Sous-traitance RGPD : comprendre vos nouvelles obligations et sécuriser vos contrats

1. Le règlement européen sur la protection des données (RGPD), applicable à partir du 25 mai 2018 à l’ensemble de l’Union européenne, renforce les droits des résidents européens sur leurs données et responsabilise l’ensemble des acteurs traitant ces données, qu’ils soient ou non établis au sein de l’Union européenne. Le guide du sous-traitant – édition septembre 2017 précise que le règlement impose des obligations spécifiques aux sous-traitants dont la responsabilité est susceptible d’être engagée en cas de manquement. L’objectif est d’accompagner les sous-traitants dans la mise en œuvre de ces nouvelles obligations, dans une logique de responsabilisation et de traçabilité.

2. Le texte rappelle que le RGPD consacre une logique de sécurité juridique et de transparence pour les opérateurs économiques, afin d’offrir aux personnes physiques un même niveau de droits opposables et d’obligations pour les responsables du traitement et les sous-traitants. Le considérant 13 souligne la nécessité d’un règlement pour harmoniser les pratiques dans tous les États membres. Les sous-traitants ne sont plus de simples exécutants techniques : ils deviennent des acteurs pleinement responsables, soumis à des sanctions administratives et à une responsabilité civile en cas de dommage matériel ou moral causé par une violation du règlement.

Êtes-vous un sous-traitant au sens du règlement européen sur la protection des données ?

3. Le guide définit le sous-traitant comme l’organisme qui traite des données personnelles pour le compte, sur instruction et sous l’autorité d’un responsable de traitement. Le responsable de traitement est celui « qui détermine les finalités et les moyens d’un traitement » (article 4 du règlement européen – définitions). Cette distinction est centrale : celui qui décide des finalités et des moyens ne peut pas être qualifié de sous-traitant au sens de l’article 28.10, mais doit être considéré comme responsable du traitement.

4. Une très grande variété de prestataires de services a la qualité de sous-traitant au sens juridique du terme. Le guide cite notamment : les prestataires de services informatiques (hébergement, maintenance, intégrateurs de logiciels, sociétés de sécurité informatique, entreprises de services du numérique – ex SSII – ayant accès aux données), les agences de marketing ou de communication qui traitent des données personnelles pour le compte de clients, et plus généralement tout organisme offrant un service impliquant un traitement de données à caractère personnel pour le compte d’un autre organisme. Un organisme public ou une association peut également être qualifié de sous-traitant.

5. Ne sont pas concernés, dans la mesure où ils n’ont pas accès et ne traitent pas de données à caractère personnel, les éditeurs de logiciels ou les fabricants de matériels (badgeuse, matériel biométrique, matériel médical). Le guide souligne aussi qu’un organisme qui est sous-traitant est généralement responsable de traitement pour les traitements qu’il réalise pour son propre compte (par exemple la gestion de son personnel). Cette dualité de rôle impose de distinguer clairement les traitements « pour compte propre » et ceux « pour le compte de clients ».

6. Pour déterminer si un acteur est sous-traitant ou responsable de traitement, l’avis 1/2010 du groupe des CNIL européennes (G29) du 16 février 2010 propose un faisceau d’indices : niveau d’instruction donné par le client au prestataire (autonomie dans la prestation), degré de contrôle de l’exécution (surveillance par le client), valeur ajoutée fournie (expertise approfondie), degré de transparence sur le recours à un prestataire (identité connue des personnes concernées). L’analyse doit être menée au cas par cas, en tenant compte de ces éléments.

7. Un exemple illustre la qualification : une entreprise A offre un service d’envoi de courriers de prospection commerciale en utilisant les fichiers clients d’entreprises B et C. L’entreprise A est sous-traitant des entreprises B et C, car elle traite les données clients nécessaires à l’envoi des courriers pour leur compte et sur leurs instructions. Les entreprises B et C sont responsables du traitement de gestion de leurs clients, incluant la prospection commerciale. Par ailleurs, A est responsable de traitement pour la gestion de son personnel et de ses propres clients (dont B et C). Cette situation illustre la coexistence de plusieurs rôles pour un même acteur.

Êtes-vous soumis au règlement européen sur la protection des données ?

