letter-shop,
• Trai­te­ment des don­nées cli­ents par un Cent­re d’ap­pels sans mar­ge de décis­i­on pro­pre importan­te, c’est-à-dire, par exemp­le, lorsqu’il s’a­git sim­ple­ment d’o­ri­en­ter les cli­ents vers le ser­vice com­pé­tent con­cer­né au sein de l’entre­pri­se ou de prend­re des coor­don­nées ou d’aut­res infor­ma­ti­ons pour les trans­mett­re au ser­vice compétent ;
• Sai­sie de don­nées, con­ver­si­on de don­nées ou numé­ri­sa­ti­on de docu­ments con­tenant des don­nées à carac­tère personnel,
• travaux tech­ni­ques de trai­te­ment des don­nées pour les Fiche de paie ou la comp­ta­bi­li­té finan­ciè­re par des cen­tres de calcul,
• la fac­tu­ra­ti­on électronique,
• des ser­vices pure­ment tech­ni­ques, par exemp­le pour l’éva­lua­ti­on et l’ana­ly­se de sites web ou l’en­voi de newsletters ;
• un pre­sta­tai­re de ser­vices diri­ge Travaux de main­ten­an­ce sur des appareils tech­ni­ques per­met­tant d’ac­cé­der à des don­nées à carac­tère personnel.

Cela cor­re­spond à la com­pré­hen­si­on habi­tu­el­le d’un trai­te­ment de com­man­de. Il est tou­te­fois con­te­sté si, en cas de Travaux de main­ten­an­ce avec accès aux don­nées, il s’a­git d’un trai­te­ment de com­man­de ; il est tou­te­fois con­for­me à la DSK, c’est-à-dire à la posi­ti­on con­cer­tée des auto­ri­tés de con­trô­le alle­man­des (cf. Docu­ment court n° 13), et en géné­ral aus­si aux atten­tes des ent­re­pri­ses con­cer­nées (et libè­re le pre­sta­tai­re de ser­vices de l’ob­li­ga­ti­on d’in­for­mer les per­son­nes con­cer­nées du côté du client).

En revan­che, il n’y a pas de trai­te­ment de la com­man­de dans les cas suivants

• Ser­vices de net­to­ya­ge (ce qui ne signi­fie pas que des dis­po­si­ti­ons con­trac­tu­el­les rela­ti­ves au trai­te­ment des don­nées per­son­nel­les (et aut­res infor­ma­ti­ons con­fi­den­ti­el­les) ne soi­ent pas nécessaires),
• Ser­vices d’ex­pé­di­ti­onLes ent­re­pri­ses qui emploi­ent des sous-trai­tants ne sont pas con­sidé­rées com­me des ent­re­pri­ses de ser­vices, car elles four­nis­sent des ser­vices pro­fes­si­on­nels de natu­re dif­fé­ren­te (voir la sec­tion sui­van­te sur la thé­o­rie du cent­re de gravité) ;
• Ser­vices d’im­pres­si­onEn revan­che, si un fichier d’adres­ses sépa­ré est mis à la dis­po­si­ti­on de l’im­pri­me­rie et que cel­le-ci l’in­tèg­re ensuite dans l’im­pri­mé, il y a trai­te­ment de la commande ;
• Ser­vices de con­seil fis­cal.

Thé­o­rie du cent­re de gravité

L’OND fait remar­quer que une acti­vi­té qui, en soi, sem­ble être un trai­te­ment pour le comp­te d’au­trui, ne sem­ble excep­ti­on­nel­le­ment pas être un trai­te­ment pour le comp­te d’au­trui si elle con­sti­tue un “acces­soire invo­lon­tai­re” d’un ser­vice prin­ci­pal. Cela cor­re­spond à l’o­pi­ni­on répan­due et uti­le selon laquel­le il y a trai­te­ment de don­nées pour le comp­te d’au­trui lorsqu’un ser­vice con­si­ste prin­ci­pa­le­ment – et pas seu­le­ment acces­soire­ment – en un trai­te­ment de don­nées pour le comp­te d’au­trui, com­me le pré­voit la loi sur la pro­tec­tion des don­nées. BayL­DA dans sa FAQ sur le trai­te­ment des com­man­des (rai­son pour laquel­le les avo­cats, par exemp­le, ne sont géné­ra­le­ment pas des sous-trai­tants). Cela signi­fie éga­le­ment que les ser­vices ne doi­vent pas être trop frag­men­tés du point de vue de la pro­tec­tion des don­nées.Sinon, pra­ti­quement chaque ser­vice serait en par­tie un trai­te­ment de don­nées à carac­tère per­son­nel, ce qui serait impra­ti­ca­ble. (Pour mémoi­re : à l’in­ver­se, tout trai­te­ment de don­nées à carac­tère per­son­nel impli­que en par­tie une com­mu­ni­ca­ti­on ent­re respons­ables du trai­te­ment, par­ce que le sous-trai­tant trai­te les coor­don­nées du responsable du trai­te­ment ou de ses auxi­li­ai­res en tant que responsable du trai­te­ment – cela a une inci­dence sur les obli­ga­ti­ons d’in­for­ma­ti­on, mais soulè­ve éga­le­ment des que­sti­ons lorsqu’un responsable du trai­te­ment fait appel à un sous-trai­tant situé en dehors de l’EEE et uti­li­se à cet effet des clau­ses con­trac­tu­el­les types). L’OND justi­fie ce point de vue par le fait que le trai­te­ment en sous-trai­tance doit être “vou­lu” par le responsable du trai­te­ment (con­sidé­rant 81) : “un responsable du trai­te­ment qui sou­hai­te con­fier des acti­vi­tés de trai­te­ment à un sous-trai­tant ne dev­rait fai­re appel qu’à des sous-trai­tants qui…”).

