Qui est le responsable de traitement et quel est son rôle ?

Cette FAQ publie les questions qui nous ont été adressées dans le cadre de nos activités (→ voir Qui sommes-nous ?), et les réponses que nous y avons apportées en nous appuyant sur la réglementation en vigueur. La tonalité souvent normative de ces billets ne doit cependant pas décourager le débat sur les conditions d’application de ces règles : n’hésitez pas à les commenter !

Quelques généralités

Au sens de la réglementation sur la protection des données personnelles (RGPD1, LIL2 ), le responsable de traitement (RT) est, en principe, la personne (morale ou physique) qui détermine la finalité et les moyens d’un traitement de données personnelles. Chaque responsable de traitement (RT) a l’obligation de renseigner les traitements dont il est responsable dans un registre des traitements. Ce registre est tenu à jour par un DPO (data protection officer ou délégué à la protection des données) pour le compte de ce responsable, lequel a désigné son DPO auprès de la CNIL.

Et dans la recherche française en SHS ?

Dans la recherche française en SHS, la désignation du RT, du DPO et les modalités de tenue du registre des traitements sont hétérogènes ; aucune règle ne pourrait être dégagée. Dans ce billet, nous faisons seulement état de situations fréquemment rencontrées.

Les laboratoires de type EA (équipes d’accueil) sont le plus souvent rattachés au DPO de leur université qui tient le registre des traitements : dans ce cas, le RT est le·la Président·e de l’université. A titre d’exemple à Nantes Université, la DPO Mélanie Pilon est joignable par mail pour un premier contact, et elle vous accompagne le cas échéant pour remplir un formulaire qui renseignera votre traitement dans le registre de traitements associé au laboratoire.

Au CNRS, la règle de principe veut qu’un directeur d’UMR, s’il est personnel CNRS, désigne le DPO du CNRS : dans ce cas, le RT est le CNRS. Cette désignation n’est pas effectuée par défaut : chaque directeur d’UMR, s’il est personnel CNRS, doit s’assurer que la désignation du DPO du CNRS a bien été effectuée (cette désignation inclut un engagement de conformité, une certaine procédure à respecter) .

A bien noter : il a été dit3 que les directeurs d’unités (DU) étaient les RT des UMR, or cette information est incorrecte dans la mesure où un laboratoire n’est pas doté d’une personnalité juridique à part (autre que ses tutelles). En revanche, cela ne dispense pas le DU de certaines obligations : en outre, il doit chaque année s’assurer que tous les traitements mis en œuvre dans son unité sont bien inscrits dans le registre des traitements, et mis à jour (les inscriptions au registre doivent être supprimées quand le traitement est terminé ; elles doivent être actualisées en cas de modifications éventuelles du traitement).

Dans une UMR qui a désigné le DPO du CNRS, chaque membre du laboratoire (chercheur, ingénieur, doctorant…) peut renseigner son traitement de données personnelles dans le registre des traitements, via un formulaire proposé par le Service Protection des Données (SPD) du CNRS, accessible en ligne sur l’intranet du CNRS4.

    Références

    Nous remercions chaleureusement Mélanie Pilon, DPO de Nantes Université, pour sa relecture avisée.

    Notes

    1. Règlement Général sur la Protection des Données Personnelles (RGPD) du 27 avril 2016 – voir la version en vigueur []
    2. Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (LIL) – voir la version en vigueur []
    3. Notamment sur ce billet avant son actualisation du 27 août 2024 ; mais aussi dans le Guide de l’InSHS de février 2021, page 12 []
    4. Si votre directeur d’UMR a désigné le DPO du CNRS, vous pouvez alors inscrire vos traitements au registre des traitements via l’intranet du CNRS, rubrique “Protection des données” > “Protection des données personnelles” > “Formalités : déclarer un fichier”. Chaque DU pourra être en mesure, via une application dédiée, de consulter l’ensemble des traitements enregistrés par les membres de son laboratoire. []

    OpenEdition vous propose de citer ce billet de la manière suivante :
    Aliette ROUX (11 octobre 2022). Qui est le responsable de traitement et quel est son rôle ? So MSH ! Consulté le 10 mai 2026 à l’adresse https://doi.org/10.58079/ugfj


    Laisser un commentaire

    Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *

    This site uses Akismet to reduce spam. Learn how your comment data is processed.