Bien qu\u2019entr\u00e9 en vigueur le 25 mai 2018, la conformit\u00e9 au R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (\u00ab\u00a0RGPD\u00a0\u00bb ou \u00ab\u00a0GDPR\u00a0\u00bb en Anglais) reste toujours un d\u00e9fi \u00e0 relever pour beaucoup d\u2019entreprises, en particulier les r\u00e9seaux de franchise. En effet, ce partenariat commercial entre entreprises implique naturellement des traitements de donn\u00e9es \u00e0 caract\u00e8re personnel auxquels le RGPD s\u2019applique, que ce soit les donn\u00e9es des clients, du personnel ou des fournisseurs.<\/p>\n
Les donn\u00e9es \u00e0 caract\u00e8re personnel des clients pr\u00e9sentent une valeur commerciale importante, tant pour le franchiseur que pour le franchis\u00e9, et sont d\u2019ailleurs souvent collect\u00e9es en masse. Ces donn\u00e9es clients peuvent \u00eatre des coordonn\u00e9es de contacts, des donn\u00e9es relatives aux paiements et cartes de paiement, des informations de g\u00e9olocalisation, des tendances d\u2019achats, etc. Toutes ces donn\u00e9es, associ\u00e9es \u00e0 des logiciels ou algorithmes de statistiques ou d\u2019analyse, permettent notamment de mettre en place des programmes de fid\u00e9lit\u00e9 personnalisables, de mieux cerner les int\u00e9r\u00eats des clients, de d\u00e9velopper de nouveaux produits, etc.<\/p>\n
Ces traitements de donn\u00e9es pr\u00e9sentent incontestablement des avantages mais ne sont pas sans risque au regard du RGPD.<\/p>\n
Tout d\u2019abord, les autorit\u00e9s de contr\u00f4le nationales peuvent sanctionner les infractions aux dispositions les plus importantes du RGPD par des amendes administratives dont les montants les plus \u00e9lev\u00e9s peuvent aller jusqu\u2019\u00e0 20 millions d\u2019euros ou jusqu\u2019\u00e0 4 % du chiffre d\u2019affaires annuel mondial total. Outre une sanction p\u00e9cuniaire significative, le manque de conformit\u00e9 aux r\u00e8gles en mati\u00e8re de la protection des donn\u00e9es et de la vie priv\u00e9e peut ternir la r\u00e9putation de l\u2019enti\u00e8ret\u00e9 du r\u00e9seau de franchise. Entretemps, l\u2019APD a pu infliger des amendes pouvant aller jusqu\u2019\u00e0 30.000 euros (d\u00e9cision 77\/2023), voire 100.000 euros (d\u00e9cision 56\/2021).<\/p>\n
<\/p>\n
Afin de respecter le RGPD, il convient d\u2019identifier d\u2019abord le responsable du traitement<\/strong>\u00a0: c\u2019est en effet ce dernier qui doit respecter les dispositions du RGPD et d\u00e9montrer la conformit\u00e9 au RGPD de ses activit\u00e9s (articles 5.2[1]<\/span><\/a> et 24[2]<\/span><\/a> du RGPD).[3]<\/span><\/a> \u00a0L\u2019identification du responsable (ou des responsables conjoints) est donc primordiale dans un r\u00e9seau de franchise, o\u00f9 les acteurs sont g\u00e9n\u00e9ralement nombreux.\u00a0Nous remarquons de nombreuses confusions dans la pratique.<\/p>\n Comment identifier le responsable ou les responsables conjoints des traitements impliqu\u00e9s dans un r\u00e9seau de franchise<\/strong>\u00a0? Selon le RGPD, le responsable du traitement est la personne (morale, physique ou toute autre entit\u00e9) qui d\u00e9termine les finalit\u00e9s et les moyens du traitement (article 4.7 du RGPD). Plusieurs personnes seront consid\u00e9r\u00e9es comme des responsables conjoints quand les m\u00eames finalit\u00e9s et moyens ont \u00e9t\u00e9 d\u00e9cid\u00e9s conjointement et en m\u00eame temps. Le sous-traitant<\/strong> est la partie qui traitera les donn\u00e9es pour le compte et sur instructions du responsable du traitement (article 4.8 du RGPD).