L'autorité espagnole a publié une décision clarifiant la qualification de responsable du traitement et de sous-traitant dans le cadre de formations subventionnées par un organisme public.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision à l'encontre du Service Public de l'Emploi de l'État (SEPE) pour un manquement lié à l'absence de contrat de sous-traitance.

L'affaire trouve son origine dans une plainte déposée le 19 octobre 2023 concernant la collecte de données pour l'inscription à un cours subventionné par le SEPE et dispensé par un organisme de formation, ***EMPRESA.1.

Motifs de la décision

• Obligation de formaliser la relation avec un sous-traitant (article 28 du RGPD) : L'autorité a analysé la relation entre le SEPE, qui accorde les subventions pour des actions de formation, et l'entité bénéficiaire (***EMPRESA.1), qui dispense ces formations. Le SEPE soutenait que l'entité bénéficiaire agissait en tant que responsable de traitement autonome, car elle sélectionnait les participants et gérait les inscriptions de manière indépendante. Cependant, l'autorité a estimé que le SEPE déterminait les finalités et les moyens essentiels du traitement. En effet, la résolution de convocation du 4 juillet 2022 et sa disposition additionnelle seconde désignent explicitement le SEPE comme responsable du traitement pour la gestion, le financement, le contrôle et l'évaluation des programmes de formation, et précisent que les personnes concernées peuvent exercer leurs droits auprès de lui. Se fondant sur les lignes directrices 07/2020 du Comité Européen de la Protection des Données (CEPD), l'autorité a rappelé que la qualification de responsable du traitement découle de l'influence déterminante sur les finalités et les moyens, même sans accès direct aux données. Par conséquent, ***EMPRESA.1 agissait pour le compte du SEPE et devait être qualifiée de sous-traitant. L'absence de contrat ou d'acte juridique formalisant cette relation, comme l'exige l'article 28, paragraphe 3, du RGPD, constitue une violation imputable au SEPE.

Décision de l'autorité

En conséquence, l'autorité a constaté une violation de l'article 28 du RGPD par le SEPE.

En outre, l'autorité a ordonné au SEPE de formaliser, dans un délai de six mois, un contrat ou un autre acte juridique conforme à l'article 28, paragraphe 3, du RGPD avec les organismes de formation bénéficiaires de ses subventions. Le non-respect de cette injonction pourrait entraîner l'ouverture d'une nouvelle procédure de sanction.

Enseignements

Cette décision rappelle que :

• Dans le cadre d'un dispositif de subventions, l'organisme public qui définit les finalités (gestion, contrôle du programme) et les moyens essentiels du traitement (catégories de données, participants éligibles) est qualifié de responsable du traitement, même si la collecte est effectuée par l'entité subventionnée.
• La qualification de responsable du traitement découle de l'influence déterminante sur les finalités et les moyens, conformément aux lignes directrices 07/2020 du CEPD, et ce, indépendamment de l'accès effectif aux données par cet organisme.
• Une entité agissant pour le compte d'un responsable du traitement dans un cadre défini par ce dernier doit être considérée comme un sous-traitant, ce qui impose la conclusion d'un contrat conforme à l'article 28 du RGPD pour encadrer la relation.