Encadrer ses sous-traitants et les transferts
Contrat article 28, due diligence et transferts hors UE : ce qu'il faut vérifier avant de signer.
Contrat article 28, due diligence et transferts hors UE : ce qu'il faut vérifier avant de signer.
Confier des données à un prestataire ne transfère pas la responsabilité : le responsable de traitement reste garant de la protection des données personnelles qu'il fait traiter. Hébergeur, logiciel en ligne, prestataire de paie, société d'infogérance, outil d'emailing, service de visioconférence : chacun traite des données pour le compte de la structure, et chacun doit être encadré. Cette page décrit le contrat exigé, la vérification préalable et le régime spécifique des transferts hors Union européenne.
Le responsable de traitement détermine les finalités et les moyens du traitement. Le sous-traitant traite les données pour le compte du responsable, selon ses instructions. Un même prestataire peut être sous-traitant pour une prestation et responsable pour une autre : un cabinet comptable est sous-traitant quand il saisit une paie selon vos consignes, mais responsable pour ses propres obligations légales de conservation. Qualifier correctement la relation détermine les obligations de chacun et la nature du contrat à conclure.
Tout recours à un sous-traitant fait l'objet d'un contrat écrit qui prévoit, au minimum : que le sous-traitant ne traite les données que sur instructions documentées du responsable ; qu'il garantit la confidentialité, en engageant les personnes autorisées ; qu'il met en œuvre les mesures de sécurité appropriées ; qu'il ne recrute pas un autre sous-traitant sans autorisation préalable, écrite, et en répercutant les mêmes obligations ; qu'il aide le responsable à répondre aux demandes d'exercice des droits ; qu'il l'assiste pour la sécurité, les notifications de violation et les analyses d'impact ; qu'au terme de la prestation, il supprime ou restitue les données et détruit les copies ; et qu'il met à disposition les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits.
Avant de signer, on examine les garanties concrètes : où sont hébergées les données, quelles mesures de sécurité sont documentées, existe-t-il des certifications ou des rapports d'audit, quelle est la politique de notification des incidents et son délai, la liste des sous-traitants ultérieurs est-elle publiée et actualisée, quelle est la procédure de réversibilité en fin de contrat et sous quel format les données sont restituées. Un prestataire sérieux met à disposition une documentation de conformité et un modèle d'accord de traitement ; l'absence de ces éléments est un signal.
Un sous-traitant s'appuie fréquemment sur d'autres prestataires — hébergement, sauvegarde, support, outils tiers. Chaque maillon doit être soumis aux mêmes obligations, en cascade, et le responsable de traitement doit être informé de tout ajout ou remplacement de sous-traitant ultérieur, avec la possibilité de s'y opposer. Suivre cette chaîne est fastidieux mais nécessaire : une fuite chez un sous-traitant de second rang reste, juridiquement, une violation dont vous répondez.
Un transfert existe dès qu'une donnée est accessible depuis un pays tiers, y compris pour de la maintenance ou du support. Il n'est licite que s'il repose sur l'un des fondements prévus au chapitre V du RGPD. Le plus simple est une décision d'adéquation de la Commission européenne, qui reconnaît qu'un pays offre un niveau de protection équivalent ; depuis 2023, un cadre d'adéquation spécifique couvre les transferts vers les entreprises établies aux États-Unis qui y adhèrent. À défaut d'adéquation, le transfert s'appuie sur des clauses contractuelles types, complétées — depuis l'arrêt Schrems II de la Cour de justice de l'Union européenne en 2020 — par une analyse d'impact du transfert : il faut vérifier que le droit du pays de destination ne compromet pas les garanties, et ajouter le cas échéant des mesures supplémentaires, techniques ou organisationnelles.
Certaines législations permettent à des autorités étrangères d'exiger des données détenues par des entreprises relevant de leur juridiction, y compris lorsque ces données sont stockées dans l'Union. Choisir un prestataire non soumis à ce type de législation, ou un hébergement qualifié pour les données sensibles, réduit ce risque et simplifie l'analyse de transfert. Pour les données les plus sensibles, la localisation et le rattachement juridique du prestataire deviennent des critères de sélection à part entière.
Avant d'encadrer, il faut recenser. La plupart des structures sous-estiment le nombre de tiers qui traitent leurs données : hébergeur du site, messagerie professionnelle, suite bureautique en ligne, outil de facturation, service d'emailing, solution de prise de rendez-vous, visioconférence, stockage de fichiers, prestataire de sauvegarde, maintenance informatique. Chacun figure dans le registre des traitements comme destinataire et sous-traitant, avec le statut de son contrat (accord de traitement signé ou non), la localisation des données, et l'existence d'un transfert hors UE. Ce recensement fait presque toujours apparaître des outils adoptés sans validation et sans contrat conforme.
Un service en ligne gratuit reste un sous-traitant s'il traite des données personnelles pour votre compte, et il doit être encadré comme tel. Or beaucoup d'outils gratuits — extensions de navigateur, convertisseurs de fichiers, petits utilitaires en ligne — ne proposent pas d'accord de traitement, se financent par l'exploitation des données, ou hébergent hors UE sans garantie. Faire transiter un fichier de clients par un convertisseur en ligne inconnu est un transfert non maîtrisé. La règle pratique : pas de données personnelles dans un outil qui ne fournit ni contrat ni information claire sur la localisation et l'usage des données.
Le droit d'audit prévu par l'article 28 est rarement exercé par une petite structure sous forme d'inspection sur site. Il se matérialise plus souvent par la fourniture, à la demande, de la documentation de conformité : rapports d'audit indépendants, certifications en cours de validité, résultats de tests d'intrusion, description des mesures de sécurité. Vérifier une fois par an que ces éléments existent et sont à jour est une forme d'audit proportionnée et suffisante dans la plupart des cas.
La fin d'un contrat de sous-traitance est un moment de risque : données non restituées, restituées dans un format inexploitable, ou non effacées chez le prestataire et ses propres sous-traitants. Le contrat doit préciser le format de restitution, le délai, et la preuve de suppression fournie. Anticiper la sortie dès la signature — et tester une exportation en cours de contrat — évite de se retrouver captif d'un prestataire dont on veut se séparer, pour des raisons de prix, de qualité ou de conformité.
Sept questions résument la vérification : le prestataire fournit-il un accord de traitement conforme à l'article 28 ; où sont hébergées et administrées les données ; y a-t-il un transfert hors UE, et sur quel fondement ; quels sont les sous-traitants ultérieurs et suis-je informé de leurs évolutions ; quel est le délai d'information en cas de violation ; quelles garanties de sécurité sont documentées ou auditées ; comment récupérer mes données, dans quel format et sous quel délai en fin de contrat. Une réponse floue à l'une de ces questions se traite avant la signature, pas après.
Le responsable de traitement répond des données qu'il externalise : cela impose un contrat article 28 complet, une vérification préalable des garanties, un suivi de la chaîne de sous-traitance et un encadrement spécifique des transferts hors UE. Ce travail s'inscrit dans la démarche de conformité et conditionne l'efficacité réelle des mesures de sécurité : la meilleure protection interne ne vaut rien si un prestataire mal encadré expose les mêmes données.