1. Le RGPD et la nouvelle responsabilité des sous-traitants

1. Le Règlement européen sur la protection des données personnelles (RGPD), applicable à partir du 25 mai 2018 à l’ensemble de l’Union européenne, « renforce les droits des résidents européens sur leurs données et responsabilise l’ensemble des acteurs traitant ces données (responsables de traitement et sous-traitants) qu’ils soient ou non établis au sein de l’Union européenne ». Le guide du sous-traitant (édition septembre 2017) met en lumière que le règlement « impose des obligations spécifiques aux sous-traitants dont la responsabilité est susceptible d’être engagée en cas de manquement ».

2. L’objectif du guide est d’« accompagner, en tant que sous-traitant, dans la mise en œuvre de ces nouvelles obligations ». Il s’adresse à une « très grande variété de prestataires de services » et insiste sur la nécessité de structurer la conformité autour de la transparence, de la traçabilité, de la sécurité des données et de l’assistance au responsable de traitement.

2. Êtes-vous un sous-traitant au sens du règlement européen ?

3. Le guide définit le sous-traitant comme l’entité qui « traite des données personnelles pour le compte, sur instruction et sous l’autorité d’un responsable de traitement ». Le responsable de traitement est, quant à lui, « celui qui détermine les finalités et les moyens d’un traitement » (article 4 du règlement européen – définitions). Cette distinction est centrale pour qualifier les rôles et répartir les obligations.

4. Sont notamment concernés : les prestataires de services informatiques (hébergement, maintenance, intégrateurs de logiciels, sociétés de sécurité informatique, entreprises de services du numérique ou SSII) qui ont accès aux données ; les agences de marketing ou de communication qui traitent des données personnelles pour le compte de clients ; plus généralement, « tout organisme offrant un service ou une prestation impliquant un traitement de données à caractère personnel pour le compte d’un autre organisme ». Un organisme public ou une association peut également être qualifié de sous-traitant.

5. Ne sont pas concernés, « dans la mesure où ils n’ont pas accès et ne traitent pas de données à caractère personnel », les éditeurs de logiciels ou les fabricants de matériels (badgeuse, matériel biométrique, matériel médical). Le guide souligne aussi qu’un organisme sous-traitant est « généralement responsable de traitement pour les traitements qu’il réalise pour son propre compte » (par exemple la gestion de son personnel) et qu’« lorsqu’un organisme détermine la finalité et les moyens d’un traitement, il ne peut pas être qualifié de sous-traitant » (article 28.10 du règlement européen).

6. Pour déterminer si un organisme est sous-traitant ou responsable de traitement, le guide renvoie à l’avis 1/2010 du groupe des CNIL européennes (G29) du 16 février 2010, qui propose un faisceau d’indices : niveau d’instruction donné par le client, degré de contrôle de l’exécution, valeur ajoutée fournie par le prestataire, degré de transparence sur le recours à un prestataire. Ces critères permettent une analyse « au cas par cas ».

3. Champ d’application territorial du RGPD pour les sous-traitants

7. Le guide précise que l’on entre dans le champ du règlement européen en tant que sous-traitant : « si vous êtes établi dans l’UE » ou, lorsque vous n’êtes pas établi dans l’UE, si vos « activités de traitement sont liées à l’offre de biens ou de services à des personnes concernées dans l’UE ou au suivi du comportement de ces personnes, dans la mesure où il s’agit d’un comportement qui a lieu au sein de l’Union » (article 3 du règlement européen). Ainsi, même un sous-traitant hors UE peut être soumis au RGPD.

4. Le principal changement pour les sous-traitants : la responsabilisation

8. Avant le RGPD, « les obligations de la loi Informatique et Libertés ne s’imposent qu’au responsable de traitement ». Le contrat devait prévoir les obligations du sous-traitant en matière de sécurité et de confidentialité, mais « cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures ».

9. À partir du 25 mai 2018, le règlement consacre une « logique de responsabilisation de tous les acteurs impliqués dans le traitement des données personnelles », dès lors qu’elles concernent des résidents européens. Il « impose des obligations spécifiques aux sous-traitants » qui doivent « aider les responsables de traitement dans leur démarche permanente de mise en conformité ». Les articles 28, 30.2 et 37 du règlement, ainsi que le considérant 13, structurent cette nouvelle responsabilité partagée.

