RGPD : ce que votre prestataire informatique doit vous garantir
Votre prestataire informatique est sous-traitant au sens du RGPD, jamais responsable de traitement à votre place. Cette qualité impose un contrat écrit, huit engagements précis, un registre propre et une obligation de vous alerter en cas de violation. La responsabilité, elle, reste la vôtre.
Points clés
- L'entreprise cliente reste responsable de traitement. Aucun prestataire ne peut reprendre cette responsabilité, quoi qu'il vende.
- Le contrat de sous-traitance est obligatoire dès que le prestataire accède à des données personnelles, et l'article 28.3 en fixe le contenu minimal, huit engagements compris.
- Le prestataire tient son propre registre au titre de l'article 30.2, et doit pouvoir en produire l'extrait qui vous concerne.
- Les 72 heures de notification courent pour vous, pas pour lui : l'article 33.2 ne lui impose que « les meilleurs délais ». Ce délai se fixe donc au contrat.
- Un hébergeur ou un éditeur utilisé par votre prestataire est un sous-traitant ultérieur : il exige une autorisation écrite et les mêmes obligations répercutées.
Votre prestataire informatique est-il responsable de traitement ou sous-traitant ?
Sous-traitant, dans la quasi-totalité des cas. L'article 4 du règlement (UE) 2016/679 définit le responsable de traitement comme celui qui détermine les finalités et les moyens du traitement, et le sous-traitant comme celui qui traite des données pour son compte. Une entreprise qui décide d'avoir une messagerie et d'y conserver les dossiers de ses salariés détermine la finalité. Le prestataire qui administre cette messagerie exécute.
La conséquence est désagréable et rarement dite : la responsabilité principale ne se délègue pas. Externaliser l'exploitation de son informatique n'externalise pas la conformité. En cas de contrôle, c'est l'entreprise qui répond de ses traitements, et elle se retourne ensuite contre son prestataire selon ce que prévoit le contrat.
Le prestataire n'est pas pour autant hors de cause. L'article 82 prévoit qu'il engage sa responsabilité s'il n'a pas respecté les obligations qui incombent spécifiquement aux sous-traitants, ou s'il a agi en dehors des instructions licites du responsable. Un prestataire qui se sert des données pour son propre compte sort de son rôle et devient responsable de traitement pour ce traitement-là.
Que doit contenir le contrat de sous-traitance ?
Le cadre du traitement, puis huit engagements listés par l'article 28.3. Le contrat doit d'abord décrire l'objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées. Ensuite viennent les engagements du sous-traitant, qui sont énumérés et non négociables.
| Engagement | Ce que le texte impose | Ce qu'il faut vérifier |
|---|---|---|
| a) Instruction documentée | ne traiter les données que sur instruction écrite du responsable | les instructions existent-elles ailleurs que dans un échange de courriels |
| b) Confidentialité | les personnes autorisées s'engagent à la confidentialité | qui, nommément, a accès à vos données chez le prestataire |
| c) Sécurité | prendre les mesures de l'article 32 | chiffrement, gestion des accès, tests de restauration documentés |
| d) Sous-traitance ultérieure | respecter les conditions des paragraphes 2 et 4 | la liste des sous-traitants est-elle écrite et tenue à jour |
| e) Droits des personnes | aider le responsable à répondre aux demandes d'exercice des droits | en combien de temps, et par quel canal |
| f) Assistance | aider au respect des articles 32 à 36 | l'aide en cas de violation est-elle chiffrée ou facturée en plus |
| g) Fin de contrat | supprimer ou renvoyer les données, au choix du responsable | sous quel format, dans quel délai, avec quelle preuve de suppression |
| h) Audit | fournir les informations et permettre les audits | l'audit est-il prévu, ou renvoyé à un rapport tiers non communiqué |
Le point g) est celui qu'on regrette de ne pas avoir lu. Le choix entre suppression et restitution appartient au responsable de traitement, donc à vous, et un contrat qui laisse ce choix au prestataire vous prive d'un levier au moment précis où vous en avez besoin. C'est aussi ce qui se joue quand on change de prestataire informatique.
Le registre du sous-traitant
L'article 30.2 impose au sous-traitant de tenir son propre registre des catégories d'activités de traitement effectuées pour le compte de chaque responsable. Ce n'est pas le même document que votre registre à vous. Demander l'extrait qui vous concerne est le test le plus rapide qui existe : un prestataire qui ne l'a pas ne tient pas ses obligations, et la question ne demande aucune compétence juridique pour être posée.
Où sont hébergées vos données, et pourquoi la réponse compte ?
Parce que l'hébergement hors de l'Union européenne n'est pas interdit, il est encadré, et l'encadrement doit être écrit quelque part. Le chapitre V du RGPD, articles 44 à 49, autorise un transfert vers un pays tiers si la Commission européenne a rendu une décision d'adéquation pour ce pays, article 45, ou si des garanties appropriées existent, article 46, les clauses contractuelles types étant le mécanisme le plus courant.
Le cas des grandes suites américaines relève du premier mécanisme : la Commission a adopté le 10 juillet 2023 une décision d'adéquation pour le cadre de protection des données Union européenne et États-Unis. Utiliser Microsoft 365 ou Google Workspace n'est donc pas, en soi, un problème de conformité.
