Table des matières
Dès qu'un prestataire traite des données personnelles pour vous, il faut un contrat. Le cas est plus fréquent que la plupart des entreprises ne le pensent — et ce contrat règle moins que sa réputation ne le promet.
L'article 28 du RGPD encadre une configuration simple : vous décidez à quelles fins et par quels moyens des données sont traitées, quelqu'un d'autre l'exécute pour vous. Vous êtes responsable de traitement (article 4, point 7), l'autre est sous-traitant (point 8). Pour cette relation, le règlement exige un contrat au contenu déterminé — le contrat de sous-traitance, ou DPA chez les éditeurs.
Ce contrat n'est ni un formulaire qu'on classe et oublie, ni un projet. Chez les prestataires sérieux, il est prêt et se conclut en dix minutes. L'effort est ailleurs : savoir avec qui vous en avez besoin. Cet article y répond dans l'ordre et reste un repère — la qualification d'un prestataire donné, seuls la CNIL ou un conseil juridique la tranchent.
1. Qui traite ici pour qui, au juste ?
Toute la question est là. Est responsable de traitement celui qui décide des finalités et des moyens ; est sous-traitant celui qui traite pour le compte du responsable, sur instruction et sans finalités propres.
Le test tient en une phrase : qui détermine à quoi servent les données ? Si c'est vous et que l'autre exécute, c'est de la sous-traitance. Si l'autre poursuit des finalités propres, imposées par la loi ou ses règles professionnelles, il est lui-même responsable — deux responsables successifs, et aucun contrat de sous-traitance.
L'article 28, paragraphe 10, pose une limite nette : un sous-traitant qui, en violation du règlement, détermine lui-même les finalités et les moyens est considéré comme responsable pour ce traitement. Qui utilise vos données clients pour ses propres analyses n'est plus un sous-traitant, quoi que dise le contrat. Le contrat ne fixe pas le rôle : il le décrit.
Toute transmission n'est pas de la sous-traitance. Transmettre des données à quelqu'un qui en a besoin sous sa propre responsabilité est un transfert : il vous faut alors une base au titre de l'article 6, paragraphe 1, pas un contrat au titre de l'article 28.
Un contrat de sous-traitance ne rend pas un traitement licite. Il règle seulement qui a le droit de faire quoi.
2. Où se cache la sous-traitance dans une petite entreprise
La liste est plus longue qu'on ne le sent, parce que la plupart des postes ne s'appellent pas « traitement de données ».
| Prestataire | Qualification |
|---|---|
| Logiciel de rendez-vous, de caisse ou de métier en ligne | sous-traitance |
| Envoi de lettres d'information et de SMS | sous-traitance |
| Hébergement du site et boîtes aux lettres électroniques | sous-traitance |
| Infogérance externe avec accès aux systèmes | sous-traitance |
| Paie ou comptabilité externalisée en pure exécution | sous-traitance |
| Destruction d'archives par une entreprise spécialisée | sous-traitance |
| Cabinet comptable dans le cadre de ses règles professionnelles | discuté, le plus souvent responsable propre |
| Banque, assureur, administration | responsable propre |
L'avant-dernière ligne est celle sur laquelle on discute vraiment. Là où un cabinet remplit ses propres obligations professionnelles sans travailler sur instruction, il est majoritairement qualifié de responsable propre ; s'il accomplit à côté de pures tâches d'exécution, la qualification peut changer. Les positions des autorités divergent selon les États membres — demandez au prestataire comment il se voit, par écrit.
Pour un logiciel, la chose ne prête pas à discussion. Qui héberge vos données clients est sous-traitant et doit tenir un contrat prêt. S'il manque, ou ne s'obtient que sur relance après des semaines, c'est un constat sur le prestataire. Le logiciel de salon le met à disposition comme tout prestataire de ce type — la question a sa place parmi les cinq questions à régler avant la première démonstration, pas dans la semaine qui suit la signature.
3. Ce qui doit y figurer
Avant le contrat vient une obligation facile à sauter. L'article 28, paragraphe 1, exige de ne faire appel qu'à des sous-traitants présentant des garanties suffisantes : vous choisissez avant de signer. Un contrat avec un prestataire inapte ne guérit pas son inaptitude.
