Le partage de données est essentiel au commerce moderne. Qu'il s'agisse d'intégrer un nouveau fournisseur de services cloud, de collaborer avec une agence marketing ou d'intégrer un système RH tiers, les données personnelles circulent constamment entre les organisations. Or, la réalité est tout autre : la plupart des entreprises sous-estiment les risques juridiques que représente le partage de données au regard du Règlement général sur la protection des données (RGPD).
Les enjeux sont considérables. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Outre les sanctions financières, vous risquez une atteinte à votre réputation, un contrôle réglementaire et des poursuites en responsabilité civile de la part des personnes concernées. L'Autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, ou AP) est claire : l'ignorance n'est pas une excuse.
Cet article présente sept risques critiques liés au RGPD lors du partage de données personnelles. Chaque risque est étayé par des dispositions spécifiques du RGPD, illustré par des conséquences concrètes et accompagné de conseils pratiques pour vous aider à rester en conformité. Que vous soyez chef d'entreprise, responsable de la conformité ou juriste exerçant aux Pays-Bas, il est essentiel de comprendre ces pièges.
1. Partage de données sans base légale valable (Article 6 du RGPD)
Le risque : Vous ne pouvez pas partager vos données personnelles simplement par commodité ou par intérêt. Tout partage de données nécessite une base légale valable au sens de l'article 6 du RGPD.
Pourquoi les entreprises se trompent : De nombreuses organisations pensent qu'un motif commercial suffit pour partager des données. Or, ce n'est pas le cas. Le RGPD prévoit six bases légales pour le traitement des données : le consentement, la nécessité contractuelle, l'obligation légale, les intérêts vitaux, la mission d'intérêt public et les intérêts légitimes. Chacune de ces bases comporte des exigences et des limitations spécifiques.
Par exemple, l’« intérêt légitime » est souvent invoqué pour justifier le partage de données avec des partenaires ou des prestataires de services. Toutefois, ce fondement exige une analyse d’équilibre rigoureuse : vos intérêts ne doivent pas prévaloir sur les droits et libertés des personnes dont vous traitez les données. De plus, vous devez documenter cette analyse.
Fondements juridiques : L’article 6 du RGPD énumère de manière exhaustive les bases légales du traitement des données. L’article 5, paragraphe 1, point a), du RGPD exige que tout traitement soit licite, loyal et transparent.
Conséquence dans le monde réel : L'Associated Press a infligé des amendes aux organisations qui ont partagé des données clients avec des tiers à des fins de marketing sans fondement juridique. Même anonymisées ou agrégées, les données restent des données personnelles si leur réidentification est possible, et nécessitent donc un fondement légal.
À retenir : Avant de partager des données personnelles, identifiez et documentez la base juridique applicable. Si vous vous appuyez sur des intérêts légitimes, réalisez et consignez une analyse d'impact relative à ces intérêts. Si vous utilisez le consentement, assurez-vous qu'il soit libre, spécifique, éclairé et univoque.
2. Confusion autour des rôles : Responsable du traitement vs Sous-traitant (Article 4(7)–(8) du RGPD)
Le risque : Le RGPD établit une distinction entre les responsables du traitement (qui déterminent les finalités et les moyens du traitement) et les sous-traitants (qui traitent des données pour le compte d'un responsable du traitement). Une mauvaise identification de votre rôle – ou de celui de votre partenaire – peut engendrer de graves problèmes de conformité.
Pourquoi les entreprises se trompent : En pratique, les rôles peuvent être ambigus. Si vous partagez des données avec un fournisseur SaaS, est-il responsable du traitement ou sous-traitant ? Que se passe-t-il s’il utilise vos données pour améliorer ses algorithmes ? De nombreuses entreprises ont tendance à qualifier systématiquement tous leurs fournisseurs de « sous-traitants » sans analyser correctement la nature de leur relation.
Une mauvaise classification est problématique car les responsables du traitement et les sous-traitants ont des obligations différentes. Les responsables du traitement doivent s'assurer que les sous-traitants apportent des garanties suffisantes de conformité (article 28 du RGPD). Les responsables conjoints du traitement doivent s'entendre sur leurs responsabilités respectives (article 26 du RGPD). Une erreur de classification peut vous rendre responsable de violations dont vous n'aviez même pas connaissance.
Fondements juridiques : L’article 4(7) et (8) du RGPD définit le « responsable du traitement » et le « sous-traitant ». L’article 24 du RGPD décrit les obligations de responsabilité du responsable du traitement.
