Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia - 285

D

O

C

T

R

I

N

E

CONTRATS ET RGPD

Clause de responsabilité :
Point d'achoppement
principal de négociation
Quid de la responsabilité spécifique en lien avec
le respect des obligations liées à la protection des
données personnelles ? Le RGPD n'organise pas
spécifiquement le partage de cette responsabilité
entre les parties. Celles-ci doivent l'aménager
et le négocier dans le contrat. Cet article est le
quatrième d'une série de sept articles consacrés à
la problématique contrats et RGPD.

D

ans le cadre de la mise en
conformité au RGPD et de
la négociation et renégociation
des
contrats
impliquant des traitements de
données personnelles, la question
d'une responsabilité spécifique en
lien avec le respect des obligations
liées à la protection des données
personnelles émerge. La question
se pose tout particulièrement pour
les contrats dont l'enjeu business est
important pour l'une ou l'autre des
parties, entre parties disposant de
chiffres d'affaires élevés sur la base
desquels une sanction pourrait être
prononcée , impliquant des données
personnelles dites «  sensibles  »,
relatif à un nombre important de
personnes concernées, etc.
La question est d'autant plus
épineuse que le RGPD n'organise
pas spécifiquement le partage des
responsabilités entre les parties,
quelle que soit leur qualification, en
cas de manquements aux obligations
du contrat relatives à la protection
des données personnelles.

La seule disposition plutôt précise
est l'article 82 du RGPD qui
dispose, en substance, qu'en cas de
manquements ayant entraîné un
dommage matériel ou moral, une
réparation peut être obtenue auprès
du responsable de traitement ou du
sous-traitant, tout en précisant que
l'un ou l'autre peut s'en exonérer
en démontrant que le fait ne lui
est pas imputable. L'article prévoit
également la possibilité d'une action
récursoire de la partie qui a supporté
l'intégralité de la réparation envers la
ou le(s) autre(s) partie(s) à hauteur de
sa ou de leur part de responsabilité
dans le dommage.
L'article 83 du RGPD indique quant
à lui que le degré de responsabilité
du responsable du traitement ou
du sous-traitant est pris en compte
dans les critères servant de base à
la détermination et au prononcé
d'une sanction administrative, mais
semble limiter l'application de ce
critère aux mesures techniques et
organisationnelles qui ont été mises
en œuvre.
EXPERTISES juillet/août 2020

En l'absence de davantage de
précisions dans le RGPD, les
parties
aménagent
donc
et
négocient âprement le partage
des responsabilités en termes de
données personnelles.
Avant de détailler le contenu
envisageable de la clause de
responsabilité dite «  données
personnelles  » et les conditions de
sa mise en œuvre, il convient de
s'interroger sur l'existence même
d'une telle clause de responsabilité
pour la protection des données
personnelles.

Clause de responsabilité
« données personnelles » :
to be or not to be ?
Un benchmark des avenants RGPD
aux contrats permet d'identifier que
nombre d'entre eux ne prévoient
pas de clause de responsabilité
spécifique à la protection des
données personnelles. Certains
contrats se limitent en effet à
prévoir une clause de responsabilité globale au contrat intégrant

285

Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia