Sur les rôles et responsabilités des acteurs.
Les technologies concernées par l'obligation de recueil du consentement n'impliquent pas systématiquement de traitement de données à caractère personnel. Toutefois, dans un grand nombre de cas, les opérations de lecture ou écriture concerneront des données à caractère personnel et feront partie intégrante d'un traitement de données à caractère personnel soumis aux autres dispositions de la loi et du RGPD, ce qui implique la nécessité de qualifier les parties concernées.
Si, dans un certain nombre de cas, l'utilisation de traceurs fait intervenir une seule entité qui est donc pleinement responsable de l'obligation de recueillir le consentement (par exemple un éditeur de site web qui a recours à des traceurs pour réaliser lui-même les statistiques d'usage de son service), dans d'autres cas, plusieurs acteurs contribuent à la réalisation des opérations de lecture ou écriture visées par les présentes lignes directrices (par exemple un éditeur de site web et une régie publicitaire déposant des cookies lors de la consultation du site web). Dans ce dernier cas, ces entités peuvent être considérées comme responsables de traitement uniques , responsables conjoints ou comme sous-traitants.
La Commission constate que, dans d'autres cas, les tiers ayant recours à des traceurs seront pleinement et indépendamment responsables des traceurs qu'ils mettent en œuvre, ce qui signifie qu'ils devront assumer indépendamment l'obligation de recueillir le consentement des utilisateurs.
Dans le cas d'une responsabilité conjointe, dans laquelle les responsables déterminent conjointement les finalités et les moyens du traitement, la Commission rappelle qu'aux termes de l'article 26 du RGPD, ils devront définir de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences du RGPD, en particulier en ce qui concerne le recueil et la démonstration, le cas échéant, d'un consentement valable.
Enfin, est qualifié de sous-traitant un acteur qui inscrit des informations et/ou accède à des informations stockées dans l'équipement terminal d'un abonné ou d'un utilisateur, exclusivement pour le compte d'un responsable de traitement et sans réutilisation pour son propre compte des données collectées via le traceur. La Commission rappelle que si une relation de sous-traitance est établie, le responsable de traitement et le sous-traitant doivent établir un contrat ou un autre acte juridique précisant les obligations de chaque partie, dans le respect des dispositions de l'article 28 du RGPD.