Conséquence dans le monde réel : La Cour de justice de l'Union européenne a statué en ID de mode (C-40/17) que même une détermination partielle des finalités peut vous désigner comme responsable conjoint du traitement. Cela signifie que vous pouvez être tenu solidairement responsable des violations du RGPD, même si elles sont imputables à un tiers.
À retenir : Cartographier les flux de données et déterminer qui décide. why et how Les données sont traitées. Documentez ce traitement par écrit et assurez-vous que chaque partie comprenne son rôle et ses obligations.
3. Accord de traitement des données manquant ou inadéquat (article 28 du RGPD)
Le risque : Si vous faites appel à un sous-traitant pour traiter des données personnelles en votre nom, vous êtes légalement tenu de conclure un accord de traitement des données (ATD) écrit. Aucune exception.
Pourquoi les entreprises se trompent : Il est tentant de négliger les formalités administratives, surtout avec des partenaires de confiance ou de longue date. Mais sans procuration conforme, vous enfreignez l'article 28 du RGPD dès le premier jour, même en l'absence de préjudice.
Un accord de protection des données (APD) conforme doit comporter des clauses obligatoires spécifiques : l’objet et la durée du traitement, sa nature et sa finalité, le type de données personnelles, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Il doit également aborder la sous-traitance, la sécurité des données et la notification des violations de données.
Fondements juridiques : L’article 28, paragraphe 3, du RGPD énumère les éléments obligatoires d’une convention de protection des données. L’article 28, paragraphe 4, du RGPD exige une autorisation explicite pour les sous-traitants ultérieurs.
Conséquence dans le monde réel : L'autorité de protection des données (AP) a sanctionné des organisations ayant recours à des sous-traitants sans accord de protection des données (APD) adéquat. Même si le sous-traitant est conforme, le responsable du traitement peut être condamné à une amende pour défaut de conclusion d'un tel accord.
À retenir : Utilisez un modèle de contrat de protection des données (DPA) standardisé qui couvre toutes les exigences de l'article 28, paragraphe 3. Vérifiez la conformité de vos contrats existants avec le RGPD. N'intégrez aucun nouveau sous-traitant sans contrat de protection des données signé.
4. Transfert illégal vers des pays tiers en dehors de l'EEE (articles 44 à 49 du RGPD et Schrems II)
Le risque : Le transfert de données personnelles hors de l'Espace économique européen (EEE) est soumis à de fortes restrictions. Il n'est autorisé que si le pays de destination assure un niveau de protection adéquat ou si vous mettez en œuvre des garanties appropriées.
Pourquoi les entreprises se trompent : De nombreuses entreprises utilisent des services cloud, des processeurs de paiement ou des outils d'analyse hébergés aux États-Unis ou en Asie sans se rendre compte qu'elles déclenchent ainsi des règles de transfert international. Même si votre contrat est conclu avec une entité de l'UE, si des données sont stockées ou consultées en dehors de l'EEE, ces règles s'appliquent.
Le Schrem II L'arrêt (affaire C-311/18) a invalidé le Bouclier de protection des données UE-États-Unis et a confirmé que les clauses contractuelles types (CCT) ne suffisent pas à elles seules. Il est également nécessaire de réaliser une analyse d'impact relative aux transferts (AIT) afin d'évaluer si la législation du pays de destination compromet la protection garantie par les CCT.
Fondements juridiques : Les articles 44 à 49 du RGPD régissent les transferts internationaux. Le chapitre V du RGPD exige des décisions d'adéquation (article 45) ou des garanties appropriées (article 46), telles que les clauses contractuelles types.
Conséquence dans le monde réel : L'AP peut vous ordonner de suspendre ou d'interdire les transferts de données vers des pays tiers si des garanties adéquates ne sont pas mises en place. Des entreprises ont fait l'objet de mesures coercitives et ont subi des atteintes à leur réputation pour avoir transféré des données vers les États-Unis sans avoir réalisé d'analyse d'impact relative aux transferts de données (TIA) a posteriori.Schrem II.
À retenir : Identifiez tous les transferts de données vers des pays tiers. Vérifiez l'existence d'une décision d'adéquation. Dans le cas contraire, mettez en œuvre des clauses contractuelles types et réalisez une analyse d'impact relative au transfert de données (AITD). Documentez les mesures complémentaires nécessaires (par exemple, chiffrement, pseudonymisation).