<\/p>\n Il n\u2019existe donc pas de r\u00e9ponse toute pr\u00eate et ad\u00e9quate \u00e0 tous les r\u00e9seaux de franchise<\/strong>. En effet, la notion de responsable est une notion fonctionnelle et le RGPD impose d\u2019identifier le(s) responsable(s) sur base d\u2019\u00e9l\u00e9ments factuels. Il n\u2019est donc pas possible d\u2019affirmer que tous les franchiseurs sont des responsables du traitement et tous les franchis\u00e9s des sous-traitants (ou inversement).<\/p>\n Il n\u2019est pas non plus possible d\u2019imposer le r\u00f4le de \u2018responsable du traitement\u2019 par voie contractuelle<\/strong> quand les crit\u00e8res ne sont pas rencontr\u00e9s factuellement, dans le chef de la personne d\u00e9sign\u00e9e comme responsable du traitement. Les parties doivent donc proc\u00e9der \u00e0 une analyse au cas par cas.<\/p>\n La premi\u00e8re question<\/u> \u00e0 se poser est la suivante\u00a0: qui a le pouvoir d\u00e9cisionnel<\/strong> ou l\u2019influence sur le traitement de donn\u00e9es\u00a0?\u00a0 En d\u2019autres termes, qui a initi\u00e9 le traitement de donn\u00e9es\u00a0? Pourquoi le traitement est-il mis en place\u00a0?<\/p>\n Exemple 1<\/u>\u00a0: Un r\u00e9seau de distribution envisage de d\u00e9velopper de nouveaux produits ou services. Pour ce faire, il souhaiterait disposer de statistiques sur la client\u00e8le de son ou ses enseigne(s). Il fournit \u00e0 tous ses franchis\u00e9s un questionnaire \u00e0 faire remplir par leurs clients, avec des instructions sur les informations \u00e0 recueillir. Chaque franchis\u00e9 effectue et transmet ensuite les r\u00e9sultats statistiques de cette \u00e9tude \u00e0 la t\u00eate de r\u00e9seau (franchiseur). Les traitements de donn\u00e9es, pr\u00e9sents en l\u2019esp\u00e8ce, sont la collecte des donn\u00e9es et la r\u00e9alisation d\u2019\u00e9valuations statistiques avec ces donn\u00e9es. Il se peut que les r\u00e9sultats statistiques soient des donn\u00e9es pseudo-anonymis\u00e9es ou anonymis\u00e9es. D\u00e8s lors, bien qu\u2019il n\u2019ait re\u00e7u que des donn\u00e9es statistiques et pas de donn\u00e9es \u00e0 caract\u00e8re personnel \u00e0 proprement parler, le franchiseur reste le responsable des traitements effectu\u00e9s pour r\u00e9aliser les analyses. En effet, c\u2019est le franchiseur qui a d\u00e9termin\u00e9 la finalit\u00e9 et les moyens de ces traitement et a instruit ses franchis\u00e9s sur les traitements \u00e0 r\u00e9aliser. Le fait qu\u2019il n\u2019ait pas acc\u00e8s aux donn\u00e9es trait\u00e9es n\u2019est pas d\u00e9terminant.[4]<\/span><\/a><\/p>\n Le deuxi\u00e8me crit\u00e8re<\/u> concerne l\u2019objet du pouvoir d\u00e9cisionnel<\/strong>\u00a0: Qui d\u00e9termine les finalit\u00e9s et les moyens du traitement\u00a0? Les finalit\u00e9s et les moyens d\u00e9signent respectivement le \u00ab\u00a0pourquoi\u00a0\u00bb<\/strong> et le \u00ab\u00a0comment\u00a0\u00bb<\/strong> du traitement.[5]<\/span><\/a> Il existe aussi une hi\u00e9rarchie entre les finalit\u00e9s et les moyens\u00a0: le fait de d\u00e9terminer la finalit\u00e9 entra\u00eene d\u2019office la qualification de responsable du traitement. Le sous-traitant dispose toutefois d\u2019une certaine marge de man\u0153uvre pour choisir comment impl\u00e9menter un traitement de donn\u00e9es.