Responsable conjoint de traitement : les enjeux pour la PME
La situation est plus fréquente qu’on ne le croit dès qu’une PME monte un projet commun : un webinaire coorganisé avec un partenaire, une plateforme partagée entre plusieurs sociétés d’un groupe, un fichier de prospects alimenté à deux. Selon la CNIL, le critère clé est simple : le traitement n’aurait pas lieu sans la participation active de chacun. La CNIL cite par exemple des centres hospitaliers qui entraînent ensemble un système d’IA, ou des collectivités qui créent une plateforme commune de données ouvertes.
La conséquence pratique est l’accord. Les partenaires doivent définir par écrit et de manière transparente qui informe les personnes, qui répond à leurs demandes, qui notifie un incident. L’article 26 du RGPD ajoute que, quel que soit cet accord, la personne peut exercer ses droits auprès de chacun des responsables. Chaque partenaire doit donc pouvoir répondre, ou transmettre sans délai.
Notre méthode en trois étapes pour un projet commun : vérifier que chacun décide réellement de l’objectif, sinon il s’agit d’un sous-traitant ; rédiger un accord court qui attribue chaque obligation à un nom ; publier ses grandes lignes dans les mentions d’information. La fiche responsable de traitement détaille les obligations que chacun conserve. Cette fiche est une information générale, à compléter par l’avis d’un conseil.
Exemple
Un cabinet d’expertise comptable de 30 personnes et un éditeur de logiciel de 15 personnes coorganisent un cycle de 4 webinaires pour dirigeants. Ils choisissent ensemble les questions du formulaire et l’usage des 380 inscriptions. Leur accord d’une page confie l’information et les désinscriptions au cabinet, l’hébergement du formulaire à l’éditeur, et fixe la suppression du fichier commun six mois après le dernier webinaire.
Questions fréquentes
Quand est-on responsable conjoint de traitement ?
Lorsque deux organismes ou plus déterminent ensemble pourquoi et comment des données sont traitées, au point que le traitement n’aurait pas lieu sans chacun d’eux.
Un accord écrit est-il obligatoire entre responsables conjoints ?
L’article 26 du RGPD impose un accord qui définit les obligations de chacun, et la CNIL indique qu’il doit être établi par écrit et de manière transparente.
À qui la personne concernée peut-elle s’adresser ?
À n’importe lequel des responsables conjoints. L’article 26 lui permet d’exercer ses droits à l’égard de chacun, quelle que soit la répartition prévue par l’accord.
Quelle différence entre responsable conjoint et sous-traitant ?
Le responsable conjoint participe aux décisions sur l’objectif et les moyens. Le sous-traitant agit pour le compte d’un responsable, sur ses instructions, et relève d’un contrat de l’article 28.
Sources
- RGPD, chapitre IV : responsable du traitement et sous-traitant (articles 26, 28 et 30), CNIL — consulté le 16 octobre 2026
- Responsable du traitement, sous-traitants : comment bien identifier son rôle ?, CNIL — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.