Responsable du traitement ou sous-traitant ? Confusions de rôles et conséquences

KVKK & Guide de responsabilité des données

KVKK donne souvent lieu à une confusion entre les rôles de Responsable du traitement et de Sous-traitant. Agences, fournisseurs CRM et autres prestataires occupent des positions différentes dans la chaîne de données. Une mauvaise qualification peut entraîner responsabilité et amendes administratives.

Résumé : Le responsable du traitement décide ; le sous-traitant exécute les instructions. La prestation peut brouiller cette limite.

1. Définitions de base (article 3 du KVKK)

Rôle	Définition	Exemple
Responsable du traitement	C'est la personne ou l'institution qui détermine les buts et les moyens de traitement des données à caractère personnel.	La marque ou l’entreprise responsable des données
Sous-traitant	Une personne physique ou morale traitant les données pour le compte du responsable et selon ses instructions.	Agence, fournisseur de CRM, entreprise d'hébergement

« Celui qui décide porte la responsabilité ; celui qui exécute rend des comptes. »

2. Déterminer les rôles des agences et fournisseurs CRM

• Digital Agency : Dans ce scénario, l’agence est sous-traitante si elle intègre les plateformes sans déterminer la stratégie de campagne.
• Fournisseur CRM : Le prestataire qui héberge les données clients et fournit le système est sous-traitant ; leur utilisation pour ses propres analyses peut le rendre responsable du traitement.
• Gestion des influenceurs : Dans le dispositif décrit de collecte par partage de contenus, la marque est responsable du traitement et l’agence sous-traitante.

3. Chaîne de responsabilité dans les services à des tiers

• Chaque transfert de données crée une « relation de responsabilité commune ».
• Un contrat de sous-traitance des données (DPA) est nécessaire.
• Le sous-traitant a des obligations de sécurité au titre de l’article 12 de la KVKK.
• En cas de transfert à l'étranger, le consentement explicite ou l'autorisation de la Commission est requis.

"Le maillon faible de la chaîne de données met tout le système en danger."

4. Exemples de décisions judiciaires

• Décision de l’autorité (2022/1023) : Le fournisseur d’infrastructure e-mail a été sanctionné en qualité de sous-traitant pour un manquement de conservation des journaux.
• Décision de l’autorité (2023/331) : L’utilisation des données clients à des fins d’analyse a conduit à qualifier le fournisseur CRM de responsable du traitement.
• Décision judiciaire (2024/215) : L’absence de protocole de transfert entre agence et marque a entraîné des sanctions pour les deux parties au titre d’une responsabilité partagée.

5. Liste de contrôle pour réduire les risques

• L'établissement des rôles devrait être fait par écrit à chaque début de projet,
• DPA (Contrat de traitement des données) doit être signé,
• établir un schéma des flux de données,
• interdire au sous-traitant de partager les données avec des tiers,
• La procédure de notification des infractions doit être déterminée.

Recommandation B10 : Définir juridiquement la chaîne de données agence–marque avant la réalisation technique. Consigner clairement les obligations de chaque partie au contrat.

Clarifier le rôle de votre agence en matière de données.
B10 Digital Agency conseille sur les rôles de responsable et sous-traitant, les DPA et les audits dans ses services KVKK.

Demander conseil sur les rôles de traitement Mon agence ne s'occupe que de la publicité, compte-t-elle comme responsable du traitement des données ?

Pas nécessairement. Sans déterminer les finalités, l’agence est généralement sous-traitante. L’utilisation pour ses propres analyses peut modifier ce rôle.

Comment déterminer la différence entre un fournisseur de CRM et un responsable du traitement des données?

Le stockage et l’accès seuls indiquent un rôle de sous-traitant. Interpréter, segmenter ou analyser les données à des fins commerciales peut placer le prestataire en position de responsable.

Qu'est-ce que la responsabilité commune signifie?

Les décisions conjointes sur le traitement peuvent entraîner une responsabilité solidaire en cas de violation ou de sanction.

Mots-clés : KVKK • responsable du traitement • sous-traitant • fournisseurs CRM • conformité des agences • DPA • B10 Digital Agency