Responsabilite conjointe de traitement (article 26 du RGPD) : comment se repartir les obligations entre partenaires
Publie le 28/10/2026 · Temps de lecture : 10 min
Une franchise qui deploie un programme de fidelite impose par son franchiseur, deux PME qui co-organisent un jeu-concours sur les reseaux sociaux, une place de marche qui collecte les donnees des acheteurs pour le compte de plusieurs vendeurs : dans ces trois situations tres courantes, plusieurs entreprises decident ensemble de ce qu'on fait des donnees personnelles collectees. Le RGPD a prevu un regime precis pour ce cas de figure, souvent meconnu des TPE et PME : la responsabilite conjointe de traitement, encadree par l'article 26 du RGPD.
Contrairement a une idee repandue, ne pas avoir redige d' accord avec son partenaire ne met personne a l'abri : en cas de controle, chaque entreprise impliquee peut etre tenue pour responsable, independamment de ce qui a (ou n'a pas) ete ecrit en interne. Voici ce que la loi impose concretement et comment s'organiser.
Sommaire
- 1. Qu'est-ce qu'un responsable conjoint du traitement ?
- 2. Responsable conjoint ou sous-traitant : une distinction cruciale
- 3. Les situations concretes en TPE et PME
- 4. Ce que l'article 26 du RGPD impose concretement
- 5. Que doit contenir l'accord de responsabilite conjointe
- 6. Les droits des personnes concernees face a deux responsables
- 7. Les risques en l'absence d'accord formalise
- Questions frequentes
1. Qu'est-ce qu'un responsable conjoint du traitement ?
L'article 26 du RGPD definit la responsabilite conjointe ainsi : « lorsque deux responsables du traitement ou plus determinent conjointement les finalites et les moyens du traitement ». Deux conditions doivent donc etre remplies en meme temps : chaque partenaire participe reellement a la decision sur le « pourquoi » (la finalite) et sur le « comment » (les moyens essentiels, par exemple le choix de l'outil utilise ou les categories de donnees collectees). Il n'est pas necessaire que les deux entreprises participent de maniere identique : une participation inegale, mais reelle, aux decisions essentielles suffit a caracteriser la responsabilite conjointe.
Le Comite europeen de la protection des donnees (CEPD, qui regroupe la CNIL et ses equivalents europeens) a precise cette notion dans ses lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-traitant. Deux decisions de la Cour de justice de l'Union europeenne (CJUE) illustrent bien le principe : dans l'affaire Wirtschaftsakademie (2018), la Cour a juge que l'administrateur d'une page Facebook est responsable conjoint avec Facebook pour les statistiques de visite (Facebook Insights) generees par cette page. Dans l'affaire Fashion ID (2019), elle a juge qu'un site marchand integrant le bouton « J'aime » de Facebook est responsable conjoint avec Facebook pour la collecte et la transmission des donnees des visiteurs, mais pas pour les traitements que Facebook effectue ensuite de son propre chef.
2. Responsable conjoint ou sous-traitant : une distinction cruciale
Cette distinction determine quel article du RGPD s'applique et quel document contractuel est exige. Un prestataire qui se contente d'executer des instructions precises, sans marge de decision sur les finalites, est un sous-traitant au sens de l'article 28 du RGPD : c'est le cas d'un hebergeur, d'un outil d'emailing ou d'un comptable externe qui traitent des donnees uniquement pour le compte de leur client, selon ses instructions.
A l'inverse, deux entreprises qui decident ensemble de lancer un traitement, en choisissant ensemble son objectif et ses modalites essentielles, sont responsables conjoints au sens de l'article 26. La question a se poser n'est pas « qui a eu l'idee en premier », mais « qui decide reellement, aujourd'hui, des finalites et des moyens essentiels ». Pour en savoir plus sur les obligations specifiques lorsqu'un partenaire agit comme sous-traitant, voir notre article sur les clauses RGPD obligatoires d'un contrat de sous-traitance.
