Qui est responsable des données lorsqu’un fichier est partagé ?

Chaque jour, les équipes partagent des fichiers contenant des données personnelles : listes de clients transmises à un partenaire commercial, dossiers RH envoyés à un prestataire de paie, fichiers de suivi stockés sur un cloud externe. Pourtant, une confusion persiste : nombreux sont ceux qui pensent qu’une fois le fichier envoyé, la responsabilité juridique change de mains. Cette croyance expose les organisations à des risques de non-conformité RGPD et à des sanctions financières potentiellement lourdes.

En réalité, la responsabilité ne disparaît pas avec l’envoi d’un fichier. Elle se transforme ou se partage selon le statut juridique du destinataire : responsable de traitement indépendant, sous-traitant ou responsable conjoint. Chaque qualification déclenche des obligations contractuelles, techniques et documentaires distinctes, encadrées par les articles 26 et 28 du RGPD. Comprendre ces mécanismes permet de sécuriser les flux de données, de documenter correctement le registre des traitements et de préparer sereinement un éventuel contrôle de la CNIL.

Le cadre juridique RGPD de la responsabilité des données

Le chapitre IV du RGPD établit précisément les rôles et responsabilités lors du traitement de données personnelles. L’article 4.7 définit le responsable de traitement comme la personne physique ou morale qui détermine les finalités et les moyens du traitement. Cette définition est déterminante : elle fixe qui porte la responsabilité principale de la conformité, indépendamment de la détention matérielle des fichiers.

L’article 24 du RGPD impose au responsable de traitement un principe d’accountability : il doit mettre en œuvre des mesures techniques et organisationnelles appropriées et être en mesure de démontrer la conformité de ses traitements. Cette obligation de preuve persiste même après la transmission d’un fichier à un tiers, ce qui contredit directement l’idée reçue selon laquelle « envoyer un fichier, c’est transférer la responsabilité ».

Trois statuts juridiques peuvent s’appliquer au destinataire d’un fichier partagé. Premièrement, le destinataire peut être un responsable de traitement indépendant s’il détermine ses propres finalités d’utilisation des données. Deuxièmement, il peut être qualifié de sous-traitant lorsqu’il agit sur instruction du responsable initial, sans autonomie décisionnelle sur les finalités. Troisièmement, la situation peut relever d’une responsabilité conjointe (article 26) si les deux parties déterminent conjointement les finalités et les moyens du traitement.

Les lignes directrices du Comité européen de la protection des données (CEPD) publiées le 7 juillet 2021 précisent les critères de qualification entre responsable de traitement et sous-traitant. Ces documents de référence rappellent que la qualification juridique ne dépend pas uniquement de ce qui est écrit dans un contrat : en cas de contrôle, la CNIL examine la réalité de la relation et l’autonomie effective du destinataire sur les finalités et moyens du traitement.

L’importance de cette qualification est confirmée par les données de contrôle. Selon la CNIL, en 2022, près d’un tiers des sanctions prononcées concernaient des manquements à l’obligation de sécurité prévue à l’article 32 du RGPD, notamment lors du recours à des prestataires ou du partage de fichiers. Cette statistique souligne que la sécurisation des flux de données et la qualification correcte des destinataires constituent des priorités de contrôle, en particulier lorsque le partage de fichiers est conforme au RGPD grâce à des mesures techniques appropriées.

Qui est responsable dans quel cas de partage de fichiers ?

La qualification juridique du destinataire dépend de quatre situations types fréquemment rencontrées en entreprise. Chacune déclenche des obligations spécifiques qu’il convient d’identifier clairement pour documenter correctement les flux dans le registre des activités de traitement.

Partage interne entre collaborateurs ou services : Lorsqu’un fichier circule au sein de la même organisation (entre le service RH et un manager, entre deux filiales d’un même groupe), le responsable de traitement reste le même. Aucun changement de statut juridique n’intervient. Toutefois, cette simplicité apparente ne dispense pas de respecter le principe de limitation d’accès prévu à l’article 32 : seules les personnes habilitées doivent pouvoir consulter les données, et ces flux internes doivent figurer dans le registre des traitements.

