Sous-traitance RGPD : encadrer contrats et responsabilités des prestataires

Sous-traitance RGPD : encadrer contrats et responsabilités des prestataires

1. Le règlement européen sur la protection des données (RGPD), applicable depuis le 25 mai 2018 à l’ensemble de l’Union européenne, renforce les droits des résidents européens sur leurs données et responsabilise l’ensemble des acteurs traitant ces données, qu’ils soient ou non établis dans l’UE. Le Guide du sous-traitant (édition septembre 2017) vise à accompagner les sous-traitants dans la mise en œuvre de ces nouvelles obligations. Il insiste sur le fait que le règlement impose des obligations spécifiques aux sous-traitants, dont la responsabilité peut être engagée en cas de manquement.

2. La qualification de sous-traitant au sens du règlement européen repose sur le critère du traitement de données personnelles pour le compte, sur instruction et sous l’autorité d’un responsable de traitement. Le responsable de traitement est défini comme celui « qui détermine les finalités et les moyens d’un traitement » (article 4 du règlement – définitions). Une grande variété de prestataires de services peut être qualifiée de sous-traitant : prestataires de services informatiques (hébergement, maintenance), intégrateurs de logiciels, sociétés de sécurité informatique, entreprises de services du numérique (ESN/SSII) ayant accès aux données, agences de marketing ou de communication traitant des données pour le compte de clients, ou encore organismes publics et associations lorsqu’ils traitent des données pour le compte d’un autre organisme.

3. Ne sont pas considérés comme sous-traitants, lorsqu’ils n’ont pas accès aux données personnelles, les éditeurs de logiciels ou les fabricants de matériels (badgeuses, matériels biométriques, matériels médicaux). Le guide rappelle qu’un organisme peut être à la fois sous-traitant pour certains traitements (par exemple, gestion de la paie pour un client) et responsable de traitement pour d’autres (gestion de son propre personnel). Lorsqu’un organisme détermine la finalité et les moyens d’un traitement, il ne peut pas être qualifié de sous-traitant : il doit être considéré comme responsable du traitement (article 28.10 du règlement).

4. Pour distinguer sous-traitant et responsable de traitement, le guide renvoie à l’avis 1/2010 du groupe de travail G29, qui propose un faisceau d’indices : niveau d’instruction donné par le client, degré de contrôle de l’exécution de la prestation, valeur ajoutée et expertise du prestataire, degré de transparence sur le recours à un prestataire. L’exemple d’une entreprise A qui envoie des courriers de prospection commerciale pour le compte d’entreprises B et C illustre cette distinction : A est sous-traitant pour le traitement des fichiers clients de B et C, mais responsable de traitement pour la gestion de son propre personnel et de ses clients.

5. Le champ d’application territorial du RGPD est précisé : un sous-traitant est soumis au règlement s’il est établi dans l’UE ou, s’il ne l’est pas, lorsque ses activités de traitement sont liées à l’offre de biens ou de services à des personnes dans l’UE ou au suivi de leur comportement au sein de l’Union (article 3 du règlement). Le guide souligne que le RGPD consacre une logique de responsabilisation de tous les acteurs, responsables de traitement comme sous-traitants, afin de garantir un même niveau de droits opposables et d’obligations dans tous les États membres (considérant 13).

6. Le principal changement pour les sous-traitants tient au fait que, sous l’empire de la loi Informatique et Libertés, les obligations pesaient principalement sur le responsable de traitement. Désormais, le RGPD impose des obligations directes aux sous-traitants (articles 28, 30.2, 37), qui doivent offrir à leurs clients des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées pour que le traitement réponde aux exigences du règlement et garantisse la protection des droits des personnes concernées.

7. Concrètement, les sous-traitants sont soumis à quatre grands blocs d’obligations : une obligation de transparence et de traçabilité, la prise en compte des principes de protection des données dès la conception et par défaut, une obligation de garantir la sécurité des données traitées, et une obligation d’assistance, d’alerte et de conseil auprès du responsable de traitement. Ils doivent notamment établir un contrat de sous-traitance conforme à l’article 28, recenser par écrit les instructions documentées du client, demander une autorisation écrite avant de recourir à un autre sous-traitant, mettre à disposition les informations nécessaires pour les audits et tenir un registre des activités de traitement effectuées pour le compte de leurs clients.

8. La protection des données dès la conception et par défaut implique que les outils, produits, applications ou services proposés par le sous-traitant intègrent effectivement les principes relatifs à la protection des données et garantissent que seules les données nécessaires à la finalité sont traitées (minimisation, limitation de la durée de conservation, limitation des accès). Des exemples sont donnés : paramétrage par défaut limitant la collecte, absence de champs facultatifs rendus techniquement obligatoires, purge automatique des données après une certaine durée, gestion fine des habilitations et droits d’accès.

