> Joint Controller : Quand Deux Parties Décident Ensemble, la Responsabilité se Partage

GLOSSAIRE
DATA & RÉGLEMENTAIRE
⚖️ Définition + la répartition des rôles, clarifiée

Joint Controller
Quand deux parties décident ensemble, la responsabilité se partage

Ce contenu est informatif et ne constitue pas un conseil juridique. La qualification de responsable conjoint dépend d'une analyse au cas par cas de la relation entre les parties. Pour toute question sur votre situation précise, consultez directement le site officiel de la CNIL ou un professionnel du droit.

Définition

Un Joint Controller (responsable conjoint du traitement) désigne une situation encadrée par l'article 26 du RGPD, où deux ou plusieurs organisations déterminent ensemble les finalités et les moyens d'un traitement de données personnelles. Cette qualification diffère fondamentalement de la relation classique responsable de traitement / sous-traitant : dans une responsabilité conjointe, aucune des parties n'agit sur simple instruction de l'autre, chacune participe activement à la décision de ce qui est fait avec la donnée et pourquoi. Un contrat de partenariat de données, une opération de hashing partagée entre deux entreprises pour comparer des fichiers, ou toute collaboration où les finalités du traitement sont définies conjointement, peuvent relever de ce cadre, avec des obligations de transparence spécifiques envers les personnes concernées.

Joint Controller - Les essentiels

QuestionRéponse
Cadre légal Article 26 du RGPD
Critère déterminant Décision conjointe des finalités, pas simple instruction
Différence avec le sous-traitant Le sous-traitant agit sur instruction, jamais en décision partagée
Obligation spécifique Un accord définissant les responsabilités respectives
Qualification Analysée au cas par cas, jamais automatique
S'inscrit dans le cadre défini par le RGPD

Définition, la répartition des rôles clarifiée, joint controller vs sous-traitant, et les erreurs fréquentes : le glossaire complet.

⏱️ Lecture : 9 min ✍️ Par FichierEntreprise.fr · Expert B2B depuis 2013  Mis à jour : septembre 2026
Art. 26
Du RGPD, le cadre légal précis qui encadre cette situation
Conjoint
Décision partagée des finalités, jamais une simple instruction
Cas par cas
La qualification s'analyse toujours au regard de la relation réelle
⚖️
Sujet juridique, à confirmer avec un professionnel du droit

La répartition des rôles, clarifiée

Le RGPD distingue plusieurs rôles possibles face à un traitement de données. Voir ces rôles côte à côte aide à situer précisément où se place la responsabilité conjointe.

RÔLES RGPD - QUI DÉCIDE DE QUOI
article 26 et 28
Responsable de traitement seul

Décide seul des finalités et moyens du traitement

DÉCISION SEULE
Joint Controller

Décide conjointement des finalités avec un ou plusieurs partenaires

DÉCISION PARTAGÉE
Sous-traitant

Traite la donnée sur instruction précise du responsable

EXÉCUTION SUR INSTRUCTION
le critère central → QUI DÉCIDE DES FINALITÉS, PAS QUI TRAITE TECHNIQUEMENT

Ce que cette répartition révèle : le critère qui distingue ces trois rôles n'est jamais la nature technique de l'opération, mais qui décide réellement pourquoi et comment la donnée est traitée. Une opération de hashing partagée entre deux entreprises peut techniquement ressembler à une simple prestation technique, tout en relevant juridiquement d'une responsabilité conjointe si les deux parties définissent ensemble l'objectif de la comparaison.

Joint controller vs sous-traitant

Cette distinction est fréquemment source de confusion, alors qu'elle emporte des obligations très différentes.

Le point de bascule entre les deux qualifications

Un prestataire qui se contente d'exécuter des instructions précises, sans influence sur la finalité du traitement, reste un sous-traitant classique encadré par l'article 28 du RGPD. Dès lors qu'une partie participe activement à la décision de ce qui est fait avec la donnée, au-delà de sa simple exécution technique, la qualification de responsabilité conjointe peut s'appliquer, avec des conséquences juridiques significativement différentes en matière de responsabilité partagée.