8. Le champ d’application territorial du RGPD, défini à l’article 3, s’applique aux sous-traitants dans deux hypothèses. D’une part, lorsque le sous-traitant est établi dans l’UE, il est soumis au règlement pour tous les traitements liés à ses activités. D’autre part, lorsqu’il n’est pas établi dans l’UE, il est soumis au RGPD si ses activités de traitement sont liées à l’offre de biens ou de services à des personnes concernées dans l’UE ou au suivi du comportement de ces personnes, dans la mesure où ce comportement a lieu au sein de l’Union. Le critère n’est donc pas seulement géographique, mais aussi fonctionnel.

Le principal changement pour les sous-traitants avec le RGPD

9. Avant le 25 mai 2018, les obligations de la loi Informatique et Libertés ne s’imposaient qu’au responsable de traitement. En cas de recours à un sous-traitant, le contrat devait indiquer les obligations du sous-traitant en matière de sécurité et de confidentialité, prévoir qu’il n’agit que sur instruction du responsable, et exiger des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité prévues à l’article 34 de la loi. Cette exigence ne déchargeait pas le responsable de son obligation de veiller au respect de ces mesures.

10. À partir du 25 mai 2018, le RGPD consacre une logique de responsabilisation de tous les acteurs impliqués dans le traitement de données personnelles concernant des résidents européens, qu’ils soient ou non établis dans l’UE. Il impose des obligations spécifiques aux sous-traitants, qui doivent notamment aider les responsables de traitement dans leur démarche permanente de mise en conformité (analyses d’impact, notification de violation, sécurité, destruction des données, contribution aux audits). Les articles 28, 30.2 et 37 encadrent ces obligations.

Quelles sont vos obligations à compter du 25 mai 2018 ?

11. Lorsque vous intervenez en tant que sous-traitant, vous devez offrir à votre client des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour que le traitement réponde aux exigences du RGPD et garantisse la protection des droits des personnes concernées (article 28). Vous devez assister et conseiller votre client sur les analyses d’impact, la notification de violation, la sécurité, la destruction des données et la réalisation d’audits. Ces obligations se déclinent en quatre grands axes.

1. Obligation de transparence et de traçabilité

12. Le sous-traitant doit établir avec son client un contrat ou un autre acte juridique précisant les obligations de chaque partie et reprenant les dispositions de l’article 28. Il doit recenser par écrit les instructions du responsable de traitement afin de prouver qu’il agit « sur instruction documentée ». Toute sous-traitance ultérieure nécessite l’autorisation écrite du client. Le sous-traitant doit mettre à la disposition du client toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits, par exemple en s’appuyant sur le référentiel de la CNIL pour la délivrance de labels en matière de procédure d’audit.

13. Le sous-traitant doit également tenir un registre qui recense ses clients et décrit les traitements effectués pour leur compte. Ce registre des catégories d’activités de traitement, prévu à l’article 30.2, est un outil central de traçabilité. Il doit être tenu par écrit et mis à jour, afin de refléter la réalité des traitements et des flux de données, y compris les transferts hors UE et les mesures de sécurité mises en place.

2. Protection des données dès la conception et par défaut

14. Le RGPD impose la protection des données dès la conception et la protection des données par défaut. Le sous-traitant doit offrir à ses clients des garanties pour que les outils, produits, applications ou services qu’il fournit intègrent de façon effective les principes relatifs à la protection des données. Par défaut, seules les données nécessaires à la finalité du traitement doivent être traitées, au regard de la quantité de données collectées, de l’étendue du traitement, de la durée de conservation et du nombre de personnes ayant accès aux données.

15. Le guide donne plusieurs exemples concrets : permettre au client de paramétrer par défaut la collecte de données et ne pas rendre techniquement obligatoire le renseignement d’un champ facultatif ; ne collecter que les données strictement nécessaires à la finalité (principe de minimisation des données) ; mettre en place une purge automatique et sélective des données d’une base active à l’issue d’une certaine durée ; gérer des habilitations et droits d’accès informatiques « donnée par donnée » ou sur demande des personnes concernées, notamment pour les réseaux sociaux. Ces mesures traduisent l’exigence de paramétrages protecteurs par défaut.