3. Les situations concretes en TPE et PME
La responsabilite conjointe n'est pas reservee aux grands groupes. Elle se rencontre regulierement dans des configurations ordinaires pour une TPE ou une PME francaise :
- Reseau de franchise : le franchiseur impose un logiciel de caisse, un programme de fidelite ou une CRM commune a tout le reseau, et en definit les regles de fonctionnement (duree de conservation, finalites marketing). Le franchiseur et chaque franchise sont alors generalement responsables conjoints pour ce traitement precis, meme si chacun reste seul responsable pour ses propres traitements RH ou comptables.
- Jeu-concours ou operation marketing co-organisee entre deux PME (par exemple un commercant et une marque partenaire) : les deux entreprises decident ensemble des donnees collectees via le formulaire de participation et de l'usage qui en sera fait.
- Place de marche ou plateforme mutualisee qui collecte les donnees des acheteurs pour le compte de plusieurs vendeurs, lorsque la plateforme et chaque vendeur participent conjointement a definir les finalites (gestion de la commande, service apres-vente, relance marketing).
- Groupement d'entreprises ou centrale d'achat qui mutualise un fichier clients ou fournisseurs commun a plusieurs structures juridiquement distinctes.
Dans chacun de ces cas, la question a trancher au prealable est simple a poser, mais demande une analyse serieuse : qui decide vraiment des finalites et des moyens essentiels, et qui se contente d'executer des instructions ?
4. Ce que l'article 26 du RGPD impose concretement
Une fois la responsabilite conjointe caracterisee, trois obligations precises decoulent de l'article 26 :
- Un accord ecrit entre les partenaires (paragraphe 1), qui determine de maniere transparente leurs obligations respectives, notamment en ce qui concerne l'exercice des droits des personnes concernees et leurs obligations d'information (articles 13 et 14 du RGPD).
- Un point de contact pour les personnes concernees, designe dans cet accord, meme si chacune d' elles reste libre de s'adresser a n'importe lequel des responsables conjoints.
- La mise a disposition des elements essentiels de l'accord (paragraphe 2) aux personnes concernees, generalement via la politique de confidentialite de chaque partenaire.
Cette repartition interne n'a toutefois aucun effet sur les droits des personnes concernees : l'article 26, paragraphe 3, precise explicitement qu'une personne peut exercer ses droits auprès de chacun des responsables conjoints, « quels que soient les termes de l'accord ». L'accord organise la repartition des taches entre partenaires ; il ne limite jamais ce que peut exiger la personne concernee.
5. Que doit contenir l'accord de responsabilite conjointe
Le RGPD ne fixe pas de modele type, mais un accord serieux doit, dans la pratique, couvrir au minimum :
- la description precise du traitement concerne (finalites, categories de donnees, categories de personnes concernees) ;
- la repartition des roles pour l'information des personnes concernees (qui redige et publie quelle mention) ;
- la repartition des roles pour repondre aux demandes d'exercice des droits (delai interne de transmission entre partenaires pour respecter le delai legal d'un mois) ;
- le point de contact designe pour les personnes concernees et pour une eventuelle autorite de controle ;
- la procedure a suivre en cas de violation de donnees (qui notifie la CNIL, dans quel delai, qui informe l' autre partenaire) ;
- les durees de conservation applicables et qui en est garant.
Cet accord peut prendre la forme d'une clause specifique dans le contrat de franchise ou de partenariat existant : il n'est pas obligatoire d'en faire un document distinct, mais le contenu doit etre identifiable et verifiable en cas de controle.
6. Les droits des personnes concernees face a deux responsables
Pour la personne concernee, la complexite organisationnelle entre partenaires ne doit jamais se traduire par une complexite dans l'exercice de ses droits. Qu'elle s'adresse au franchiseur ou a la franchise, a la plateforme ou au vendeur, sa demande doit etre traitee dans le delai legal d'un mois (prorogeable de deux mois pour une demande complexe), comme pour tout responsable de traitement unique. C'est precisement le role de l'accord interne que d'organiser une transmission rapide de la demande vers le partenaire le mieux place pour y repondre, sans faire perdre de temps a la personne concernee.