Mais cela a aus­si pour con­sé­quence que les trai­te­ment des don­nées du pre­sta­tai­re de ser­vices n’est pas pri­vilé­gié ici, a donc beso­in d’u­ne base juri­di­que pro­pre. L’in­té­rêt légiti­me au sens de l’ar­tic­le 6, para­gra­phe 1, point f), du RGPD ent­re ici en ligne de compte.

L’OND don­ne à cet égard les exemp­les suivants :

• “Un fleu­ri­ste ou un mar­chand de vin reçoit pour l’en­voi de cadeaux de fleurs ou de vin à des tiers de son cli­ent une liste avec les don­nées d’adres­se des desti­na­tai­res”. L’in­té­rêt légiti­me ent­rerait ici en ligne de comp­te com­me base juridique.
• “Pour les soi-disant “Rap­ports tri­an­gu­lai­res“dans la mesu­re où il s’a­git de la rela­ti­on ent­re le com­mer­çant en ligne, le fab­ri­cant et le cli­ent final. Exemp­le : le fab­ri­cant de pro­duits reçoit, pour les pro­duits con­ve­nus avec les cli­ents finaux, une som­me d’ar­gent de la part de l’a­che­teur. Liv­rai­sons direc­tes du com­mer­çant en ligne l’adres­se du cli­ent”. La base juri­di­que est ici le cont­rat avec le cli­ent final.
• Le deu­xiè­me exemp­le illu­stre un aut­re point important sur le plan pra­tique : Non seu­le­ment le com­mer­çant en ligne, c’est-à-dire le par­ten­aire con­trac­tuel du cli­ent final, s’ap­pu­ie sur ce cont­rat, mais aus­si le fab­ri­cant. C’est exact, car l’ar­tic­le 6, para­gra­phe 1, point b), du RGPD exi­ge un cont­rat avec la per­son­ne con­cer­née, mais pas un cont­rat “du responsable du trai­te­ment” avec elle, rai­son pour laquel­le ce n’est justem­ent pas le seul con­trac­tant qui peut invo­quer ce contrat :

Indi­ca­ti­ons sur la responsa­bi­li­té partagée

La FAQ con­ti­ent la descrip­ti­on sui­van­te de la responsa­bi­li­té con­join­te pour la distin­guer du trai­te­ment des don­nées à carac­tère personnel :

“Je suis responsable con­joint avec un ou plu­sieurs aut­res orga­nis­mes et je peux être un don­neur d’ord­re si je déci­de con­join­te­ment avec eux des fina­li­tés et des moy­ens du trai­te­ment des don­nées à carac­tère per­son­nel con­for­mé­ment à l’ar­tic­le 26 du RGPD. Je dis­po­se alors, au même tit­re que les aut­res respons­ables, de la pou­voir de décis­i­on essen­tiel con­cer­nant le trai­te­ment con­cret des don­nées. Il exi­ste éga­le­ment une une coopé­ra­ti­on vou­lue et con­sci­en­te ent­re les aut­res respons­ables et moi-même en ce qui con­cer­ne le trai­te­ment con­cret des don­nées. Il suf­fit que les aut­res respons­ables et moi-même appor­ti­ons une con­tri­bu­ti­on déter­mi­nan­te et décisi­ve au trai­te­ment des don­nées. En out­re, il n’est pas néces­saire que la responsa­bi­li­té des aut­res per­son­nes con­cer­nées et de moi-même soit équi­va­len­te – une impli­ca­ti­on à dif­fér­ents sta­des du trai­te­ment et à des degrés divers est pos­si­ble, pour autant que les con­tri­bu­ti­ons restent per­ti­nen­tes pour la décis­i­on. Il n’est pas néces­saire, en cas de responsa­bi­li­té con­join­te, que cha­cun ait accès aux don­nées à carac­tère per­son­nel concernées”.