5. Les obligations des sous-traitants à compter du 25 mai 2018

10. L’article 28 du règlement impose au sous-traitant d’offrir au client « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée ». Le sous-traitant doit notamment assister et conseiller le responsable de traitement pour les analyses d’impact, la notification de violation, la sécurité, la destruction des données et la contribution aux audits.

5.1 Obligation de transparence et de traçabilité

11. Le sous-traitant doit établir avec son client un contrat ou un autre acte juridique reprenant les dispositions de l’article 28. Il doit « recenser par écrit les instructions » du client pour prouver qu’il agit « sur instruction documentée du responsable de traitement », demander l’autorisation écrite du client pour recourir à un autre sous-traitant, mettre à disposition « toutes les informations nécessaires » pour démontrer le respect de ses obligations et permettre la réalisation d’audits, et tenir un registre recensant ses clients et les traitements effectués pour leur compte.

5.2 Protection des données dès la conception et par défaut

12. Le sous-traitant doit intégrer les principes de protection des données dès la conception et de protection des données par défaut dans ses outils, produits, applications ou services. Concrètement, il doit veiller à ce que seules les données nécessaires à la finalité soient traitées, en quantité, en étendue, en durée de conservation et en nombre de personnes ayant accès. Le guide cite des exemples : permettre au client de paramétrer la collecte de données, ne pas rendre obligatoire un champ facultatif, ne collecter que les données strictement nécessaires (minimisation des données), purger automatiquement les données après une certaine durée, gérer des habilitations « donnée par donnée ».

5.3 Sécurité des données traitées

13. Le sous-traitant doit soumettre ses employés à une obligation de confidentialité, notifier au client toute violation de données, prendre des mesures pour garantir un niveau de sécurité adapté aux risques et, au terme de la prestation, « supprimer toutes les données ou les renvoyer » au client, puis « détruire les copies existantes sauf obligation légale de les conserver ».

5.4 Assistance, alerte et conseil

14. Si une instruction du client constitue, selon le sous-traitant, une violation des règles en matière de protection des données, il doit l’en informer immédiatement. Lorsqu’une personne exerce ses droits (accès, rectification, effacement, portabilité, opposition, décision individuelle automatisée), le sous-traitant doit, « dans toute la mesure du possible », aider le client à y répondre. Il doit aussi aider le client à respecter ses obligations en matière de sécurité du traitement, de notification de violation de données et d’analyse d’impact.

6. Par où commencer ? DPO, contrats et registre

6.1 Désignation d’un délégué à la protection des données (DPO)

15. En tant que sous-traitant, la désignation d’un délégué à la protection des données est obligatoire si l’organisme est une autorité ou un organisme public, si ses activités de base impliquent un suivi régulier et systématique des personnes à grande échelle, ou si elles impliquent le traitement à grande échelle de données sensibles ou relatives à des condamnations pénales et infractions. Au-delà de ces cas, la désignation est recommandée pour piloter la conformité.

16. Les lignes directrices du G29 sur le délégué à la protection des données (5 avril 2017) fournissent des exemples de désignation obligatoire d’un DPO par un sous-traitant, notamment lorsqu’il fournit des services d’analyse de sites internet et de marketing ciblé à un grand nombre de clients, ou lorsqu’il assure des services de médecine du travail pour de nombreuses entreprises.

6.2 Analyse et révision des contrats

17. Le contrat de sous-traitance doit définir l’objet et la durée de la prestation, la nature et la finalité du traitement, le type de données traitées, les catégories de personnes concernées, les obligations et droits du responsable de traitement et ceux du sous-traitant (article 28). Le guide propose un exemple de clauses contractuelles de sous-traitance, en attendant l’adoption de clauses types au sens de l’article 28.8.

6.3 Élaboration d’un registre des traitements

18. Le sous-traitant doit tenir un registre des catégories d’activités de traitement effectuées pour le compte de ses clients. Ce registre doit contenir : le nom et les coordonnées de chaque client, des sous-traitants ultérieurs, du DPO le cas échéant, les catégories de traitements, les transferts de données hors UE et, dans la mesure du possible, une description des mesures de sécurité techniques et organisationnelles. Le guide rappelle que le sous-traitant est aussi responsable de traitement pour ses propres opérations (gestion du personnel, clients) et doit donc tenir deux registres distincts.