Envoi de fichiers à un client ou partenaire commercial : La qualification dépend ici de la finalité d’usage et de l’autonomie décisionnelle du destinataire. Si celui-ci utilise les données pour ses propres fins (par exemple, une liste de contacts pour ses propres campagnes marketing), il devient responsable de traitement indépendant. Chaque organisation porte alors sa propre responsabilité pour ses traitements respectifs. En revanche, si le partage s’inscrit dans une finalité commune déterminée conjointement (opération commerciale co-construite, projet partagé), il existe un risque de coresponsabilité au sens de l’article 26, ce qui impose la rédaction d’un accord écrit définissant les rôles de chacun.

Transmission à un prestataire ou sous-traitant IT : Un hébergeur cloud, un intégrateur, un prestataire de sauvegarde ou de paie qui traite des données selon les instructions de l’organisation cliente est généralement qualifié de sous-traitant. Le critère déterminant est l’absence d’autonomie sur les finalités : le prestataire agit sur instruction documentée, sans décider lui-même pourquoi et dans quel but les données sont traitées. Cette qualification déclenche l’obligation de mettre en place un contrat conforme à l’article 28 du RGPD, aussi appelé Data Processing Agreement (DPA).

Coopération entre organisations : Lorsque deux entreprises, associations ou administrations déterminent conjointement les finalités et les moyens d’un traitement (partenariat, groupement d’intérêt, projet commun impliquant partage de données clients ou usagers), il y a responsabilité conjointe au sens de l’article 26. Cette situation, souvent méconnue, impose de formaliser un accord écrit précisant la répartition des obligations respectives et désignant un point de contact unique pour les personnes concernées. L’absence de cet accord constitue un manquement susceptible d’être sanctionné lors d’un contrôle.

Ces quatre scénarios reposent sur des critères transversaux applicables à toute situation de partage : qui décide de la finalité du traitement ? Qui détermine les moyens techniques et organisationnels ? Le destinataire dispose-t-il d’une marge d’autonomie ou agit-il strictement sur instruction ? Ces questions permettent de qualifier correctement la relation et d’identifier les formalités juridiques et techniques à mettre en œuvre.

Quelle différence entre responsable de traitement et sous-traitant ?

La distinction entre responsable de traitement et sous-traitant constitue le pivot de la qualification juridique lors du partage de fichiers. Le critère déterminant réside dans la réponse à deux questions : qui décide des finalités du traitement (pourquoi les données sont-elles traitées ?) et qui détermine les moyens (comment sont-elles traitées ?). Le responsable de traitement dispose d’une autonomie décisionnelle sur ces deux dimensions. Le sous-traitant, lui, agit uniquement sur instruction documentée, sans pouvoir décider des finalités.

Le responsable de traitement porte la responsabilité principale de la conformité RGPD. Il doit garantir la licéité du traitement, informer les personnes concernées, répondre à l’exercice de leurs droits, réaliser une analyse d’impact si nécessaire, et tenir le registre des activités de traitement. Lorsqu’une organisation partage un fichier clients avec un partenaire qui utilisera ces données pour ses propres campagnes marketing, ce partenaire devient responsable de traitement indépendant pour ses propres traitements.

Le sous-traitant, défini à l’article 4.8 du RGPD, traite des données pour le compte du responsable, selon ses instructions, sans marge d’autonomie sur les finalités. Ses obligations spécifiques incluent : respecter les instructions documentées, assurer la sécurité des données (article 32), assister le responsable dans la réponse aux droits des personnes, notifier toute violation de données au responsable, et ne pas recruter de sous-traitant ultérieur sans autorisation préalable écrite. Le prestataire de paie qui traite les données RH selon le paramétrage de l’employeur illustre cette qualification.

Des zones grises apparaissent fréquemment avec les prestataires disposant d’une certaine autonomie technique. Une agence marketing qui choisit librement ses outils, canaux et méthodes pour une campagne commandée par un client conserve généralement la qualification de sous-traitant si la finalité globale (réaliser la campagne pour le compte du client) reste déterminée par ce dernier. Toutefois, si l’agence détermine conjointement avec le client les finalités de la campagne, une coresponsabilité au sens de l’article 26 peut être caractérisée. L’analyse doit se concentrer sur l’autonomie réelle concernant les finalités, et non uniquement sur les moyens techniques.