Quand cette question se pose en pratique

Des situations fréquentes en B2B où la question mérite d'être posée : un partenariat de données entre deux entreprises pour enrichir mutuellement leurs fichiers, une opération de rapprochement de bases entre plusieurs organisations, ou toute collaboration où plusieurs parties définissent ensemble un objectif commun de traitement. Dans ces cas, l'analyse de la relation réelle entre les parties détermine la qualification applicable, indépendamment de la façon dont le contrat commercial est intitulé.

Lexique des termes associés

Data Controller Terme anglais désignant le responsable de traitement, celui qui détermine les finalités et moyens d'un traitement de données.
Accord de responsabilité conjointe Document requis par l'article 26 du RGPD, définissant les responsabilités respectives de chaque partie dans une situation de traitement conjoint.
Point de contact unique Interlocuteur désigné par les responsables conjoints pour répondre aux demandes des personnes concernées par le traitement.

Les erreurs fréquentes

❌
Se fier uniquement à l'intitulé du contrat

Nommer une relation "sous-traitance" dans un contrat ne suffit pas si la réalité de la collaboration révèle une décision partagée des finalités.

❌
Omettre l'accord de responsabilité conjointe

L'article 26 du RGPD exige un document formalisant la répartition des responsabilités, une obligation distincte du contrat commercial classique.

❌
Considérer la qualification comme fixe une fois pour toutes

L'évolution d'un partenariat peut faire basculer la relation d'une simple sous-traitance vers une responsabilité conjointe, méritant une revue périodique.

FE
Rédigé par FichierEntreprise.fr
Expert en bases de données B2B depuis 2013 · SIRET 523 447 019 00028 · Cergy · 7 000+ clients · Sources INSEE SIRENE & Infogreffe · Auteur de ROI de la SERP

Questions fréquentes : Joint Controller

Qu'est-ce qu'un Joint Controller (responsable conjoint) ?+
Un Joint Controller désigne une situation encadrée par l'article 26 du RGPD, où deux ou plusieurs organisations déterminent ensemble les finalités et les moyens d'un traitement de données personnelles. Aucune des parties n'agit sur simple instruction de l'autre : chacune participe activement à la décision de ce qui est fait avec la donnée et pourquoi, une configuration distincte de la relation classique responsable de traitement et sous-traitant.
Quelle est la différence entre joint controller et sous-traitant ?+
Un sous-traitant, encadré par l'article 28 du RGPD, exécute des instructions précises sans influence sur la finalité du traitement. Un joint controller participe activement à la décision de ce qui est fait avec la donnée, au-delà de sa simple exécution technique. Le critère central n'est jamais la nature technique de l'opération réalisée, mais qui décide réellement pourquoi et comment la donnée est traitée.
Dans quelles situations B2B cette question se pose-t-elle ?+
La question se pose fréquemment lors d'un partenariat de données entre deux entreprises pour enrichir mutuellement leurs fichiers, d'une opération de rapprochement de bases entre plusieurs organisations, ou de toute collaboration où plusieurs parties définissent ensemble un objectif commun de traitement. L'analyse de la relation réelle entre les parties détermine la qualification applicable, indépendamment de la façon dont le contrat commercial est rédigé.
Un accord de responsabilité conjointe est-il obligatoire ?+
Oui, l'article 26 du RGPD exige que les responsables conjoints formalisent, de manière transparente, leurs responsabilités respectives dans un accord dédié. Ce document doit notamment préciser qui répond aux demandes d'exercice de droits des personnes concernées, une obligation distincte et complémentaire du contrat commercial classique qui régit habituellement la relation entre les parties.
Comment savoir si ma situation relève d'une responsabilité conjointe ?+
La qualification s'analyse toujours au cas par cas, jamais automatiquement, en examinant la réalité de la relation entre les parties plutôt que le seul intitulé du contrat. Cette analyse dépasse le cadre d'une simple définition de glossaire et mérite d'être menée avec un professionnel du droit, notamment lorsque la relation implique la décision partagée de finalités de traitement sur des données personnelles sensibles ou en volume important.

Une donnée sourcée, une relation claire

Nos fichiers B2B sont livrés dans une relation commerciale classique de fourniture de données, avec des sources et un cadre transparents pour votre utilisation en prospection.