RGPD : ce que votre prestataire informatique doit vous garantir

Le RGPD entier est un sujet de juriste. La question que se pose un dirigeant est plus étroite : qu'est-ce que mon prestataire informatique doit me garantir, et qu'est-ce qui reste ma responsabilité ? Tout ce qui suit s'appuie sur le texte du règlement (UE) 2016/679, articles cités.

Votre prestataire est-il responsable de traitement ou sous-traitant ?

Sous-traitant, dans la quasi-totalité des cas. Le responsable de traitement détermine les finalités et les moyens ; le sous-traitant traite les données pour son compte. L'entreprise qui décide d'avoir une messagerie et d'y conserver ses dossiers détermine la finalité ; le prestataire qui l'administre exécute.

Vous, responsable de traitement

• Décidez quoi collecter et pourquoi
• Fixez les durées de conservation
• Notifiez la CNIL en cas de violation
• Répondez en cas de contrôle

Le prestataire, sous-traitant

• Exécute sur vos instructions écrites
• Sécurise et documente ce qu'il fait
• Vous alerte en cas de violation
• Ne peut pas reprendre votre responsabilité

La conséquence est rarement dite : externaliser l'exploitation de son informatique n'externalise pas la conformité. Le prestataire n'est pas pour autant hors de cause : l'article 82 prévoit sa responsabilité s'il manque à ses obligations propres ou agit hors de vos instructions. Un prestataire qui prétend « s'occuper du RGPD » vend une garantie que le texte ne lui permet pas de donner.

Que doit contenir le contrat de sous-traitance ?

Le cadre du traitement, puis huit engagements énumérés par l'article 28.3. Le contrat décrit d'abord l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes.

Les huit engagements de l'article 28.3, et la question à se poser sur chacun.

Engagement	Ce que le texte impose	Ce qu'il faut vérifier
a) Instruction	traiter sur instruction documentée	les instructions existent-elles par écrit ?
b) Confidentialité	engagement des personnes autorisées	qui, nommément, accède à vos données ?
c) Sécurité	mesures de l'article 32	chiffrement, accès, restaurations testées
d) Sous-traitance ultérieure	conditions des paragraphes 2 et 4	la liste est-elle écrite et à jour ?
e) Droits des personnes	aider à répondre aux demandes	en combien de temps, par quel canal ?
f) Assistance	aider au respect des articles 32 à 36	l'aide en cas de violation est-elle incluse ?
g) Fin de contrat	supprimer ou renvoyer, au choix du client	quel format, quel délai, quelle preuve ?
h) Audit	informations et audits permis	l'audit est-il réellement possible ?

Le point g) est celui qu'on regrette de ne pas avoir lu : le choix entre suppression et restitution vous appartient, et un contrat qui le laisse au prestataire vous prive d'un levier au moment où vous en avez besoin, typiquement quand vous changez de prestataire. L'article 30.2 impose aussi au sous-traitant de tenir son propre registre : en demander l'extrait qui vous concerne est le test le plus rapide qui existe.

Où sont hébergées vos données, et pourquoi la réponse compte ?

Parce que l'hébergement hors de l'Union n'est pas interdit, il est encadré, et l'encadrement doit être écrit. Le chapitre V autorise un transfert si la Commission européenne a rendu une décision d'adéquation, article 45, ou si des garanties appropriées existent, article 46, les clauses contractuelles types étant les plus courantes.

Les grandes suites américaines relèvent du premier mécanisme depuis la décision d'adéquation du 10 juillet 2023 sur le cadre de protection des données entre l'Union et les États-Unis. Utiliser Microsoft 365 ou Google Workspace n'est donc pas, en soi, un problème de conformité.

Qui prévient la CNIL quand des données fuitent ?

Vous, pas votre prestataire. Et vos 72 heures commencent quand vous apprenez l'incident, c'est-à-dire quand le prestataire vous le dit.

1. Le prestataire Vous alerte « dans les meilleurs délais » (art. 33.2)
2. Vous Notifiez la CNIL sous 72 heures si possible (art. 33.1)
3. Les personnes Sont informées si le risque est élevé (art. 34)

Le texte ne fixe aucun délai chiffré au prestataire : c'est une lacune pratique majeure. Le délai d'alerte doit donc être écrit au contrat, avec un canal et une personne joignable. Une information des personnes n'est pas due si les données étaient rendues incompréhensibles, par chiffrement notamment : c'est l'argument le plus concret en faveur du chiffrement des postes et des sauvegardes. La CNIL propose un téléservice de notification.

Comment vérifier qu'un prestataire tient ses obligations ?

En demandant six documents. Aucun ne demande de compétence juridique pour être réclamé, et l'absence de l'un d'eux est une réponse en soi.

• Le contrat de sous-traitance signé, avec les mentions de l'article 28.3.
• La liste des sous-traitants ultérieurs : nom, rôle, pays d'hébergement.
• L'extrait de registre de l'article 30.2 qui concerne vos traitements.
• La procédure de notification, avec un délai chiffré et un interlocuteur.
• La description des mesures de sécurité, preuve des restaurations testées comprise.
• La clause de fin de contrat : format, délai, preuve de suppression.

Ces six pièces ne rendent personne conforme à elles seules ; elles disent vite si le sujet a été travaillé ou seulement évoqué. Sur les référentiels revendiqués par les hébergeurs, notre page référentiels et certifications nomme chaque porteur. Et pour la conformité de l'entreprise elle-même, voir notre guide RGPD pour TPE.

Questions fréquentes

Un contrat de sous-traitance est-il vraiment obligatoire ?

Oui, dès que le prestataire accède à des données personnelles, ce qui est le cas de toute infogérance. L'absence de contrat est un manquement du responsable de traitement, donc de l'entreprise cliente.

Le prestataire peut-il sous-traiter à un hébergeur ?

Oui, avec votre autorisation écrite préalable, spécifique ou générale (article 28.2), et en répercutant les mêmes obligations à ce sous-traitant (article 28.4).

Quelles sanctions en cas de manquement ?

Les manquements à l'article 28 relèvent d'un plafond de 10 millions d'euros ou 2 % du chiffre d'affaires mondial ; ceux aux principes, aux droits et aux transferts, de 20 millions ou 4 % (article 83).

Mes données peuvent-elles être hébergées hors de l'Union ?

Oui, si un mécanisme du chapitre V s'applique. Ce qui pose problème en pratique est de ne pas savoir où elles se trouvent.

Sources et ressources officielles

• Règlement (UE) 2016/679, dit RGPDEUR-Lex, Journal officiel de l'Union européenne
• Chapitre IV : responsable du traitement et sous-traitantCNIL
• Notifier une violation de données personnellesCNIL
• Transferts de données entre l'Union européenne et les États-UnisCommission européenne