5. Défaut de réalisation d'une analyse d'impact relative à la protection des données (article 35 du RGPD)
Le risque : Une analyse d'impact relative à la protection des données (AIPD) est obligatoire lorsque le partage de données est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Cela inclut le traitement à grande échelle de catégories particulières de données, la surveillance systématique ou l'utilisation de nouvelles technologies.
Pourquoi les entreprises se trompent : De nombreuses organisations considèrent les analyses d'impact relatives à la protection des données (AIPD) comme facultatives ou pertinentes uniquement pour les « grands » projets. En réalité, le partage de données de santé avec une plateforme d'analyse tierce, le déploiement d'outils de profilage basés sur l'IA ou la combinaison d'ensembles de données provenant de sources multiples peuvent tous déclencher l'obligation de réaliser une AIPD.
Une analyse d'impact relative à la protection des données (AIPD) n'est pas une simple formalité administrative. Il s'agit d'un processus structuré visant à identifier les risques, à évaluer leur gravité et à déterminer les mesures d'atténuation. Si des risques résiduels demeurent élevés, il est impératif de consulter l'autorité de protection des données avant de poursuivre.
Fondements juridiques : L’article 35 du RGPD impose une analyse d’impact relative à la protection des données (AIPD) pour les traitements à haut risque. L’Autorité de protection des données (AP) a publié des lignes directrices sur les cas où une AIPD est requise.
Conséquence dans le monde réel : Le défaut de réaliser une analyse d'impact relative à la protection des données (AIPD) lorsqu'elle est requise constitue en soi une violation du RGPD. L'Autorité australienne des communications (AP) a infligé des amendes à des organisations pour avoir procédé à des partages de données à haut risque sans avoir effectué d'AIPD, même en l'absence de violation de données avérée.
À retenir : Examinez toutes les activités de partage de données afin d'identifier les éléments déclencheurs d'une analyse d'impact relative à la protection des données (AIPD). En cas de doute, réalisez-en une. Impliquez votre délégué à la protection des données (DPO) et documentez minutieusement le processus d'évaluation.
6. Information insuffisante des personnes concernées (articles 13 et 14 du RGPD)
Le risque : La transparence est un principe fondamental du RGPD. Lorsque vous collectez ou partagez des données personnelles, vous devez informer les personnes concernées des destinataires de leurs données, de leur finalité et du fondement juridique de ce partage.
Pourquoi les entreprises se trompent : Les mentions légales relatives à la protection des données sont souvent vagues ou obsolètes. Des formules comme « nous pouvons partager vos données avec des partenaires de confiance » sont insuffisantes. Il est indispensable de préciser les catégories de destinataires (par exemple, « fournisseurs d'hébergement cloud », « agences de marketing ») et, le cas échéant, de les nommer.
Lorsque les données sont obtenues indirectement, par exemple auprès d’un courtier en données ou d’un autre responsable du traitement, l’article 14 du RGPD impose des obligations d’information supplémentaires, notamment concernant la source des données.
Fondements juridiques : Les articles 13 et 14 du RGPD énumèrent les informations qui doivent être fournies aux personnes concernées. L'article 5, paragraphe 1, point a), du RGPD exige la transparence de toutes les activités de traitement.
Conséquence dans le monde réel : L'Associated Press a sanctionné des entreprises pour avoir omis d'informer les personnes concernées du partage de leurs données avec des tiers. Même si le partage en lui-même était légal, le manque de transparence constitue une infraction en soi.
À retenir : Examinez et mettez à jour vos avis de confidentialité afin de décrire clairement vos pratiques de partage de données. Assurez-vous que ces avis sont facilement accessibles et rédigés en langage clair. Lorsque vous partagez des données avec de nouveaux partenaires, mettez à jour vos avis avant le début du partage.
7. La pseudonymisation comme faux sentiment de sécurité
Le risque : La pseudonymisation (remplacement des identifiants directs par des codes ou des jetons) est encouragée par le RGPD à titre de mesure de sécurité. Toutefois, elle ne rend pas les données anonymes. Si les données peuvent encore être reliées à une personne physique, elles demeurent des données à caractère personnel et sont soumises à l'intégralité du champ d'application du RGPD.
Pourquoi les entreprises se trompent : Les entreprises supposent souvent que les données pseudonymisées sont « sûres » et peuvent être partagées sans restriction. En pratique, la pseudonymisation ne fait que réduire les risques ; elle ne les élimine pas. Si vous partagez des données pseudonymisées avec un partenaire ayant accès à la clé de chiffrement ou à d’autres ensembles de données permettant la réidentification, vous traitez toujours des données personnelles.
