Obligations générales du RT & co-responsabilité
Obligations Générales du RT & Co-traitance (Art. 24 & 26)
Le RGPD consacre le principe de responsabilité démontrable (Accountability). Le RT ne doit pas seulement respecter le RGPD, il doit être en mesure de prouver qu'il a pris les mesures adéquates, en tenant compte de la nature, de la portée, du contexte et des risques du traitement.
La CJUE interprète la co-responsabilité de manière large. L'arrêt Wirtschaftsakademie (C-210/16) a établi que l'administrateur d'une page Facebook est co-responsable avec Facebook des statistiques de visite, car en créant la page, il participe à la détermination des finalités et moyens de la collecte via les cookies.
L'Accord de co-responsabilité
Le RGPD impose un accord transparent. Celui-ci doit déterminer : qui informe la personne concernée ? qui gère les demandes de droits (Art. 15-22) ? Toutefois, la personne peut exercer ses droits à l'égard de chacun des co-responsables, indépendamment de l'accord interne.
RT distincts vs Co-responsables
Si la banque A transfère des fonds à la banque B, elles partagent des données mais poursuivent des finalités distinctes : ce sont des RT indépendants. Si une compagnie aérienne et un hôtel créent une plateforme commune de réservation, ils sont co-responsables.