Le paragraphe 3 nomme d'abord le cadrage : objet et durée, nature et finalité du traitement, type de données, catégories de personnes concernées, droits et obligations du responsable. Suivent huit points que le contrat doit prévoir :
- traitement sur instruction documentée seulement, y compris pour un transfert hors de l'Union ;
- engagement de confidentialité des personnes employées ;
- mise en œuvre des mesures de sécurité de l'article 32 ;
- respect des conditions applicables aux sous-traitants ultérieurs ;
- aide pour les demandes des personnes concernées : accès, rectification, effacement ;
- aide en matière de sécurité, de notification de violations et d'analyse d'impact (articles 32 à 36) ;
- au terme de la prestation, effacement ou renvoi de toutes les données, copies existantes comprises ;
- mise à disposition des preuves et possibilité d'audit.
Les points cinq et sept sont ceux qui servent au quotidien — l'un quand quelqu'un demande l'accès, l'autre au changement de prestataire. Lisez-les avant de signer, pas le jour où ils servent.
Sur la forme : le contrat est écrit, la forme électronique étant expressément admise (paragraphe 9). Il peut reposer en tout ou partie sur des clauses contractuelles types arrêtées par la Commission ou une autorité de contrôle (paragraphes 6 à 8) — d'où la ressemblance entre les contrats des différents prestataires.
Articles connexes
4. Ce que le contrat ne règle pas
Voici le malentendu le plus fréquent. Un contrat de sous-traitance ne rend pas le traitement licite. Il règle exclusivement la relation entre vous et le prestataire.
La licéité vient du seul article 6, paragraphe 1 — et elle vient de chez vous. Qui collecte des adresses sans base légale et les fait router par un prestataire au contrat irréprochable détient un contrat propre portant sur un traitement illicite. Le contrat ne déplace pas la responsabilité : vis-à-vis des personnes concernées, elle reste la vôtre.
Trois autres choses lui échappent également :
- Il ne remplace pas l'information des personnes. Le recours à un prestataire a sa place dans votre information sur la protection des données, comme destinataire ou catégorie de destinataires.
- Il ne remplace pas votre choix — voir l'article 28, paragraphe 1.
- Il ne remplace pas votre registre. L'article 30 vous l'impose en tant que responsable ; le sous-traitant tient le sien au titre du paragraphe 2, et le sien ne vaut pas le vôtre.
Ce qu'il apporte en revanche : un droit exigible à la coopération. Si quelqu'un demande l'accès demain et que les données sont chez le prestataire, l'obligation d'assistance du paragraphe 3, point e, est votre levier — et non l'espoir d'une bonne entente.
5. Sous-traitants ultérieurs et la question du lieu
Presque tout prestataire fait lui-même appel à des prestataires : centre de données, sauvegarde, acheminement, outil de support. L'article 28, paragraphe 2, exige votre autorisation préalable, spécifique ou générale. En cas d'autorisation générale, le prestataire doit vous informer de tout changement envisagé pour que vous puissiez vous y opposer.
Concrètement : il existe une liste, et cette liste change. Vérifiez une fois où elle se trouve et comment les changements sont annoncés. Selon le paragraphe 4, les mêmes obligations doivent être imposées aux sous-traitants ultérieurs, et le premier sous-traitant demeure responsable envers vous de leur respect — la chaîne ne se rompt donc pas.
La deuxième question est celle du lieu. Dès que des données sont traitées hors de l'Union et de l'Espace économique européen, les articles 44 et suivants s'ajoutent : le transfert exige sa propre base, une décision d'adéquation de la Commission pour le pays concerné ou des garanties appropriées au titre de l'article 46, en pratique des clauses contractuelles types.
Pour vous, ce n'est pas un examen juridique mais une question au prestataire, et elle est celle-ci : où sont les données, et qui peut y accéder depuis où ? Un accès de support depuis un pays tiers est lui aussi un transfert. La réponse a sa place dans vos documents — c'est du reste l'une des informations que l'article 30, paragraphe 1, exige pour le registre.
Parcourez les factures d'une année et marquez chaque prestataire en contact avec des données clients. Pour chacun, l'une de deux réponses : responsable propre — il vous faut une base pour le transfert — ou sous-traitant, et il vous faut le contrat. Cette liste se fait en une heure et révèle presque toujours deux ou trois postes auxquels personne n'avait pensé. Ce qu'il advient des données à la fin du contrat relève de la politique de suppression ; quelles données ont seulement le droit de sortir est traité dans quelles données clients conserver.
Les données clients au même endroit, pas dans quatre listes
Avec un seul système, une demande d'accès prend quelques minutes et l'effacement se fait vraiment. Hébergé en Allemagne.
