Un prestataire informatique peut héberger des fichiers, assurer la paie ou accéder temporairement à une base clients. Dès qu’il traite des données personnelles pour le compte d’une entreprise, le RGPD encadre cette relation par des obligations précises.
Le contrat doit décrire les opérations permises et organiser la sécurité, les demandes des personnes et les incidents. Pour une entreprise comme l’éditeur fictif Atelier Nord, vérifier ces clauses avant l’accès aux données réduit les angles morts juridiques et opérationnels.
À retenir :
- DPA écrit et signé avant tout traitement de données personnelles
- Instructions documentées, confidentialité et sécurité adaptées aux risques
- Assistance organisée pour les droits et les violations de données
- Audits, sous-traitants ultérieurs et fin de contrat encadrés
RGPD et sous-traitance informatique : déterminer le cadre
Ces points essentiels prennent leur sens dès qu’une entreprise identifie qui décide des usages et qui exécute les opérations. Cette distinction détermine les clauses contractuelles à prévoir et les responsabilités à répartir.
Responsable de traitement ou sous-traitant : identifier les rôles
Dans cette relation, le responsable de traitement détermine les finalités et les moyens essentiels, tandis que le sous-traitant agit pour son compte. Selon le RGPD, la qualification dépend des pratiques réelles : une étiquette inscrite au contrat ne suffit pas si le prestataire décide lui-même de ses propres finalités.
Un hébergeur qui stocke les dossiers clients selon les instructions de son client relève généralement de la sous-traitance. En revanche, un fournisseur qui réutilise certaines données pour ses propres objectifs peut agir comme responsable pour ces opérations distinctes.
Quand le contrat de sous-traitance devient obligatoire
Une fois les rôles clarifiés, l’article 28 exige un acte écrit avant le début du traitement, y compris sous forme électronique. Cette obligation ne dépend ni de la taille de l’entreprise ni du volume de données : un prestataire de maintenance qui peut accéder aux dossiers clients doit aussi être encadré.
Selon le RGPD, le document précise notamment l’objet, la durée, la nature et la finalité du traitement, les données concernées et les catégories de personnes. Atelier Nord devra donc contrôler les contrats de son hébergeur, de son outil de relation client et de son prestataire de paie.
Les clauses doivent ensuite traduire ce cadre général en consignes vérifiables, notamment pour la sécurité des données et les incidents.
Clauses essentielles du contrat :
- Traitement limité aux instructions documentées du responsable
- Confidentialité du personnel autorisé et mesures de sécurité appropriées
- Assistance pour les droits des personnes et les analyses d’impact
- Suppression ou restitution des données à la fin du service
Obligation
Clause à préciser
Point de contrôle
Instructions
Opérations, finalités et données autorisées
Consignes écrites et actualisées
Sécurité
Mesures techniques et organisationnelles
Contrôles adaptés aux risques
Assistance
Droits, incidents et analyses d’impact
Contacts et procédures définis
Fin du service
Restitution ou suppression des données
Sort des copies précisé
Clauses contractuelles RGPD : sécurité et incidents
Après avoir défini le périmètre du contrat, l’enjeu devient opérationnel : le prestataire doit protéger les données et permettre au client de respecter ses propres obligations.
Sécurité des données et confidentialité du prestataire
Selon le RGPD, le sous-traitant doit prendre les mesures prévues à l’article 32, adaptées aux risques du traitement. Le contrat peut préciser les contrôles d’accès, le chiffrement, les sauvegardes ou la journalisation, sans prétendre qu’une mesure unique convient à toutes les entreprises.
Il doit également imposer la confidentialité aux personnes autorisées à traiter les données. Pour Atelier Nord, une certification ou un questionnaire de sécurité peut éclairer l’évaluation, mais ne remplace pas l’examen des garanties concrètes ni le droit d’audit prévu par le contrat.
Notification des violations et exercice des droits
La rapidité compte lorsqu’un incident survient : le responsable doit évaluer ses obligations de notification, et le sous-traitant doit l’assister. L’article 33 prévoit, lorsque les conditions sont réunies, une notification à l’autorité de contrôle dans les meilleurs délais et, si possible, sous 72 heures.
Le DPA peut fixer un délai contractuel de remontée plus court, par exemple 24 heures, afin de laisser au client le temps d’analyser les faits. Il doit aussi organiser l’aide aux demandes liées aux droits des personnes, comme l’accès, la rectification ou l’effacement.
Contrôles opérationnels à inscrire :
- Canal d’alerte accessible en permanence aux équipes concernées
- Informations disponibles sur la nature et les conséquences de l’incident
- Procédure de coopération pour les demandes des personnes concernées
- Preuves conservées sur les mesures correctives et leur suivi
Sous-traitants ultérieurs et transfert de données : organiser le suivi
Une protection efficace dépend aussi des prestataires placés plus loin dans la chaîne. Le contrat doit donc rendre visibles leurs interventions, les transferts éventuels et les vérifications menées au fil du temps.
Autorisation des sous-traitants ultérieurs et droit d’audit
L’article 28 impose une autorisation préalable pour engager un sous-traitant ultérieur, spécifique ou générale. En cas d’autorisation générale, le prestataire doit informer le responsable des changements prévus et lui permettre de s’y opposer.
Le sous-traitant initial doit répercuter les obligations de protection des données à ses propres prestataires. Le responsable peut demander les informations nécessaires et organiser des audits ; les rapports de certification sont utiles, mais ne suppriment pas ce droit contractuel.
Transfert de données et révision du DPA
Si des données sont transférées hors de l’Espace économique européen, il faut examiner séparément les règles applicables aux transferts internationaux. Selon la destination et les circonstances, une décision d’adéquation ou des clauses contractuelles types peuvent constituer un mécanisme pertinent.
Un DPA vivant facilite ce suivi lorsque l’hébergement, les outils ou les sous-traitants évoluent. Atelier Nord peut planifier une revue à chaque changement important, vérifier la liste des prestataires déclarés et consigner les mesures correctives.
Étapes de vérification contractuelle :
- Cartographie des prestataires et des accès aux données personnelles
- Examen du DPA et des garanties de sécurité annoncées
- Contrôle des sous-traitants ultérieurs et des transferts déclarés
- Révision documentée lors des changements de service
Moment du suivi
Action du responsable
Trace à conserver
Avant le traitement
Vérifier les rôles et conclure le DPA
Contrat signé et périmètre défini
Au démarrage
Examiner les accès et les mesures annoncées
Évaluation du prestataire
Lors d’un changement
Examiner les nouveaux sous-traitants ou lieux
Notification et décision consignée
En fin de service
Confirmer restitution ou suppression
Confirmation du prestataire
Un contrôle régulier permet de repérer les écarts avant qu’ils ne deviennent des incidents difficiles à gérer.
Source : Parlement européen et Conseil, « Règlement (UE) 2016/679 », Journal officiel de l’Union européenne, 4 mai 2016 ; Commission européenne, « Décision d’exécution (UE) 2021/915 », Journal officiel de l’Union européenne, 7 juin 2021.
Transformer l’analyse en décision
Les meilleures décisions reposent sur un cadre compréhensible, quelques critères vérifiables et une étape suivante clairement définie. Testez la méthode à petite échelle, mesurez le résultat puis ajustez avant de généraliser.
Votre checklist
- Définir le résultat attendu
- Identifier trois critères prioritaires
- Prévoir une mesure de contrôle
- Fixer une date de réévaluation
