Responsable de traitement
Le responsable de traitement est la personne ou l’organisme qui détermine les finalités et les moyens du traitement de données personnelles, et qui en porte donc la responsabilité juridique.L’article 4, point 7 du RGPD définit le responsable du traitement comme la personne physique ou morale, l’autorité publique, le service ou l’organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement. Il doit disposer d’une base légale, informer les personnes, respecter leurs droits, tenir un registre, sécuriser les données et être en mesure de démontrer sa conformité (article 5, paragraphe 2). Il peut être sanctionné d’une amende au titre de l’article 83. La LGPD brésilienne l’appelle controlador, la POPIA sud-africaine responsible party, la KVKK turque veri sorumlusu.
L’exploitant d’un site web est le responsable de traitement pour les cookies déposés par ses pages, y compris ceux des tiers qu’il choisit d’intégrer. La Cour de justice de l’Union européenne (CJUE) a jugé dans l’arrêt Fashion ID (C-40/17, 29 juillet 2019) qu’un site qui intègre le bouton J’aime de Facebook est responsable conjoint avec Facebook pour la collecte et la transmission des données des visiteurs, et doit recueillir le consentement et fournir l’information pour cette étape. Le même raisonnement vaut pour les pixels, les vidéos embarquées et les balises publicitaires. Dans l’arrêt IAB Europe (C-604/22, 7 mars 2024), la Cour a estimé qu’un organisme professionnel qui fixe les règles d’un cadre de consentement peut lui aussi être responsable conjoint.
Les responsables conjoints doivent convenir de qui fait quoi (article 26). Les fournisseurs qui ne traitent les données que sur instruction du site sont en revanche des sous-traitants ; beaucoup de plateformes publicitaires agissent comme responsables de traitement pour leurs propres finalités, ce que les contrats et la politique de cookies doivent dire.