Fondements juridiques : L’article 4, paragraphe 5, du RGPD définit la pseudonymisation. Le considérant 26 du RGPD précise que les données pseudonymisées restent des données à caractère personnel, sauf si elles sont véritablement anonymisées (c’est-à-dire si leur réidentification n’est plus possible par aucun moyen raisonnable).
Conséquence dans le monde réel : L’AP a précisé dans ses recommandations que la pseudonymisation n’est pas une solution miracle. Si la réidentification est possible, toutes les obligations du RGPD s’appliquent, notamment la nécessité d’une base légale, la réalisation d’analyses d’impact relatives à la protection des données (AIPD) et la mise en place de mesures de sécurité adéquates.
À retenir : Traitez les données pseudonymisées comme des données personnelles, sauf si vous avez mis en œuvre un processus d'anonymisation rigoureux validé par des experts. Documentez les mesures techniques et organisationnelles mises en place pour empêcher toute réidentification.
Questions fréquemment posées
Quand le partage de données est-il autorisé en vertu du RGPD ?
Le partage de données n'est licite que si vous disposez d'une base légale valable au sens de l'article 6 du RGPD. Les six bases légales sont : le consentement, la nécessité contractuelle, l'obligation légale, les intérêts vitaux, la mission d'intérêt public et les intérêts légitimes. Vous devez également respecter les principes de licéité, de loyauté, de transparence, de limitation des finalités, de minimisation des données, d'exactitude, de limitation de la conservation, d'intégrité et de confidentialité (article 5 du RGPD). Concrètement, cela implique de documenter clairement les raisons du partage de données, de s'assurer que la finalité est cohérente avec celle de la collecte initiale et d'informer les personnes concernées de ce partage.
Quelle est la différence entre un contrôleur et un processeur ?
A contrôleur détermine les finalités et les moyens du traitement des données à caractère personnel. processeur Le sous-traitant traite des données pour le compte du responsable du traitement, selon des instructions spécifiques. Cette distinction est importante car les responsables du traitement sont principalement chargés de la conformité au RGPD, tandis que les sous-traitants ont des obligations plus limitées (principalement la sécurité et la confidentialité). Si vous partagez des données avec un fournisseur qui les traite selon vos instructions (par exemple, un prestataire de paie ou un service de stockage cloud), il s'agit généralement d'un sous-traitant. S'il décide également de l'utilisation des données à ses propres fins, il peut être considéré comme un responsable conjoint du traitement. Une mauvaise identification des rôles peut entraîner des lacunes en matière de responsabilité et de responsabilité conjointe en cas de violation.
Quand un accord de traitement des données (DPA) est-il obligatoire ?
Un accord de protection des données (APD) est obligatoire dès lors que vous faites appel à un sous-traitant pour le traitement de données personnelles (article 28 du RGPD). Cette obligation s'applique quelle que soit la taille de votre organisation ou le volume de données concernées. L'APD doit être établi par écrit et comporter des clauses obligatoires spécifiques, notamment concernant l'objet et la durée du traitement, sa nature et sa finalité, les types de données et les catégories de personnes concernées, ainsi que les obligations des deux parties en matière de sécurité, de notification des violations de données et de sous-traitance. En l'absence d'un APD conforme, vous êtes en situation de violation dès le début du traitement par le sous-traitant, même en l'absence de préjudice direct.
Puis-je partager des données client avec une partie située en dehors de l'UE ?
Oui, mais uniquement sous certaines conditions strictes. Conformément aux articles 44 à 49 du RGPD, vous pouvez transférer des données vers un pays tiers si : a) la Commission européenne a rendu une décision d’adéquation concernant ce pays, ou b) vous avez mis en place des garanties appropriées, telles que des clauses contractuelles types (CCT). Schrem II Suite à cette décision, vous devez également réaliser une analyse d'impact du transfert (AIT) afin d'évaluer si la législation du pays de destination (par exemple, la surveillance gouvernementale) compromet la protection garantie par les clauses contractuelles types (CCT). Si des risques persistent, vous devez mettre en œuvre des mesures complémentaires, telles que le chiffrement ou la minimisation des données. Les transferts effectués sans garanties adéquates peuvent donner lieu à des mesures d'exécution de la part de l'autorité compétente, pouvant aller jusqu'à la suspension du transfert.
Quand une analyse d'impact relative à la protection des données (AIPD) est-elle requise pour le partage de données ?
