Chapitre 3.3 — Les responsables conjoints

⏱️ TL;DR — Il existe un troisième cas, entre le responsable unique et le sous-traitant : les responsables conjoints (art. 26). C’est quand deux organismes (ou plus) déterminent ensemble les finalités et les moyens d’un même traitement. Ni l’un ni l’autre n’exécute simplement sur ordre : ils co-décident. Le RGPD leur impose alors de conclure un accord qui répartit clairement leurs responsabilités — surtout qui informe les personnes et qui répond aux droits. Attention à ne pas confondre : la sous-traitance (art. 28), c’est décider seul et faire exécuter ; la responsabilité conjointe (art. 26), c’est décider à plusieurs. Le critère qui tranche reste toujours le même : qui détermine les finalités et les moyens ?

🎯 Objectifs

• Définir la responsabilité conjointe (art. 26) et sa condition : co-déterminer finalités et moyens.
• Comprendre l’accord de répartition des responsabilités et son utilité.
• Distinguer nettement responsables conjoints et sous-traitance.
• Reconnaître un cas de co-responsabilité dans un contexte EdTech.

Décider ensemble

L’article 26 vise le cas où deux responsables ou plus déterminent conjointement les finalités et les moyens d’un traitement. Le mot-clé est conjointement : les organismes ne se contentent pas d’échanger des données, ils partagent la décision sur le pourquoi et le comment.

Ce n’est pas :

• une simple transmission de données d’un responsable à un autre (là, chacun est responsable de son traitement, séparément) ;
• de la sous-traitance (là, un seul décide, l’autre exécute sur instruction).

C’est une décision commune, où les intérêts et les objectifs des deux parties convergent sur le même traitement. La CJUE a retenu une conception large de cette notion : il n’est pas nécessaire que chacun ait un accès égal aux données, ni qu’ils décident à parts strictement égales, tant qu’ils participent à la détermination des finalités et des moyens.

L’accord de répartition (art. 26)

Puisque deux têtes décident, il faut savoir qui fait quoi. L’article 26 impose aux responsables conjoints de définir, de manière transparente, par un accord, la répartition de leurs obligations — en particulier :

Point crucial pour la personne concernée : peu importe la répartition interne, elle peut exercer ses droits auprès de chacun des responsables conjoints (art. 26.3). L’accord organise les rôles en interne, mais il ne peut pas priver la personne de son interlocuteur.

Ne pas confondre avec la sous-traitance

C’est l’erreur classique de qualification. La grille :

Le test décisif : la seconde partie a-t-elle son mot à dire sur le pourquoi du traitement ? Si oui → responsables conjoints. Si elle ne fait qu’exécuter ce qu’on lui demande → sous-traitant.

⚠️ Piège — Qualifier de « responsabilité conjointe » une relation où l’un décide et l’autre exécute (c’est de la sous-traitance), ou l’inverse. La conséquence est un mauvais contrat : un DPA là où il fallait un accord de l’art. 26, ou l’inverse — et donc une répartition des responsabilités erronée. Avant de signer, requalifie : qui décide des finalités ?

💡 Réflexe — Dès que tu montes un traitement à deux organismes (un projet commun, une plateforme partagée, une étude conjointe), pose la question de la co-responsabilité avant de coder l’échange de données. Si les deux co-décident, il faut un accord art. 26 et une information qui dit clairement aux personnes comment les rôles sont répartis.

🧭 Sur FormaCampus — Cas typique : FormaCampus et un réseau d’écoles lancent un observatoire de la réussite, un tableau de bord statistique dont ils définissent ensemble la finalité (piloter la pédagogie du réseau), les indicateurs et les règles. Là, FormaCampus n’est plus un simple sous-traitant : le réseau et elle co-décident → responsables conjoints (art. 26). Ils doivent conclure un accord disant qui informe les élèves, qui répond à une demande d’accès, qui gère un incident. À distinguer soigneusement du cas standard où FormaCampus n’est que l’outil d’une école (sous-traitant, chapitre 3.2). Même partenaire, autre traitement, autre qualification.

📚 Le texte — La responsabilité conjointe est à l’article 26 du RGPD : les responsables conjoints « définissent de manière transparente leurs obligations respectives » par un accord, et la personne « peut exercer les droits que lui confère le présent règlement à l’égard de et contre chacun des responsables » (art. 26.3). La notion a été précisée par la CJUE et par les lignes directrices 07/2020 du CEPD.

✏️ Exercices

Exercice 1 — Conjoints ou sous-traitance ? Pour chaque cas, qualifie la relation : (a) une école confie à FormaCampus l’hébergement de son LMS, sur ses instructions ; (b) une université et un laboratoire de recherche conçoivent ensemble une étude sur le décrochage, décident des données collectées et des objectifs ; (c) FormaCampus achète un fichier de prospects à un courtier en données.

Exercice 2 — Rédige la répartition. Une mairie et une association co-organisent un dispositif d’accompagnement scolaire dont elles fixent ensemble la finalité. Cite trois points que leur accord de l’art. 26 doit trancher.

🧠 Quiz de révision

Chapitre suivant : La personne concernée — l’humain au centre de tout ce dispositif, titulaire des droits, celui que tous ces rôles ont pour mission de protéger.