Les conséquences pratiques de la qualification sont majeures. Un responsable de traitement doit tenir son propre registre, informer directement les personnes concernées, répondre aux demandes d’exercice de droits et réaliser des analyses d’impact si le traitement présente un risque élevé. Un sous-traitant doit impérativement disposer d’un contrat article 28 avec le responsable de traitement, mettre en œuvre des mesures de sécurité renforcées, notifier toute violation de données dans les meilleurs délais et assister le responsable pour l’exercice des droits des personnes. L’absence de contrat article 28 avec un prestataire qualifié de sous-traitant constitue un manquement fréquemment relevé lors des contrôles CNIL.

Comment sécuriser juridiquement et techniquement le partage de fichiers ?

La conformité RGPD lors du partage de fichiers repose sur l’articulation entre obligations juridiques et mesures techniques. Chaque article du règlement impose des actions concrètes, traçables et démontrables en cas de contrôle.

La traçabilité des partages matérialise l’obligation d’accountability prévue à l’article 24 et l’obligation de tenir un registre des activités de traitement (article 30). Concrètement, il convient d’enregistrer systématiquement : qui a partagé le fichier, à quel destinataire, à quelle date, pour quelle finalité, avec quelle base légale, et pour quelle durée de conservation. Ces informations doivent alimenter le registre des traitements en documentant les flux de partage : origine des données, catégories de destinataires, garanties appliquées en cas de transfert hors UE. Sans cette traçabilité, il devient impossible de démontrer la conformité lors d’un contrôle CNIL.

Le chiffrement de bout en bout constitue la mesure technique principale pour respecter l’obligation de sécurité prévue à l’article 32 du RGPD. Les fichiers contenant des données sensibles (santé, données RH, informations bancaires) ou confidentielles doivent être chiffrés durant le transfert et au repos. Le chiffrement protège contre tout accès non autorisé, que ce soit lors de l’interception durant la transmission ou en cas de compromission du système de stockage du destinataire. Les algorithmes de type AES-256 constituent la référence pour garantir un niveau de sécurité adapté aux risques.

Le contrôle des accès et la gestion des habilitations traduisent le principe de minimisation (article 5.1.c) et les mesures de sécurité exigées à l’article 32.1.b. Limiter l’accès aux fichiers partagés aux seules personnes habilitées réduit significativement le risque de fuite ou d’accès illégitime. Techniquement, cela implique la mise en place d’une authentification forte, une gestion granulaire des droits d’accès, et une révocation automatique des accès à échéance. Par exemple, un lien de partage sécurisé expirant après sept jours limite l’exposition temporelle des données.

La documentation contractuelle doit être calibrée selon le statut juridique du destinataire. Si le destinataire est qualifié de sous-traitant, un contrat conforme à l’article 28 (DPA) devient obligatoire. Si la situation relève d’une coresponsabilité, un accord écrit article 26 doit définir la répartition des obligations respectives et désigner un point de contact pour les personnes concernées. Enfin, si le partage implique un transfert de données hors de l’Union européenne, des garanties appropriées doivent être mises en place : clauses contractuelles types (SCC) adoptées par la Commission européenne, règles d’entreprise contraignantes (BCR), ou vérification de l’adhésion du destinataire au Data Privacy Framework UE-USA pour les entités certifiées situées aux États-Unis.

La sensibilisation et la formation des collaborateurs complètent les mesures techniques. Former les équipes à identifier les données sensibles avant partage, vérifier l’habilitation du destinataire, utiliser les outils conformes de l’organisation, et documenter les partages exceptionnels permet de réduire les pratiques hétérogènes observées (utilisation de WeTransfer, Dropbox ou emails non chiffrés pour des données RH ou santé).

Les obligations spécifiques selon le type de destinataire

La localisation géographique du destinataire et son statut juridique déterminent les formalités applicables. Croiser ces deux critères permet d’identifier rapidement les obligations contractuelles, documentaires et techniques à mettre en œuvre.

Destinataire interne, situé dans l’Union européenne : Lorsque le partage reste interne à l’organisation (même entité juridique), les obligations restent celles du traitement initial. Il convient d’informer les personnes concernées sur les destinataires ou catégories de destinataires des données (articles 13 et 14), de mettre à jour le registre des traitements pour documenter les flux internes, et de respecter le principe de limitation d’accès prévu à l’article 32. Aucun formalisme contractuel supplémentaire n’est requis, mais ces obligations de base sont fréquemment négligées.