9. En matière de sécurité des données, le sous-traitant doit soumettre ses employés à une obligation de confidentialité, notifier au client toute violation de données, prendre des mesures pour garantir un niveau de sécurité adapté aux risques, et, au terme de la prestation, supprimer ou renvoyer les données au client, en détruisant les copies sauf obligation légale de conservation. L’obligation d’assistance, d’alerte et de conseil impose au sous-traitant d’informer le client si une instruction lui paraît contraire au RGPD, d’aider à la gestion des droits des personnes (accès, rectification, effacement, portabilité, opposition, décisions automatisées) et de contribuer aux obligations de sécurité, de notification des violations et d’analyse d’impact.

10. Le guide recommande de commencer par vérifier si l’organisme doit désigner un délégué à la protection des données (DPO), analyser et réviser les contrats de sous-traitance, et élaborer un registre des traitements. La désignation d’un DPO est obligatoire pour les sous-traitants qui sont des autorités ou organismes publics, dont les activités de base impliquent un suivi régulier et systématique à grande échelle, ou un traitement à grande échelle de données sensibles ou relatives aux condamnations pénales et infractions (article 37). Les lignes directrices du G29 du 5 avril 2017 fournissent des exemples de sous-traitants tenus de désigner un DPO.

11. Les contrats de sous-traitance doivent préciser l’objet et la durée de la prestation, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement et du sous-traitant. Le guide propose un exemple de clauses contractuelles de sous-traitance dans l’attente de l’adoption de clauses contractuelles types au sens de l’article 28.8. Ces clauses couvrent notamment le traitement sur instructions documentées, la confidentialité, la sous-traitance ultérieure (autorisation spécifique ou générale), l’information des personnes, l’exercice des droits, la notification des violations, l’assistance pour les analyses d’impact, les mesures de sécurité, le sort des données en fin de contrat, la tenue d’un registre et la documentation permettant les audits.

12. Lorsqu’un sous-traitant fait appel à un autre sous-traitant, il doit obtenir l’autorisation écrite du responsable de traitement (articles 28.2 et 28.4). Le sous-traitant ultérieur est soumis aux mêmes obligations que celles prévues dans le contrat initial et doit présenter des garanties suffisantes. Si ce sous-traitant ultérieur ne respecte pas ses obligations, le sous-traitant initial demeure pleinement responsable vis-à-vis du responsable de traitement. Tous les contrats en cours doivent être adaptés pour intégrer les clauses obligatoires du RGPD, avec des audits et ajustements à compter du 25 mai 2018.

13. En cas de violation de données (destruction, perte, altération, divulgation non autorisée ou accès non autorisé), le sous-traitant doit notifier la violation à son client dans les meilleurs délais. Le responsable de traitement reste chargé de notifier l’autorité de contrôle (article 33) et, le cas échéant, les personnes concernées (article 34), mais le contrat peut prévoir que le sous-traitant effectue ces notifications pour son compte. Le sous-traitant doit également aider à la réalisation des analyses d’impact relatives à la protection des données (AIPD) (article 28.3 f) et peut bénéficier du mécanisme de guichet unique s’il est établi dans plusieurs États membres (articles 4.16, 56, considérant 36).

14. Les sous-traitants non établis dans l’UE sont soumis au RGPD dès lors qu’ils traitent des données de personnes se trouvant dans l’UE pour le compte de leurs clients, en lien avec l’offre de biens ou de services ou le suivi du comportement de ces personnes. Ils doivent alors désigner un représentant dans l’UE (articles 3 et 27). En cas de non-respect des obligations, toute personne ayant subi un dommage matériel ou moral peut obtenir réparation intégrale (article 82), et des sanctions administratives pouvant atteindre 10 ou 20 millions d’euros, ou 2 % ou 4 % du chiffre d’affaires annuel mondial, peuvent être prononcées (article 83). Les risques sont notamment liés au fait d’agir en dehors des instructions licites, de ne pas aider le client, de ne pas permettre les audits, de sous-traiter sans autorisation, de ne pas désigner de DPO lorsque c’est obligatoire, ou de ne pas tenir de registre des activités de traitement.

15. L’exemple de clauses contractuelles de sous-traitance proposé par le guide détaille les obligations du sous-traitant (traiter les données uniquement pour les finalités prévues, respecter les instructions, garantir la confidentialité, former les personnes autorisées, intégrer la protection des données dès la conception, encadrer la sous-traitance ultérieure, organiser l’information et les droits des personnes, notifier les violations, aider aux analyses d’impact, mettre en œuvre des mesures de sécurité, organiser la restitution ou la destruction des données, tenir un registre, fournir la documentation pour les audits) et les obligations du responsable de traitement (fournir les données, documenter les instructions, veiller au respect du RGPD, superviser le traitement et réaliser des audits). Cet encadrement contractuel constitue un levier central pour maîtriser la sous-traitance RGPD et répartir clairement les responsabilités des prestataires.