<\/p>\n Troisi\u00e8mement<\/u>, la marge de man\u0153uvre du sous-traitant n\u2019est pas sans limite<\/strong>. La qualification de \u2018responsable du traitement\u2019 peut \u00e9galement \u00eatre appliqu\u00e9e quand une partie d\u00e9termine les moyens essentiels des traitements de donn\u00e9es. En g\u00e9n\u00e9ral, la finalit\u00e9, les cat\u00e9gories de donn\u00e9es, la dur\u00e9e de conservation sont consid\u00e9r\u00e9es comme des \u00e9l\u00e9ments essentiels des traitements. Quant aux moyens non essentiels, on parle du choix des logiciels, du mat\u00e9riel, des mesures de s\u00e9curit\u00e9 concr\u00e8tes.<\/p>\n Exemple 2<\/u>: Dans un r\u00e9seau de franchise, le franchiseur met \u00e0 la disposition de ses franchis\u00e9s une base de donn\u00e9es destin\u00e9e \u00e0 collecter et conserver les donn\u00e9es des clients de l\u2019enseigne. Cette base de donn\u00e9es est h\u00e9berg\u00e9e sur les serveurs du franchiseur. Chaque franchis\u00e9 y entre les donn\u00e9es de ses clients, pour des finalit\u00e9s qui lui sont propres, et choisit, en toute ind\u00e9pendance, les dur\u00e9es de conservation, l\u2019acc\u00e8s, la rectification et la suppression des donn\u00e9es clients. Un franchis\u00e9 ne peut acc\u00e9der ou utiliser les donn\u00e9es des autres franchis\u00e9s. et le franchiseur ne peut acc\u00e9der aux donn\u00e9es entr\u00e9es par les franchis\u00e9s. Dans un tel cas de figure, le franchiseur est sous-traitant pour tous les franchis\u00e9s car il a juste fourni des moyens non essentiels, c\u2019est-\u00e0-dire un outil informatique dont les modalit\u00e9s sont laiss\u00e9es au choix des franchis\u00e9s, tandis que chaque franchis\u00e9 est responsable de mani\u00e8re autonome de l\u2019usage fait de la base de donn\u00e9es.\u00a0Le facteur d\u00e9terminant dans ce cas est l\u2019ind\u00e9pendance des franchis\u00e9s dans le choix de la finalit\u00e9, des types de donn\u00e9es et des caract\u00e9ristiques des traitements de donn\u00e9es.<\/p>\n Une m\u00eame partie peut accumuler deux r\u00f4les diff\u00e9rents<\/strong>\u00a0: Un franchis\u00e9 peut traiter des donn\u00e9es pour le compte du franchiseur, comme sous-traitant, et peut \u00e9galement, en dehors des instructions du franchiseur et pour des finalit\u00e9s qui lui sont propres, traiter des donn\u00e9es en tant que responsable du traitement. Cependant, une partie ne peut accumuler des r\u00f4les diff\u00e9rents pour le m\u00eame ensemble de traitements.<\/p>\n Exemple 3<\/u>\u00a0: Dans l\u2019exemple 1, les franchis\u00e9s sont des sous-traitants pour l\u2019analyse des donn\u00e9es. Cependant, ces donn\u00e9es pourraient avoir \u00e9t\u00e9 \u00e9galement collect\u00e9es par les franchis\u00e9s, aupr\u00e8s de leurs clients, en vue de l\u2019\u00e9laboration de nouveaux services ou produits, et donc \u00e0 des finalit\u00e9s diff\u00e9rentes que l\u2019analyse, telle la mise en place d\u2019un syst\u00e8me de fid\u00e9lit\u00e9<\/span> fid\u00e9lisation qui leur soit propre. Les franchis\u00e9s seront dans ce cas responsables des traitements li\u00e9s au syst\u00e8me de fid\u00e9lisation.<\/p>\n L\u2019analyse des crit\u00e8res \u00e9nonc\u00e9s doit \u00e9galement \u00eatre r\u00e9alis\u00e9e \u00e0 la lumi\u00e8re d\u2019autres facteurs, tels que le pouvoir de n\u00e9gociation de chaque partie, le degr\u00e9 d\u2019ind\u00e9pendance des franchis\u00e9s, le contenu des obligations contractuelles du contrat de franchise, etc.