Destinataire situé hors de l’Union européenne : Tout transfert de données personnelles vers un pays tiers impose de vérifier l’existence d’une décision d’adéquation adoptée par la Commission européenne (article 45) ou, à défaut, de mettre en place des garanties appropriées (article 46). Les mécanismes principaux incluent les clauses contractuelles types (SCC) dans leur version 2021, les règles d’entreprise contraignantes (BCR) pour les groupes internationaux, ou la vérification de la certification Data Privacy Framework pour les entités situées aux États-Unis. L’information des personnes concernées doit préciser le pays de destination et les garanties appliquées.

Le Royaume-Uni bénéficie d’une décision d’adéquation en vigueur : un transfert vers ce pays ne nécessite pas de garantie supplémentaire. En revanche, un transfert vers les États-Unis impose de vérifier si l’entité destinataire est certifiée Data Privacy Framework ; à défaut, il convient de mettre en place des clauses contractuelles types. L’absence de garanties appropriées pour un transfert hors UE constitue un manquement grave, régulièrement sanctionné par la CNIL dans le contexte post-Schrems II.

Destinataire qualifié de sous-traitant : Que le sous-traitant soit situé dans l’UE ou hors UE, un contrat écrit conforme à l’article 28 du RGPD est obligatoire. Ce contrat, aussi appelé DPA (Data Processing Agreement), doit définir : l’objet et la durée du traitement, la finalité, les catégories de données traitées, les obligations du sous-traitant en matière de sécurité, de confidentialité, d’assistance au responsable de traitement, de notification des violations, et le sort des données en fin de contrat. Si le sous-traitant est situé hors UE, ce contrat article 28 doit être complété par les garanties de transfert appropriées (généralement les clauses contractuelles types).

Destinataire qualifié de responsable conjoint : L’article 26 impose de formaliser par écrit un accord définissant de manière transparente les rôles et responsabilités respectifs pour le respect du RGPD, en particulier pour l’exercice des droits des personnes concernées. Cet accord doit désigner un point de contact unique permettant aux personnes d’exercer leurs droits, et son contenu essentiel doit être mis à leur disposition. L’information des personnes concernées doit préciser la répartition des responsabilités entre les coresponsables.

L’obligation de transparence prévue aux articles 13 et 14 du RGPD s’applique dans tous les cas. Les personnes concernées doivent être informées sur les destinataires ou catégories de destinataires de leurs données lors de la collecte ou, au plus tard, lors du premier partage. Si un transfert hors UE intervient, l’information doit préciser le pays de destination et les garanties mises en œuvre (clauses contractuelles types, certification Data Privacy Framework, décision d’adéquation). Cette obligation d’information, souvent négligée dans la pratique au profit des aspects contractuels et techniques, constitue pourtant un droit fondamental des personnes.

Questions fréquentes sur la responsabilité des données partagées

La responsabilité des données lors du partage de fichiers ne suit pas une logique de transfert simple : elle se transforme, se partage ou persiste selon le statut juridique du destinataire et sa localisation géographique. Qualifier correctement cette relation en appliquant les critères de finalité, de moyens et d’autonomie décisionnelle permet d’identifier les obligations contractuelles, techniques et documentaires à mettre en œuvre.

Les quatre situations types (partage interne, envoi à un client, transmission à un prestataire, coopération entre organisations) offrent une grille de lecture immédiatement actionnable pour former les équipes, documenter les flux dans le registre des traitements, et sécuriser l’organisation face aux contrôles CNIL. Articuler systématiquement chaque obligation juridique avec les mesures pratiques correspondantes — traçabilité, chiffrement, contrôle d’accès, formalisation contractuelle — matérialise la conformité RGPD et renforce la crédibilité du responsable de traitement en cas de contrôle.

Pour approfondir les enjeux du traitement des données en entreprise au-delà du seul partage de fichiers, il convient d’adopter une approche globale couvrant l’ensemble du cycle de vie des données personnelles, de la collecte à la suppression, en passant par le stockage et l’exercice des droits des personnes concernées.