Cyber Crucible est-il un responsable du traitement ou un sous-traitant des données ?

Réponse courte : Dans la plupart des missions, Cyber Crucible agit en tant que sous-traitant des données pour le compte du client, qui est le responsable du traitement. Le client détermine les finalités et les moyens du traitement ; Cyber Crucible ne traite les données que sur les instructions documentées du responsable du traitement, dans le cadre d'un accord de traitement des données (DPA) écrit.

Pourquoi cette distinction est importante

Presque tous les régimes de cette famille — PDPL, GDPR, et leurs dérivés — répartissent les obligations selon les rôles. Les responsables du traitement décident pourquoi et comment les données sont traitées, et assument les devoirs les plus lourds : informer les personnes concernées, traiter les demandes relatives aux droits, et dans certains cas l'enregistrement.

Les sous-traitants doivent suivre des instructions licites et protéger les données. Selon la PDPL, un sous-traitant qui utiliserait les données au-delà des instructions du responsable du traitement serait lui-même considéré comme un responsable du traitement — c'est pourquoi le périmètre est défini contractuellement plutôt que laissé à l'interprétation.

En pratique

Cyber Crucible opère dans le cadre d'un DPA écrit ou d'un accord de service précisant le périmètre du traitement, et ne détourne ni ne conserve les données en dehors de ces instructions.

Étant normalement un sous-traitant, les obligations propres au responsable du traitement vous incombent : informer les personnes concernées du traitement, répondre aux demandes relatives aux droits, et autres obligations similaires.

L'exception

Ce n'est que si Cyber Crucible traitait des données personnelles pour ses propres finalités qu'il serait considéré comme responsable du traitement, et il assumerait alors l'ensemble des obligations d'un responsable du traitement, y compris l'enregistrement et le consentement le cas échéant. Ce n'est pas le modèle opérationnel en vigueur.