3. Obligation de garantir la sécurité des données traitées

16. Le sous-traitant doit garantir un niveau de sécurité adapté aux risques. Les employés qui traitent les données des clients doivent être soumis à une obligation de confidentialité. Toute violation de données doit être notifiée au client dans les meilleurs délais. Au terme de la prestation, et selon les instructions du client, le sous-traitant doit soit supprimer toutes les données, soit les renvoyer au client, et détruire les copies existantes sauf obligation légale de conservation. Ces exigences s’inscrivent dans l’article 32 sur la sécurité du traitement.

4. Obligation d’assistance, d’alerte et de conseil

17. Le sous-traitant doit informer immédiatement son client si, selon lui, une instruction constitue une violation des règles de protection des données. Lorsqu’une personne exerce ses droits (accès, rectification, effacement, portabilité, opposition, droit de ne pas faire l’objet d’une décision individuelle automatisée, y compris le profilage), le sous-traitant doit, dans toute la mesure du possible, aider le client à donner suite à cette demande. Compte tenu des informations dont il dispose, il doit aider le client à respecter ses obligations en matière de sécurité du traitement, de notification de violation de données et d’analyse d’impact relative à la protection des données.

Par où commencer pour se mettre en conformité ?

18. Le guide propose une démarche structurée en trois étapes : vérifier la nécessité de désigner un délégué à la protection des données (DPO), analyser et réviser les contrats, et élaborer un registre des traitements. Cette approche permet de piloter la conformité de manière progressive et documentée, en articulant gouvernance, cadre contractuel et traçabilité des activités de traitement.

1. Vérifier la nécessité de désigner un délégué à la protection des données

19. Le DPO est chargé de piloter la conformité au RGPD au sein de l’organisme qui l’a désigné. En tant que sous-traitant, la désignation d’un DPO est obligatoire si vous êtes une autorité ou un organisme public, si vos activités de base impliquent un suivi régulier et systématique des personnes à grande échelle pour le compte de vos clients, ou si vos activités de base vous amènent à traiter à grande échelle des données sensibles ou relatives à des condamnations pénales et infractions. Au-delà de ces cas, la désignation est recommandée pour disposer d’un expert chargé de la mise en œuvre concrète et du pilotage de la conformité.

20. Les lignes directrices du G29 sur le DPO (5 avril 2017) fournissent des exemples. Une petite entreprise familiale de distribution d’appareils électroménagers recourt à un sous-traitant dont l’activité de base consiste à fournir des services d’analyse de sites internet et de marketing ciblé. Pris globalement, les traitements du sous-traitant constituent un traitement à grande échelle : le sous-traitant doit donc désigner un DPO en vertu de l’article 37.1 b), alors que l’entreprise familiale n’y est pas tenue. De même, un sous-traitant externe de médecine du travail disposant de nombreux clients similaires doit désigner un DPO en vertu de l’article 37.1 c), en raison du traitement à grande échelle de données sensibles.

21. Le DPO désigné par un sous-traitant supervise aussi les activités menées par l’organisation lorsqu’elle agit elle-même en qualité de responsable du traitement (ressources humaines, informatique, logistique). L’article 37 encadre cette désignation obligatoire et précise le rôle du DPO dans la gouvernance de la protection des données.

2. Analyser et réviser les contrats de sous-traitance

22. Le contrat de sous-traitance doit définir l’objet et la durée de la prestation, la nature et la finalité du traitement, le type de données à caractère personnel traitées, les catégories de personnes concernées, les obligations et droits du responsable de traitement et ceux du sous-traitant tels que prévus à l’article 28. Le guide propose un exemple de clauses contractuelles de sous-traitance dans l’attente de l’adoption de clauses types au sens de l’article 28.8. Ces clauses doivent être adaptées et précisées selon la prestation concernée et ne constituent pas, à elles seules, un contrat complet.

23. Tous les contrats en cours avec les clients doivent être modifiés pour intégrer, au 25 mai 2018, les clauses obligatoires prévues par le RGPD. Il est recommandé d’anticiper cette évolution en intégrant dès à présent, par avenant, ces clauses dans les contrats en cours, en prévoyant qu’elles ne seront opposables qu’à compter de cette date. À partir du 25 mai 2018, des vérifications et audits doivent être réalisés pour s’assurer du respect des obligations de sous-traitant et procéder aux ajustements nécessaires.

