CNIL4 mars 2021CNIL, P, 4 mars 2021, Mise en demeure, n° MED-2021-009, non publié
Mise à disposition de plateforme en ligne pour la publication d’annonces immobilières – Sous‑traitance et sous‑traitance de second rang – Formalisation des relations entre responsable du traitement et sous‑traitants
Un organisme de représentation professionnelle qui met à disposition des entités indépendantes qu’il représente une plateforme en ligne de publication d’annonces immobilières et d’hébergement des documents annexés à ces annonces via un site web – en tant qu’activité accessoire et non réglementée de cette profession – doit être considéré comme sous‑traitant de ces entités, considérées comme responsable du traitement, dès lors que ces dernières conservent dans ce cadre une entière liberté de choix quant aux moyens mis en œuvre pour exercer cette activité et publier des annonces immobilières, et dans la mesure où elles déterminent seules les finalités et les moyens du traitement.
En outre, lorsque les entités responsables du traitement confient à l’organisme sous‑traitant la charge de publier leurs annonces immobilières et d’héberger les documents annexés à ces annonces sur un site web dont l’organisme sous‑traitant se déclare éditeur, et lorsque l’hébergement, l’exploitation, la maintenance et l’évolution de ce site, qui impliquent le traitement des données personnelles contenues dans les documents annexés aux annonces, ont été confiés par l’organisme sous‑traitant à une autre société, cette dernière intervient dès lors en qualité de sous‑traitant de second rang recruté par l’organisme sous‑traitant.
Dès lors que, d’une part, aucun acte juridique ne formalise ni les relations entre les responsables du traitement de publication d’annonces immobilières et l’organisme sous‑traitant, ni les relations entre l’organisme sous‑traitant et la société intervenant en tant que sous‑traitant de second rang, et que, d’autre part, aucune autorisation écrite préalable des responsables de traitement ne prévoit le recrutement, par l’organisme sous‑traitant, de la société intervenant en tant que sous‑traitant de second rang, ces faits constituent un manquement à l’article 28 du RGPD.