<\/p>\n En r\u00e9sum\u00e9, pour la protection des donn\u00e9es de l\u2019ensemble du r\u00e9seau, le franchiseur prudent fera une analyse des flux de donn\u00e9es qui circulent au sein de son r\u00e9seau (tout en tenant compte de futurs projets) et, tenant compte de la complexit\u00e9 de l\u2019attribution des responsabilit\u00e9s telle qu\u2019illustr\u00e9e ci-dessus, il aura int\u00e9r\u00eat \u00e0 mettre en place les mesures n\u00e9cessaires en vue de respecter le RGPD. A d\u00e9faut, le r\u00e9seau entier naviguera \u00e0 l\u2019aveugle et sera en risque au regard de l\u2019application du RGPD.<\/p>\n <\/p>\n Les accords \u00e9crits entre responsables et sous-traitants<\/u><\/em><\/p>\n Dans le cadre d\u2019une sous-traitance, le RGPD impose aussi bien au responsable du traitement qu\u2019au sous-traitant, de r\u00e9diger un accord \u00e9crit relatif \u00e0 ladite sous-traitance (article 28 du RGPD). Cet accord a pour but de d\u00e9finir les obligations et droits de chaque partie, mais aussi de contenir certaines informations \u00e9num\u00e9r\u00e9es \u00e0 l\u2019article 28 du RGPD.<\/p>\n Comme nous l\u2019avons vu pr\u00e9c\u00e9demment, certaines parties peuvent accumuler des r\u00f4les diff\u00e9rents pour diff\u00e9rents traitements. Cette obligation peut donc se r\u00e9v\u00e9ler en r\u00e9alit\u00e9 difficile \u00e0 respecter et \u00e0 mettre en place, au vu de la multiplicit\u00e9 des acteurs et des actions poursuivies dans un r\u00e9seau de franchise.<\/p>\n Etant donn\u00e9 la relation contractuelle qui les lie, le franchiseur, quand il est responsable du traitement – et aussi par souci de r\u00e9putation de son r\u00e9seau-, devrait s\u2019assurer que ses franchis\u00e9s respectent la r\u00e9glementation en vigueur. Pour ce faire, il est vivement recommand\u00e9 d\u2019ins\u00e9rer dans le contrat de franchise les obligations r\u00e9ciproques du franchis\u00e9 et du franchiseur. En pratique, des lignes directrices sont incluses dans une annexe sp\u00e9cifique au contrat de franchise, mais, trop souvent, les r\u00f4les de chacun, dans chaque cas de figure, ne sont pas suffisamment sp\u00e9cifi\u00e9s. Cependant, en cas de violation du RGPD par un franchis\u00e9 sous-traitant, l\u2019existence-m\u00eame d\u2019une telle clause n\u2019est pas suffisante pour d\u00e9responsabiliser le franchiseur\u00a0: encore doit-il mettre en \u0153uvre une telle clause, effectivement surveiller les actions de ses sous-traitants et prendre les mesures de sauvegarde n\u00e9cessaires.<\/p>\n Une assistance du franchiseur conforme au RGPD<\/u><\/em><\/p>\n Un contrat de franchise pr\u00e9voit g\u00e9n\u00e9ralement l\u2019obligation dans le chef du franchiseur, d\u2019assister ses franchis\u00e9s par la fourniture d\u2019outils techniques. Le franchiseur pourra offrir \u00e0 ses franchis\u00e9s des outils informatiques conformes au RGPD (respectant par exemple le principe de minimisation des donn\u00e9es) mais aussi des outils de mise en conformit\u00e9 (documentation mod\u00e8le sur la protection des donn\u00e9es, audit, analyse d\u2019impact des risques, proc\u00e9dure de r\u00e9ponse \u00e0 des demandes de personnes concern\u00e9es, registre des activit\u00e9s de traitement, etc.).