3. Élaborer un registre des traitements

24. En tant que sous-traitant, vous devez tenir un registre des catégories d’activités de traitement que vous effectuez pour le compte de vos clients. Ce registre, prévu à l’article 30.2, doit contenir le nom et les coordonnées de chaque client, de chaque sous-traitant ultérieur, du DPO le cas échéant, les catégories de traitements effectués pour chaque client, les transferts de données hors UE le cas échéant, et une description générale des mesures de sécurité techniques et organisationnelles mises en place.

25. Le guide souligne que le sous-traitant a par ailleurs la qualité de responsable de traitement pour les opérations qu’il met en œuvre sur ses propres données (gestion du personnel, gestion de ses clients). Dès lors, deux registres sont à tenir : un pour les traitements dont il est responsable et un autre pour les traitements opérés en tant que sous-traitant pour le compte des clients. L’article 30.1 encadre le registre du responsable de traitement, tandis que l’article 30.2 vise celui du sous-traitant.

Recours à un autre sous-traitant : obligations et responsabilités

26. Si un sous-traitant fait appel à un autre sous-traitant, il doit obtenir l’autorisation écrite du responsable de traitement. Cette autorisation peut être spécifique (pour un sous-traitant particulier) ou générale (avec information préalable de tout changement envisagé concernant l’ajout ou le remplacement de sous-traitants, permettant au client d’émettre des objections). Le sous-traitant ultérieur est soumis aux mêmes obligations que celles prévues dans le contrat initial et doit présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées.

27. Le guide insiste sur un point critique : si le sous-traitant ultérieur ne respecte pas ses obligations, le sous-traitant initial demeure pleinement responsable vis-à-vis du responsable de traitement de l’exécution de ces obligations. Les articles 28.2 et 28.4 encadrent ce mécanisme. Cette responsabilité en cascade impose une vigilance particulière dans le choix et le contrôle des sous-traitants ultérieurs.

Rôle du sous-traitant en cas de violation de données

28. Une violation de données est définie comme une faille de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à ces données. Le sous-traitant doit notifier à son client toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Sur cette base, le responsable de traitement doit notifier la violation à l’autorité de contrôle compétente (article 33) et, le cas échéant, la communiquer aux personnes concernées (article 34).

29. Sous réserve de l’accord du client et si cela est prévu explicitement par le contrat, le sous-traitant peut recevoir instruction d’effectuer pour le compte du responsable la notification à l’autorité et, le cas échéant, aux personnes concernées. Les articles 4.12, 33 et 34 encadrent ces obligations. Le guide propose des clauses permettant de préciser les délais de notification (par exemple un délai maximum en heures) et les informations minimales à fournir (nature de la violation, catégories et nombre approximatif de personnes concernées, coordonnées du DPO, conséquences probables, mesures prises ou proposées).

Rôle du sous-traitant dans l’analyse d’impact

30. L’analyse d’impact relative à la protection des données (AIPD) relève de la responsabilité du responsable de traitement (article 35). Le sous-traitant n’est pas tenu de la réaliser, mais il doit aider son client dans cette démarche et lui fournir toute l’information nécessaire. Cette assistance doit être prévue dans le contrat, conformément à l’article 28.3 f) et aux lignes directrices du G29 relatives à l’analyse d’impact. Le sous-traitant doit donc être en mesure de décrire les traitements, les mesures de sécurité et les risques identifiés.

Mécanisme de guichet unique et autorité chef de file

31. Si un sous-traitant est établi dans plusieurs États membres de l’UE et met en œuvre des traitements transfrontaliers, il peut bénéficier du mécanisme de guichet unique. Ce mécanisme permet de dialoguer avec une seule autorité de contrôle nationale, appelée « autorité chef de file », qui prendra des décisions applicables à l’ensemble des États membres concernés. L’autorité chef de file est celle de l’établissement principal, c’est-à-dire le lieu de l’administration centrale dans l’UE, ou, à défaut, l’établissement où se déroule l’essentiel des activités de traitement. Les articles 4.16, 56 et le considérant 36 encadrent cette désignation.