7. Sous-traitance en chaîne et modification des contrats en cours

19. Un sous-traitant ne peut recruter un autre sous-traitant qu’avec l’autorisation écrite du client, spécifique ou générale. Le sous-traitant ultérieur est soumis aux mêmes obligations que celles prévues dans le contrat initial et doit présenter des garanties suffisantes. Si ce sous-traitant ultérieur ne respecte pas ses obligations, le sous-traitant initial est « pleinement responsable vis-à-vis du responsable de traitement ».

20. Tous les contrats de sous-traitance en cours doivent, au 25 mai 2018, comprendre les clauses obligatoires prévues par le règlement. Le guide recommande d’anticiper cette évolution par des avenants et de procéder à des vérifications ou audits pour s’assurer du respect des obligations.

8. Rôle du sous-traitant en cas de violation de données et d’analyse d’impact

21. Une violation de données est définie comme une « faille de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel […] ou l’accès non autorisé à ces données ». Le sous-traitant doit notifier à son client toute violation « dans les meilleurs délais après en avoir pris connaissance ». Le responsable de traitement doit ensuite notifier l’autorité de contrôle (article 33) et, le cas échéant, les personnes concernées (article 34). Sous réserve d’un accord contractuel explicite, le sous-traitant peut être chargé d’effectuer ces notifications pour le compte du client.

22. S’agissant de l’analyse d’impact relative à la protection des données (article 35), le guide rappelle qu’elle relève de la responsabilité du client, en tant que responsable de traitement. Toutefois, le sous-traitant doit « aider » le client et lui fournir « toute l’information nécessaire », cette assistance devant être prévue dans le contrat (article 28.3 f) et lignes directrices du G29).

9. Guichet unique, sous-traitants hors UE et risques en cas de non-respect

23. Un sous-traitant établi dans plusieurs États membres peut bénéficier du mécanisme de guichet unique, qui permet de dialoguer avec une seule autorité chef de file pour les traitements transfrontaliers (articles 4.16, 56 et considérant 36). L’autorité chef de file est celle de l’établissement principal dans l’UE.

24. Si le sous-traitant n’est pas établi dans l’UE, il est néanmoins soumis au RGPD dès lors qu’il traite des données de personnes se trouvant dans l’UE et qu’il offre des biens ou services ou suit le comportement de ces personnes. Il doit alors désigner un représentant dans l’UE (articles 3 et 27).

25. En cas de non-respect des obligations, toute personne ayant subi un dommage matériel ou moral peut obtenir réparation de la part du responsable de traitement ou du sous-traitant (article 82). Le sous-traitant peut faire l’objet de sanctions administratives pouvant atteindre 10 ou 20 millions d’euros, ou 2 % ou 4 % du chiffre d’affaires annuel mondial (article 83). Les manquements visés incluent : agir en dehors des instructions licites, ne pas aider le client, ne pas permettre les audits, ne pas informer d’une instruction illicite, sous-traiter sans autorisation, recourir à un sous-traitant sans garanties suffisantes, ne pas désigner de DPO lorsque c’est obligatoire, ou ne pas tenir de registre.

10. Clauses contractuelles de sous-traitance : structurer la conformité

26. Le guide propose un exemple de clauses contractuelles de sous-traitance destiné à encadrer les « opérations de traitement de données à caractère personnel » effectuées pour le compte d’un responsable de traitement. Ces clauses couvrent notamment : la description du traitement (nature des opérations, finalités, catégories de données et de personnes concernées), la durée du contrat, les obligations du sous-traitant (confidentialité, instructions documentées, protection des données dès la conception et par défaut, sous-traitance ultérieure, information des personnes, exercice des droits, notification des violations, mesures de sécurité, sort des données, registre, documentation) et les obligations du responsable de traitement (fourniture des données, documentation des instructions, supervision et audits).

27. Ces clauses, qui s’appuient sur l’article 28 et le considérant 81 du règlement, ne constituent pas à elles seules un contrat complet, mais fournissent un cadre structuré pour maîtriser les nouvelles obligations imposées aux sous-traitants par le RGPD et sécuriser les contrats de sous-traitance en matière de protection des données personnelles.