Je mets en relation utilisateurs et prestataires
Quelles données ma plateforme communique-t-elle entre utilisateurs et prestataires ?
Ce qu’il faut retenir
Définissez quelles informations de profil, quels échanges et quels avis sont visibles par chaque utilisateur ou prestataire. La mise en relation ne justifie pas de rendre toutes les données accessibles à tous.
Organiser une mise en relation ne justifie pas automatiquement la publication ou la transmission de toutes les informations du profil.
Pourquoi cette situation mérite votre attention
L’article 16 impose des finalités déterminées et limite les réutilisations incompatibles. Un annuaire public, une prise de contact et une transaction sont des usages à distinguer.
Un prestataire inscrit sur la plateforme n’est pas nécessairement un sous-traitant de celle-ci. L’article 20 concerne les traitements réalisés pour le compte du responsable.
Ce qui peut changer l’analyse
- Quelles informations sont publiques, réservées aux membres ou transmises après une demande ?
- Quels usages sont faits des avis, échanges et historiques de transactions ?
- Chaque intervenant agit-il pour son propre service ou pour le compte de la plateforme ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Cartographiez les données visibles et transmises à chaque étape de la mise en relation.
- Réglez la visibilité et les transmissions en fonction des finalités retenues.
- Documentez les rôles des intervenants et faites examiner le régime préalable ainsi que les garanties des véritables sous-traitants.
Ce que prévoit la loi
« Le traitement des données à caractère personnel est soumis à une déclaration préalable auprès de l’Autorité de protection des données à caractère personnel. »
Ce que ce texte établit. L’article 5, alinéa 1, pose le principe de déclaration préalable ; il ne qualifie pas automatiquement les rôles de tous les acteurs d’une plateforme.
Pourquoi il concerne votre situation. Si les profils, avis ou échanges concernent des personnes identifiables, leur collecte, leur publication et leur transmission doivent être examinées comme des opérations distinctes du service.
Ce qui reste à apprécier
- Les finalités et destinataires de chaque publication ou transmission.
- Le rôle réel des prestataires et le régime particulier éventuellement appelé par les données traitées.
Autres articles à consulter (2)
- Loi n° 2013-450 — article 16Finalités et limites des réutilisations.
- Loi n° 2013-450 — article 20Garanties applicables lorsqu’un intervenant traite les données pour le compte du responsable.