Sous-traitant non établi dans l’UE : obligations spécifiques

32. Un sous-traitant qui ne dispose pas d’établissement dans l’UE est néanmoins soumis à l’ensemble des dispositions du RGPD dès lors qu’il procède, pour le compte de son client, à des traitements de données de personnes se trouvant dans l’UE et qu’il offre, pour le compte de ce client, des biens ou services ou suit le comportement de ces personnes. Dans ce cas, il doit désigner un représentant dans l’UE pour être l’interlocuteur des personnes concernées et des autorités de contrôle pour toute question relative à ces traitements. Les articles 3 et 27 précisent ces obligations.

Risques et sanctions en cas de non-respect des obligations

33. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD peut obtenir la réparation intégrale de son préjudice de la part du responsable de traitement ou du sous-traitant (article 82). Le sous-traitant peut donc être tenu pour responsable du dommage causé. Il peut également faire l’objet de sanctions administratives pouvant s’élever, selon la catégorie de l’infraction, jusqu’à 10 ou 20 millions d’euros, ou, pour une entreprise, jusqu’à 2 % ou 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu (article 83).

34. Le guide énumère plusieurs situations susceptibles de donner lieu à ces sanctions : agir en dehors des instructions licites du client ou contrairement à celles-ci ; ne pas aider le client à respecter ses obligations (notamment notification d’une violation de données ou réalisation d’une analyse d’impact) ; ne pas mettre à disposition les informations permettant de démontrer le respect des obligations ou de permettre la réalisation d’audits ; ne pas informer le client qu’une instruction constituerait une violation du RGPD ; sous-traiter sans autorisation préalable ; faire appel à un sous-traitant qui ne présente pas de garanties suffisantes ; ne pas désigner un DPO lorsque cela est obligatoire ; ne pas tenir de registre des catégories d’activités de traitement mises en œuvre pour le compte des clients.

Exemple de clauses contractuelles de sous-traitance

35. Le guide propose un exemple de clauses contractuelles de sous-traitance destiné à encadrer la relation entre le responsable de traitement et le sous-traitant, dans l’attente de l’adoption de clauses types au sens de l’article 28.8. Ces clauses définissent l’objet du contrat, la description du traitement (services fournis, nature des opérations, finalités, données traitées, catégories de personnes concernées), la durée du contrat, et les obligations du sous-traitant et du responsable de traitement.

36. Parmi les obligations du sous-traitant, les clauses rappellent l’engagement à traiter les données uniquement pour la ou les finalités de la sous-traitance, à respecter les instructions documentées du responsable, à garantir la confidentialité, à former les personnes autorisées, à intégrer les principes de protection des données dès la conception et par défaut, à encadrer la sous-traitance ultérieure (autorisation générale ou spécifique), à organiser le droit d’information des personnes concernées, à aider à l’exercice des droits, à notifier les violations de données, à assister pour les analyses d’impact et la consultation préalable, à mettre en œuvre des mesures de sécurité adaptées, à organiser le sort des données en fin de contrat (destruction ou renvoi), à communiquer les coordonnées du DPO, à tenir un registre des catégories d’activités de traitement et à fournir la documentation nécessaire pour les audits.

37. Les clauses détaillent également les mesures de sécurité techniques et organisationnelles attendues : pseudonymisation et chiffrement des données, moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience des systèmes, moyens de rétablir la disponibilité des données en cas d’incident, procédures de test, d’analyse et d’évaluation régulière de l’efficacité des mesures. Elles insistent sur la nécessité de déterminer précisément les responsabilités respectives du responsable de traitement et du sous-traitant au regard de ces mesures, conformément à l’article 32.

38. Enfin, les obligations du responsable de traitement vis-à-vis du sous-traitant sont rappelées : fournir les données nécessaires, documenter par écrit toute instruction, veiller au respect des obligations prévues par le RGPD de la part du sous-traitant, et superviser le traitement, y compris par des audits et inspections. Cette répartition des rôles et responsabilités contractuelles est au cœur de la conformité de la sous-traitance RGPD et de la sécurisation juridique des traitements de données personnelles.