L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Quel contrat signer avec un prestataire qui traite vos données ?
L'accord de sous-traitance est obligatoire et son contenu est imposé. Les huit mentions exigées et les clauses à négocier réellement.
L'accord de sous-traitance est obligatoire et son contenu est imposé. Les huit mentions exigées et les clauses à négocier réellement.
Introduction
Chaque prestataire qui accède aux données de vos clients ou de vos salariés est un sous-traitant. Hébergeur, outil de gestion commerciale, service d’emailing, cabinet de paie, prestataire informatique : la liste est plus longue qu’il n’y paraît.
L’obligation contractuelle
Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique, qui lie le sous-traitant au responsable, définit l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et droits du responsable.
L’absence d’un tel accord constitue un manquement autonome, sanctionnable indépendamment de tout incident.
Les mentions imposées
Le sous-traitant ne traite les données que sur instruction documentée du responsable, y compris en matière de transferts.
Les personnes autorisées à traiter les données s’engagent à la confidentialité ou sont soumises à une obligation légale appropriée.
Le sous-traitant prend les mesures de sécurité requises.
Il respecte les conditions de recours à un sous-traitant ultérieur.
Il aide le responsable à donner suite aux demandes d’exercice des droits.
Il aide le responsable à respecter ses obligations de sécurité, de notification de violation et d’analyse d’impact.
Au terme de la prestation, il supprime ou renvoie les données, au choix du responsable, et détruit les copies existantes, sauf obligation légale de conservation.
Il met à disposition toutes les informations nécessaires pour démontrer le respect de ces obligations et permet la réalisation d’audits.
Les clauses qui méritent une négociation
Au-delà des mentions imposées, plusieurs points appellent une vigilance particulière.
La localisation des données et l’engagement de ne pas les transférer hors de l’Espace économique européen sans encadrement.
Le délai de notification d’une violation au responsable. La formule sans délai injustifié est insuffisante : un délai chiffré, court, permet au responsable de tenir sa propre échéance de soixante-douze heures.
Les modalités d’audit. Le droit d’audit sur site est souvent remplacé par la communication de certifications ou de rapports d’audit indépendants, ce qui est acceptable si le rapport est réellement communiqué.
Le sort des données en fin de contrat : format de restitution, délai, coût éventuel, preuve de suppression.
La liste des sous-traitants ultérieurs, qui doit être annexée et tenue à jour.
La sous-traitance ultérieure
Le sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, du responsable.
En cas d’autorisation générale, il informe le responsable de tout changement prévu, celui-ci pouvant émettre des objections.
Les mêmes obligations doivent être imposées au sous-traitant ultérieur, et le sous-traitant initial demeure pleinement responsable devant le responsable de traitement.
Le sous-traitant qui outrepasse
Lorsqu’un sous-traitant détermine lui-même les finalités et les moyens, il est considéré comme responsable de traitement pour ce traitement.
Cette requalification a des conséquences directes : elle expose le prestataire à l’ensemble des obligations du responsable, et prive le client de la protection contractuelle qu’il croyait avoir.
Les clauses autorisant le prestataire à utiliser les données à ses propres fins, notamment pour améliorer son service ou entraîner des modèles, doivent être examinées à cette lumière.
Le recensement préalable
L’accord ne peut être négocié qu’après avoir identifié tous les prestataires concernés.
Ce recensement est un sous-produit du registre : chaque traitement mentionne ses destinataires.
Un tableau des prestataires, indiquant pour chacun l’existence d’un accord, sa date, la localisation des données et la liste des sous-traitants ultérieurs, constitue une pièce de contrôle immédiatement exploitable.
Sécuriser la chaîne de sous-traitance
La responsabilité remonte au donneur d’ordre. Notre expertise RGPD et protection des données personnelles sécurise ces accords.
En résumé
- L’accord de sous-traitance est obligatoire et son contenu est imposé.
- Négocier le délai de notification de violation, l’audit et le sort des données en fin de contrat.
- La sous-traitance ultérieure suppose une autorisation et la répercussion des obligations.
- Le prestataire qui détermine les finalités devient responsable de traitement.
- Tenir un tableau des prestataires, sous-produit du registre.
Questions fréquentes
Un contrat de sous-traitance est-il obligatoire ?
Oui. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique qui lie le sous-traitant au responsable et dont le contenu est expressément déterminé par le règlement.
Peut-on se contenter des conditions générales du prestataire ?
Souvent oui pour les grands fournisseurs, qui publient un accord de traitement conforme. Il faut néanmoins le lire, vérifier les annexes et s'assurer que la liste des sous-traitants ultérieurs et les mesures de sécurité y figurent.
Le sous-traitant peut-il recourir à d'autres prestataires ?
Seulement avec l'autorisation écrite préalable, spécifique ou générale, du responsable. En cas d'autorisation générale, il informe le responsable de tout changement, qui peut alors s'y opposer.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
