Le client fait faillite, le prestataire reste seul avec les données : et devient responsable de traitement

Ce qui s'est passé

Le 24 mars 2020, une chaîne de magasins norvégienne fait faillite. Les anciens salariés demandent au mandataire la couverture des salaires pour les jours travaillés, et il leur faut pour cela leurs relevés d'heures : heures, plannings, présences. Or ces données se trouvent dans le système d'un prestataire externe, qui les traitait pour le compte de l'entreprise. Le mandataire n'a pas accès au système. Le 18 juin, un ancien salarié dépose une demande d'accès à ses propres données ; il en arrivera quatre-vingts au total. Le 23 juin, le prestataire répond par écrit qu'il n'a aucun pouvoir autonome de disposition et qu'il ne lui est pas permis de communiquer des données à quiconque, « pas même aux personnes concernées elles-mêmes ».

Un traitement sans responsable, cela n'existe pas

L'article 28, paragraphe 10, dispose que le sous-traitant qui détermine les finalités et les moyens devient responsable pour ce traitement. Après la faillite, le prestataire était le seul à avoir accès aux systèmes, décidait s'il communiquait les données et à qui, fixait la durée de conservation et traitait seul les demandes des personnes concernées. Ce sont des décisions sur les moyens essentiels du traitement, et elles relèvent du responsable. Le règlement ne connaît pas la figure du sous-traitant sans responsable : de chaque traitement, quelqu'un doit répondre.

La facture ne suspend pas les droits

Le prestataire avait demandé au mandataire de régler ses créances avant de livrer les relevés, et s'était dit prêt à fournir les « données brutes » uniquement dans le cadre d'une nouvelle mission rémunérée. L'autorité a tenu les deux questions séparées : savoir si une rémunération est due est une question contractuelle que le RGPD ne régit pas, tandis que l'accès doit recevoir une réponse dans un délai d'un mois (article 12, paragraphe 3) et gratuitement en règle générale (article 12, paragraphe 5). Un compte ouvert avec un client en faillite n'est pas une base légale pour refuser à quelqu'un ses propres données.

• Ce qu'il advient des données si le responsable fait faillite ou cesse d'exister. La clause type « restituer ou effacer à la fin du contrat » ne suffit pas quand ces données servent aux salariés à faire valoir une créance : il faut écrire qui répond aux demandes d'accès entre-temps.
• Si votre client est un prestataire, vérifiez qu'il sait reconnaître le moment où plus personne ne lui donne d'instructions. À partir de là, soit il identifie le successeur — le plus souvent le mandataire — soit il prend acte qu'il est lui-même responsable.
• Aucune demande d'accès ne peut être subordonnée à un paiement. C'est le point sur lequel le prestataire a perdu, et c'est aussi le plus simple à inscrire dans une procédure interne.

La sanction, et pourquoi elle est plus basse qu'elle n'aurait été

Deux cent cinquante mille couronnes norvégiennes, environ vingt-cinq mille euros. Dans sa lettre d'avril 2025, l'autorité en avait annoncé sept cent cinquante mille, avant de réduire le montant en raison de la durée de la procédure : la réclamation était arrivée le 30 juin 2020 et la première demande d'explications à la société est partie le 15 octobre 2024. L'affaire a été traitée comme transfrontalière, la Suède, le Danemark et l'Espagne figurant parmi les autorités concernées.