Une analyse d'impact relative à la protection des données (AIPD) est obligatoire en vertu de l'article 35 du RGPD lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Cela inclut : le traitement à grande échelle de catégories particulières de données (par exemple, données de santé, biométriques ou génétiques), la surveillance systématique des espaces publics, la prise de décision automatisée ayant des effets juridiques ou d'une importance similaire, et l'utilisation de nouvelles technologies. Lors du partage de données, une AIPD est souvent requise si vous combinez des ensembles de données, partagez des informations sensibles ou utilisez les données à des fins de profilage ou d'analyse par intelligence artificielle. L'AP a publié une liste des opérations de traitement nécessitant une AIPD. En cas de doute, réalisez-en une : mieux vaut prévenir que guérir.
Quelles amendes les entreprises peuvent-elles encourir en cas de violation du RGPD ?
Le RGPD prévoit deux niveaux d'amendes. Le niveau le plus bas – jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial – s'applique aux infractions telles que le défaut de mise en œuvre de mesures de sécurité appropriées ou l'absence d'analyse d'impact relative à la protection des données (AIPD) lorsque celle-ci est requise. Le niveau le plus élevé – jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial – s'applique aux infractions plus graves, notamment l'absence de base légale pour le traitement des données, les transferts internationaux illicites ou la violation des droits des personnes concernées. L'Autorité de protection des données (AP) détermine le montant de l'amende en fonction de plusieurs facteurs, dont la nature et la gravité de l'infraction, son caractère intentionnel ou non, le nombre de personnes concernées et les mesures d'atténuation prises. Les contrôles récents montrent que l'AP est disposée à infliger des amendes substantielles, en particulier pour les violations systémiques ou délibérées.
Les données pseudonymisées sont-elles toujours sûres à partager ?
Non. La pseudonymisation réduit les risques, mais ne les élimine pas. Conformément à l'article 4, paragraphe 5, du RGPD, la pseudonymisation consiste à remplacer les identifiants directs (comme les noms) par des codes ou des pseudonymes. Cependant, si les données peuvent encore être rattachées à une personne physique – par exemple, grâce à des informations complémentaires détenues par vous ou le destinataire – elles restent des données à caractère personnel et sont pleinement soumises au RGPD. Cela signifie que vous devez toujours disposer d'une base légale, informer les personnes concernées et garantir une sécurité adéquate. Seule une anonymisation véritable – lorsque la réidentification est impossible par tout moyen raisonnable – soustrait les données au champ d'application du RGPD. En pratique, parvenir à une anonymisation véritable est complexe et nécessite une validation par des experts.
Que dois-je faire si mon entreprise subit une fuite de données suite à un partage illégal de données ?
Si vous découvrez une violation de données personnelles, y compris une violation causée par un partage illégal de données, vous avez de 72 heures Vous devez notifier l'autorité de protection des données (AP) conformément à l'article 33 du RGPD (sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes physiques). Vous devez également informer les personnes concernées sans délai indu si la violation est susceptible d'engendrer un risque élevé pour elles (article 34 du RGPD). Les mesures immédiates à prendre sont les suivantes : contenir la violation, évaluer son étendue et son impact, documenter les faits et les mesures prises, et notifier l'AP via son portail en ligne. Le défaut de notification peut entraîner une amende distincte. L'AP évaluera la nécessité d'engager des poursuites en fonction de la gravité de la violation et de votre réaction.
Protégez votre entreprise — Obtenez des conseils juridiques d'experts
Le partage de données est inévitable, mais les violations du RGPD ne le sont pas. Les sept risques décrits ci-dessus ne sont pas théoriques : ils sont tirés de cas concrets de mise en application, de décisions de justice et de recommandations réglementaires. Chacun d’eux peut entraîner des amendes, des poursuites en responsabilité civile et une atteinte à la réputation.
La bonne nouvelle ? Avec un cadre juridique adapté, une documentation claire et des mesures de conformité proactives, vous pouvez partager des données en toute confiance et légalité. Mais pour y parvenir, il faut bien plus que des conseils génériques : il est indispensable de bénéficier d’un accompagnement juridique sur mesure qui comprenne votre activité, vos flux de données et les risques spécifiques auxquels vous êtes confrontés.
N'attendez pas que l'Associated Press vous contacte. Si vous avez des doutes quant à la conformité de vos pratiques de partage de données avec le RGPD, ou si vous avez besoin d'aide pour rédiger des accords de protection des données (APD), réaliser des analyses d'impact relatives à la protection des données (AIPD) ou gérer des transferts internationaux, contactez un avocat spécialisé en protection des données. Votre entreprise – et vos clients – méritent ce qu'il y a de mieux.