<\/p>\n Le franchiseur pourrait \u00e9galement proposer \u00e0 ses franchis\u00e9s, \u00e0 titre d\u2019assistance, les services d\u2019un Data Protection Officer (DPO). Les services d\u2019un DPO interne (c\u2019est-\u00e0-dire membre ou employ\u00e9 du franchiseur) offerts aux franchis\u00e9s, pourraient toutefois s\u2019av\u00e9rer probl\u00e9matiques. Un DPO doit avoir la capacit\u00e9 d\u2019agir en toute ind\u00e9pendance et donc, sans conflit d\u2019int\u00e9r\u00eats avec les missions qu\u2019il exerce aupr\u00e8s du franchiseur. De sorte que les franchis\u00e9s puissent recevoir les conseils les plus ad\u00e9quats et exempts de tout conflit d\u2019int\u00e9r\u00eats, nous pr\u00e9conisons de recourir aux services d\u2019un DPO externe.<\/p>\n Le respect des droits des personnes concern\u00e9es<\/u><\/em><\/p>\n En vertu du RGPD, les personnes concern\u00e9es disposent d\u2019un certain nombre de droits qu\u2019elles doivent exercer aupr\u00e8s du responsable du traitement (droit d\u2019acc\u00e8s, droit de rectification, droit d\u2019effacement, droit \u00e0 la limitation, droit \u00e0 la portabilit\u00e9, droit d\u2019opposition, droit de s\u2019opposer au profilage \u2013 articles 15 \u00e0 22 du RGPD). Les sous-traitants ont eux l\u2019obligation d\u2019aider le responsable du traitement \u00e0 respecter l\u2019exercice de ces droits.<\/p>\n Dans un r\u00e9seau de franchise, il est probable que des clients exercent leurs droits directement aupr\u00e8s des franchis\u00e9s, g\u00e9n\u00e9ralement \u00e0 l\u2019insu du franchiseur. Il appartiendra alors au franchiseur de mettre en place des proc\u00e9dures avec ses franchis\u00e9s, afin que les demandes introduites par des clients – relatives \u00e0 des traitements dont il est responsable \u2013 lui soient transmises en temps utile.<\/p>\n Le responsable du traitement a \u00e9galement un devoir d\u2019information \u00e0 l\u2019\u00e9gard des personnes concern\u00e9es (articles 13 et 14 du RGPD) et de faciliter l\u2019exercice des droits des personnes concern\u00e9es (article 12.2 du RGPD). Ces devoirs entra\u00eenent l\u2019obligation d\u2019informer clairement les personnes concern\u00e9es sur l\u2019identit\u00e9 du responsable du traitement, afin qu\u2019elles puissent exercer leurs droits efficacement. Les franchis\u00e9s \u00e9tant g\u00e9n\u00e9ralement en contact direct avec la client\u00e8le, le franchiseur pourrait alors leur imposer de transmettre \u00e0 la client\u00e8le les informations requises par le RGPD.\u00a0 Le franchiseur veillera d\u2019ailleurs \u00e0 communiquer \u00e0 travers son ou ses sites internet et par tout moyen appropri\u00e9.<\/p>\n L\u2019importance d\u2019un consentement valide ou pas ? <\/u><\/em><\/p>\n Il peut arriver que le franchiseur et ses franchis\u00e9s se partagent la m\u00eame base de donn\u00e9es clients et que cette base de donn\u00e9es soit utilis\u00e9e \u00e0 des fins de marketing direct par le franchiseur ou\/et le franchis\u00e9.<\/p>\n Il est g\u00e9n\u00e9ralement accept\u00e9 que le marketing direct se fonde soit sur le consentement des clients, soit sur l\u2019int\u00e9r\u00eat l\u00e9gitime des entreprises. Bien qu\u2019il n\u2019existe pas de primaut\u00e9 entre les bases l\u00e9gales permises par le RGPD, beaucoup d\u2019entreprises se fondent sur le consentement pour proc\u00e9der \u00e0 des campagnes publicitaires.