Responsable de traitement et sous-traitant : qui répond de quoi

Le responsable de traitement décide pourquoi et comment des données personnelles sont utilisées ; le sous-traitant les manipule pour son compte, en suivant ses instructions. Dans un cabinet, la répartition type est simple : vous êtes le responsable, vos outils sont les sous-traitants.

Ce qui distingue les deux rôles

La ligne de partage n'est pas technique, elle est décisionnelle. Celui qui choisit la finalité est responsable. Vous décidez d'ouvrir un dossier de suivi, d'y consigner des observations, d'envoyer un rappel de rendez-vous, de conserver ces informations un certain temps. Personne ne prend ces décisions à votre place, et c'est bien pour cela que vous en répondez.

Le sous-traitant, lui, exécute. Il héberge, il transmet, il stocke, il sauvegarde, mais il ne décide pas de l'usage. Un éditeur de logiciel de cabinet, un hébergeur, un service d'envoi d'emails, un prestataire de sauvegarde sont des sous-traitants.

Une nuance utile : tous vos prestataires ne sont pas des sous-traitants. Un professionnel qui a ses propres obligations légales sur des données, et qui les traite pour son propre compte, agit comme responsable de son côté. C'est notamment le cas d'un expert-comptable. La question à se poser est toujours la même : cette personne agit-elle sur vos instructions, ou pour répondre à ses propres obligations ?

Ce que la qualité de responsable implique pour vous

Elle ne se délègue pas, et c'est le point essentiel. Confier vos données à un outil sérieux ne transfère pas votre responsabilité, cela vous aide à l'assumer. Concrètement, quatre choses restent de votre côté :

• Informer vos clients de ce que vous collectez, pourquoi et pour combien de temps.
• Choisir des sous-traitants qui présentent des garanties, et pouvoir dire lesquels vous utilisez.
• Les inscrire dans votre registre des traitements, à la colonne des destinataires.
• Répondre aux demandes : c'est vous que votre client contactera pour accéder à son dossier ou en demander la suppression, jamais votre éditeur de logiciel.

Cette dernière ligne est la plus concrète. Le jour où quelqu'un vous écrit pour savoir ce que vous détenez sur lui, il n'y a pas de service client à qui renvoyer la question.

Ce que le sous-traitant doit vous garantir

De son côté, un sous-traitant sérieux ne fait rien de vos données en dehors de ce que vous lui demandez. Il ne les revend pas, ne s'en sert pas pour son compte, vous dit où elles sont hébergées, et vous permet de les récupérer ou de les effacer à tout moment.

Ce sont ces trois points que vous devriez vérifier avant d'adopter un outil, plus que la longueur de ses conditions générales. Pour Therapilot, les données sont hébergées dans l'Union européenne, l'export et la suppression sont possibles à tout moment, et le détail figure dans notre politique de confidentialité.

La possibilité d'exporter mérite une mention particulière. Ce n'est pas une commodité de confort, c'est ce qui rend vos obligations tenables : sans export, vous ne pouvez ni répondre à une demande d'accès, ni changer d'outil, ni tenir une sauvegarde qui vous appartienne.

Ce que cela change dans une pratique quotidienne

La distinction devient très concrète le jour où vous ajoutez un outil. Un nouveau service de visioconférence, une messagerie professionnelle, un formulaire de contact sur votre site : chacun devient un sous-traitant, chacun voit passer des informations sur des personnes réelles, et chacun devrait apparaître dans votre registre.

Elle devient tout aussi concrète quand des données quittent votre outil principal. Un dossier exporté vers un tableur, une note recopiée dans une application de prise de notes personnelle, un compte rendu envoyé en pièce jointe : à chaque copie, vous créez un endroit de plus dont vous êtes responsable et que vous devrez penser à nettoyer. Le meilleur réflexe reste de faire vivre les dossiers au même endroit.

Pour un kinésiologue comme pour toute pratique où le suivi se construit sur la durée, cette discipline de centralisation vaut plus qu'une longue politique interne : moins de copies, moins de zones grises.

Le vocabulaire à retenir en trois phrases

Vous décidez, donc vous êtes responsable de traitement. Vos outils exécutent sur vos instructions, donc ils sont sous-traitants. Et le fait de bien choisir vos outils ne vous décharge de rien : cela rend simplement vos obligations réalisables.

Pour replacer cette distinction dans l'ensemble de vos obligations, nos repères RGPD pour un praticien déroulent la mise en conformité d'un cabinet individuel en sept étapes concrètes.