Comment se détermine le responsable du traitement ? s’agit-il de l’association gestionnaire, ou par délégation, du directeur d’établissement ou de service dans lequel le traitement est mise en œuvre ?
L'article 4 alinéa 7 du RGPD dispose : « responsable du traitement», la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre ».
Le critère de la nature de la personne responsable est très large. Toutefois le G29 recommande qu'une telle qualification soit plutôt appliquée à une personne morale qu'à une personne physique (par exemple un salarié de l'entreprise). On est donc dans l'ordre de la responsabilité de l'association représentée par son Président et, par délégation, le Directeur Général. On entre là dans le champ du contentieux et comme il est assez constant il est probable que le juge aille chercher la responsabilité "là où est l'argent" (penser à l'indemnisation) mais l'action récursoire de l'employeur envers son salarié est envisageable.
Date de rédaction de cette réponse : novembre 2017.