[6]<\/span><\/a><\/p>\n D\u00e8s lors, il convient pour toutes les parties d\u2019un r\u00e9seau de franchise d\u2019\u00eatre prudentes, quant \u00e0 la justification des traitements de donn\u00e9es de clients \u00e0 des fins de marketing direct, plus particuli\u00e8rement lorsqu\u2019ils s\u2019appuient sur le consentement de la client\u00e8le. En effet, si un franchiseur\/franchis\u00e9 ne respecte pas les r\u00e8gles relatives au consentement pour collecter des donn\u00e9es, le consentement ne pourra \u00eatre consid\u00e9r\u00e9 comme valable et le franchiseur\/franchis\u00e9 utilisant ces donn\u00e9es, serait susceptible de violer le RGPD. \u00a0Pour rappel, un consentement doit \u00eatre \u00e9clair\u00e9, libre, sp\u00e9cifique et univoque et s\u2019illustrer par un acte positif clair. Le responsable du traitement doit aussi \u00eatre en mesure de d\u00e9montrer la validit\u00e9 du consentement des personnes concern\u00e9es.<\/p>\n Enfin, il est parfois plus efficace de recourir \u00e0 une autre base l\u00e9gale que le consentement, vu qu\u2019il serait fastidieux et absurde de tenter de recueillir le consentement de chaque .[7]<\/span><\/a><\/p>\n Ainsi la conformit\u00e9 au RGPD peut \u00eatre un exercice p\u00e9rilleux dans un r\u00e9seau de franchise. D\u00e8s lors, il est important pour chaque r\u00e9seau de franchise, d\u2019avoir une bonne connaissance des flux de donn\u00e9es au sein de son r\u00e9seau, d\u2019adapter r\u00e9guli\u00e8rement son dispositif contractuel avec ses partenaires et surtout, de mettre en place un syst\u00e8me de mise en garde, de r\u00e9ception de plainte commun et de contr\u00f4le et d\u2019\u00e9valuation des actions des franchis\u00e9s. Les sanctions de l\u2019APD et les risques d\u2019atteinte \u00e0 la r\u00e9putation du r\u00e9seau pousseront le franchiseur \u00e0 garder la ma\u00eetrise du sujet et de poursuivre ses efforts de sensibilisation en la mati\u00e8re.<\/p>\n ***<\/strong><\/p>\n [1]<\/span><\/a> Le responsable du traitement doit \u00eatre en mesure de d\u00e9montrer qu’il respecte les principes fondamentaux de la protection des donn\u00e9es.<\/p>\n [2]<\/span><\/a> Le responsable du traitement doit mettre en \u0153uvre des mesures techniques et organisationnelles appropri\u00e9es pour garantir et pouvoir d\u00e9montrer que le traitement est effectu\u00e9 conform\u00e9ment au RGPD.<\/p>\n [3]<\/span><\/a> Concernant le r\u00f4le de responsable du traitement et de sous-traitant, voyez notamment le guide de la CEPD\u00a0: Lignes directrices 07\/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, version 2.0, adopt\u00e9es le 7 juillet 2021, disponible sur edpb_guidelines_202007_controllerprocessor_final_fr.pdf (europa.eu)<\/a><\/p>\n [4]<\/span><\/a> CJUE, arr\u00eat Wirtschaft sakademie<\/em>, C-210\/16, ECLI:EU:C:2018:388, \u00a7 38; CJUE, arr\u00eat Jehovah\u2019s witnesses<\/em>, C-25\/17, ECLI:EU:C:2018:551, \u00a7 69.<\/p>\n [5]<\/span><\/a> Av. G\u00e9n. Bot dans l\u2019arr\u00eat Wirtschaft sakademie<\/em>, C-210\/16, ECLI:EU:C:2017:796, \u00a7 46.<\/p>\n [6]<\/span><\/a> Concernant le marketing direct et les bases l\u00e9gales accept\u00e9es, voyez Bases juridiques \u00e0 vos traitements de marketing direct | Autorit\u00e9 de protection des donn\u00e9es (autoriteprotectiondonnees.be)<\/a><\/p>\nQuelques points d\u2019attention propres aux r\u00e9seaux de franchise\u00a0et conseils.<\/strong><\/h3>\n