Quel est le rôle de EDENRED BELGIUM à l’égard du traitement de données à caractère personnel effectué dans le cadre de la gestion des titres-repas et éco-chèques ?

La présente a pour objet de clarifier la responsabilité et le rôle de EDENRED BELGIUM à l’égard du traitement de données à caractère personnel effectué dans le cadre de la gestion des titres-repas et éco-chèques édités par elle sous les marques Edenred Repas et Edenred Eco (ci-après « Edenred Repas et Edenred Eco »)

1. La notion de responsable du traitement
   

   La notion de « responsable du traitement » est une notion clé dans le cadre de la protection de la vie privée à l’égard du traitement de données à caractère personnel.

   Selon l’organe consultatif européen, « le rôle premier de la notion de responsable du traitement est de déterminer qui est chargé de faire respecter les règles de protection des données et comment les personnes concernées peuvent exercer leurs droits dans la pratique ».

   Par "responsable du traitement", le Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (« RGPD ») entend « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ».

   Le pouvoir de « déterminer les finalités et les moyens ... » peut, selon l’organe consultatif, « procéder d’une compétence explicitement donnée par la loi, lorsqu'elle désigne le responsable du traitement ou qu'elle charge une personne, ou lui impose, de collecter et traiter certaines données ».

2. EDENRED BELGIUM est responsable du traitement de données à caractère personnel effectué dans le cadre de la gestion Edenred Repas et Edenred Eco

   Un arrêté royal du 12 octobre 2010 fixe les conditions d’agrément et la procédure d’agrément pour les éditeurs de titres-repas et éco-chèques sous forme électronique (ci-après « l’AR Agrément »).

   Parmi les conditions d’agrément figurent des « conditions de sécurité et de protection de la vie privée » (article 3). Les obligations de EDENRED BELGIUM à ce titre y sont précisément définies.

   EDENRED BELGIUM a été agréée en qualité d’éditeur par arrêté ministériel du 2 septembre 2011, pris en application de l’article 6 de l’AR Agrément, et ce avec effet au 26 juillet 2011.

   L’article 6 de l’AR Agrément prévoit que l’éditeur est agréé après avis concernant les conditions de sécurité et de protection de la vie privée.

   En tant qu’éditeur agréé, EDENRED BELGIUM est reconnue, en vertu de l’article 3 de l’AR Agrément, comme responsable du traitement des données à caractère personnel effectué dans le cadre de la gestion Edenred Repas et Edenred Eco.

   Les conditions d’utilisation de la carte Edenred informent les utilisateurs des finalités du traitement de leurs données dans le cadre de la gestion Edenred Repas et Edenred Eco ainsi que de l’existence, dans ce cadre, du droit d’accès et de rectification auprès de EDENRED BELGIUM qui se présente comme point de contact unique à cet égard.

3. Responsables du traitement distincts 
   

    

   L’échange de données salariales dans le cadre de la gestion Edenred Repas et Edenred Eco entre EDENRED BELGIUM et son client employeur (dénommé « le CLIENT ») doit être considéré comme un transfert de données entre des responsables distincts, chacun étant soumis aux obligations de protection des données concernant son propre traitement de données à caractère personnel.

   EDENRED BELGIUM n’agit, dans ce cadre, ni en qualité de sous-traitant ni en qualité de responsable conjoint.

   L’article 28 du RGPD prévoyant que le responsable du traitement doit conclure un contrat avec son sous-traitant est inapplicable.

   Par ailleurs, l’obligation imposée par l’article 26 du RGPD aux responsables conjoints d’un traitement de conclure un accord n’est pas non plus applicable.

   A supposer que EDENRED BELGIUM et le CLIENT soient considérés comme responsables conjoints du traitement des données effectué dans le cadre de la gestion Edenred Repas et Edenred Eco, ils seraient dispensés de conclure un tel accord dans la mesure où leurs obligations respectives sont définies par le droit (cfr. ci-avant).

   Pour autant que de besoin et à supposer qu’un tel accord soit requis, la présente, le cas échéant mise à jour, est annexée au Contrat de services liant EDENRED BELGIUM au CLIENT et en fait partie intégrante.