Le vrai problème est ailleurs, et il est banal : la plupart des entreprises ne savent pas où sont leurs données. Pas le pays de leur suite bureautique, qui est documenté, mais l'emplacement de leurs sauvegardes, de leur outil de supervision, de leur solution d'antivirus, de leur outil de tickets. Chacun est un sous-traitant ultérieur, chacun a une localisation, et personne ne l'a jamais listée.
Qui prévient la CNIL quand des données fuitent ?
Vous. Pas votre prestataire. L'article 33.1 fait peser la notification à l'autorité de contrôle sur le responsable de traitement, dans les meilleurs délais et, si possible, 72 heures au plus tard après avoir pris connaissance de la violation. En France, l'autorité de contrôle est la CNIL.
Le prestataire, lui, relève de l'article 33.2 : il notifie la violation au responsable dans les meilleurs délais après en avoir pris connaissance. Le texte ne lui fixe aucun délai chiffré. C'est une lacune pratique majeure, parce que vos 72 heures commencent à courir au moment où vous apprenez l'incident, et que c'est lui qui décide de ce moment.
La conséquence est directe : le délai d'alerte du prestataire doit être écrit dans le contrat, avec un canal nommé et une personne joignable. Sans cette clause, une chaîne de courriels non lue un vendredi soir consomme la moitié de votre délai réglementaire.
Quand la violation est susceptible d'engendrer un risque élevé pour les personnes concernées, l'article 34 ajoute l'obligation de les informer elles-mêmes, dans les meilleurs délais. Cette communication n'est pas due si les données étaient rendues incompréhensibles, par chiffrement notamment, ce qui est l'argument le plus concret en faveur du chiffrement des postes et des sauvegardes.
Comment vérifier qu'un prestataire tient vraiment ses obligations ?
En demandant six documents, pas en lisant une plaquette. Aucun de ces documents ne demande de compétence juridique pour être réclamé, et l'absence de l'un d'entre eux est une réponse en soi.
- Le contrat de sous-traitance signé. Pas les conditions générales, le document qui reprend les mentions de l'article 28.3. Beaucoup d'entreprises découvrent qu'elles n'en ont jamais eu.
- La liste des sous-traitants ultérieurs. Nom, rôle, pays d'hébergement. Un prestataire sérieux la tient à jour et prévient quand elle change, parce que l'article 28.2 l'y oblige.
- L'extrait de registre de l'article 30.2 qui concerne vos traitements.
- La procédure de notification de violation, avec un délai contractuel chiffré, un canal et un interlocuteur nommé.
- La description des mesures de l'article 32 : chiffrement des postes et des sauvegardes, gestion des accès, authentification multifacteur, et surtout la preuve que les restaurations sont testées. Une sauvegarde jamais restaurée ne prouve rien.
- La clause de fin de contrat, avec le format de restitution, le délai et la preuve de suppression.
Ces six pièces ne rendent personne conforme à elles seules. Elles disent en revanche très vite si le sujet a été travaillé ou seulement évoqué, et elles constituent le socle de ce qu'un contrôle demandera. Sur les référentiels que revendiquent les hébergeurs et éditeurs du marché, et sur qui les porte réellement, notre page référentiels et certifications nomme chaque porteur.
Questions fréquentes
- Un contrat de sous-traitance RGPD est-il vraiment obligatoire pour un prestataire informatique ?
- Oui, dès lors que le prestataire accède à des données personnelles pour le compte de l'entreprise, ce qui est le cas de toute infogérance : messagerie, annuaire, postes de travail, sauvegardes. L'article 28.3 du RGPD exige un contrat écrit, et l'absence de contrat est un manquement du responsable de traitement, donc de l'entreprise cliente, pas seulement du prestataire.
- Le prestataire peut-il sous-traiter à son tour, par exemple à un hébergeur ?
- Oui, mais pas librement. L'article 28.2 impose une autorisation écrite préalable du responsable de traitement, spécifique ou générale. Quand elle est générale, le prestataire doit informer de tout ajout ou remplacement de sous-traitant, et laisser la possibilité de s'y opposer. L'article 28.4 lui impose ensuite de répercuter par contrat les mêmes obligations à ce sous-traitant ultérieur.
- Mes données peuvent-elles être hébergées hors de l'Union européenne ?
- Oui, à condition qu'un des mécanismes du chapitre V s'applique : une décision d'adéquation de la Commission européenne pour le pays concerné, ou des garanties appropriées comme les clauses contractuelles types. Ce n'est donc pas interdit, c'est encadré. Ce qui pose problème en pratique est de ne pas savoir où les données se trouvent.
- Qui doit notifier une violation de données à la CNIL ?
- Le responsable de traitement, c'est-à-dire l'entreprise cliente, dans les meilleurs délais et si possible sous 72 heures après en avoir pris connaissance, en application de l'article 33.1. Le prestataire, lui, notifie l'entreprise « dans les meilleurs délais » selon l'article 33.2, sans délai chiffré dans le texte. C'est précisément pourquoi ce délai doit être fixé dans le contrat.
- Quelles sanctions en cas de manquement aux obligations de sous-traitance ?
- Les manquements à l'article 28 relèvent du plafond de l'article 83.4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Les manquements aux principes, aux droits des personnes et aux transferts hors Union relèvent du plafond supérieur de l'article 83.5, soit 20 millions d'euros ou 4 %.