Une bonne pratique consiste a mentionner explicitement, dans la politique de confidentialite de chaque partenaire, l' existence du traitement conjoint et le point de contact designe, tout en rappelant que la personne peut aussi s'adresser directement a l'autre responsable si elle le souhaite.
7. Les risques en l'absence d'accord formalise
L'absence d'accord ecrit n'empeche pas la CNIL de qualifier une entreprise de responsable conjoint si les faits le demontrent : la qualification juridique decoule de la realite du role joue dans le traitement, pas de ce qui a ete signe ou non. En pratique, l'absence de formalisation cree surtout un risque operationnel : personne n'est clairement designe pour repondre a une demande de droit d'acces, personne ne sait qui doit notifier une violation de donnees dans les 72 heures, et chaque partenaire peut se renvoyer la responsabilite en cas de controle. Pour les obligations precises en cas de fuite de donnees, voir notre article sur la notification d'une violation de donnees a la CNIL dans les 72 heures.
Formaliser cet accord, meme sous la forme d'une clause simple ajoutee a un contrat de partenariat existant, reste donc la meilleure protection pour les deux parties, independamment de toute obligation legale stricte de forme.
Documentez vos traitements, seul ou en partenariat
ConformiteFacile vous aide a tenir un registre des traitements a jour et a generer les mentions d'information adaptees a chaque situation, y compris en cas de responsabilite conjointe.
Voir les tarifsQuestions frequentes
Quelle est la difference entre un responsable conjoint et un sous-traitant ?
Un sous-traitant execute des instructions pour le compte d'un responsable du traitement, sans decider lui-meme des finalites : c'est le cas d'un hebergeur ou d'un prestataire d'emailing (encadre par l'article 28 du RGPD). Un responsable conjoint, a l'inverse, decide avec un ou plusieurs partenaires des finalites et des moyens essentiels du traitement : c'est le cas d'un franchiseur et d'un franchise qui definissent ensemble un programme de fidelite commun. L'article 26 du RGPD s'applique uniquement dans ce second cas.
Un accord ecrit entre responsables conjoints est-il obligatoire ?
Oui. L'article 26, paragraphe 1, du RGPD impose que les responsables conjoints determinent leurs obligations respectives de maniere transparente, au moyen d'un accord entre eux, sauf si cette repartition resulte deja du droit de l'Etat membre applicable. Cet accord n'a pas de format impose, mais il doit etre ecrit et refleter la realite des roles de chaque partenaire, pas une repartition theorique deconnectee de la pratique.
Vers quel responsable une personne peut-elle s'adresser pour exercer ses droits ?
L'article 26, paragraphe 3, du RGPD est clair : la personne concernee peut exercer ses droits (acces, rectification, effacement...) auprès de chacun des responsables conjoints, quels que soient les termes de l'accord interne repartissant les taches. Un partenaire ne peut donc jamais repondre a une demande en renvoyant simplement la personne vers l'autre responsable : il doit soit traiter la demande, soit la transmettre immediatement en interne pour qu'elle soit traitee dans les delais legaux.
Une franchise et son franchiseur sont-ils automatiquement responsables conjoints ?
Non, pas automatiquement : tout depend de qui decide reellement des finalites et des moyens du traitement concerne. Si le franchiseur impose un logiciel de caisse ou un programme de fidelite commun a tout le reseau et en definit les regles, le franchiseur et chaque franchise sont generalement responsables conjoints pour ce traitement precis. En revanche, pour la gestion RH propre a chaque point de vente (contrats de travail, paie), chaque franchise reste seule responsable du traitement, independamment de l'enseigne.
Que risque une entreprise qui n'a pas formalise cette responsabilite conjointe ?
En cas de controle ou de plainte, l'absence d'accord ecrit ne protege aucun des partenaires : la CNIL ou une autre autorite de controle europeenne peut retenir la responsabilite de chacun d'eux independamment de l'existence ou non d'un accord interne. L'absence de repartition claire complique aussi, en pratique, le traitement des demandes des personnes concernees et la gestion d'une eventuelle violation de donnees, puisque personne n'est designe comme point de contact.
A lire aussi
Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir
Lire
Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee
Lire