Le contrat de sous-traitance et les sous-traitants ultérieurs

Module 9: Les personnes et les règles · Temps de lecture : 11 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez lire un contrat de sous-traitance et le vérifier sur les points exigés par le RGPD, ainsi qu'évaluer une liste de sous-traitants ultérieurs.

Notions clés : contrat de sous-traitance (accord de traitement des données, DPA), art. 28 §3 RGPD, instructions écrites, confidentialité, mesures de sécurité, sous-traitant ultérieur, autorisation générale ou spécifique, droit d'opposition, assistance, restitution ou suppression, audit, transfert hors de l'EEE, délai de notification d'une violation de données, clauses contractuelles types pour sous-traitants

Pourquoi un contrat de sous-traitance ?

Dans la leçon 1.2, vous avez vu les rôles : Bakkerij De Korrel est responsable du traitement, le service cloud est sous-traitant. L'article 28 §3 du RGPD exige que le traitement effectué par un sous-traitant soit régi par un contrat (ou un autre acte juridique) établi par écrit. Une forme électronique est acceptée. C'est le contrat de sous-traitance, souvent appelé accord de traitement des données ; en anglais Data Processing Agreement (DPA) ou Data Processing Addendum.

Chez les grands services cloud, vous ne signez pas vous-même un document : l'accord de traitement des données fait partie des conditions que vous acceptez, ou vous cochez une case dans l'écran d'administration. Chez des prestataires plus petits, vous téléchargez parfois un document, remplissez vos informations et le signez. Quoi qu'il en soit : en tant que responsable, vous devez pouvoir démontrer qu'un tel contrat existe et ce qu'il contient.

Ceci est une explication, pas un conseil juridique. En cas de doute sur vos propres contrats, consultez un juriste ou votre délégué à la protection des données.

Ce que le RGPD impose d'y inclure

L'article 28 §3 énonce d'abord les sujets que le contrat doit décrire : l'objet et la durée du traitement, la nature et la finalité, le type de données à caractère personnel, les catégories de personnes concernées, et les droits et obligations du responsable. Suivent ensuite huit obligations du sous-traitant (points a à h). Voici une explication en termes simples, avec la question à se poser à la lecture :

La Commission européenne a également publié des clauses contractuelles types pour sous-traitants (décision d'exécution (UE) 2021/915). Vous pouvez les utiliser comme contrat de sous-traitance ; elles contiennent tous les points obligatoires. De nombreux prestataires plus petits utilisent un modèle propre, souvent basé sur le modèle d'organisations professionnelles dans leur pays.

Sous-traitants ultérieurs : qui se cache derrière votre prestataire ?

Votre service cloud ne fait pas tout lui-même. Un sous-traitant ultérieur est une partie que le sous-traitant fait intervenir et qui a accès à vos données, par exemple :

• le centre de données (s'il n'appartient pas au prestataire lui-même) ;
• un fournisseur de stockage de sauvegardes ;
• une entreprise qui filtre le courrier contre le spam ou les virus ;
• un prestataire de support ou un développeur qui intervient à distance ;
• un service d'IA si le prestataire propose une fonctionnalité d'IA.

L'article 28 §2 dispose qu'un sous-traitant ne recourt à aucun autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. En cas d'autorisation générale, le sous-traitant doit vous informer de tout changement envisagé concernant l'ajout ou le remplacement de sous-traitants ultérieurs, vous donnant ainsi la possibilité d'émettre des objections. En pratique, cela fonctionne ainsi : le prestataire publie une liste, signale les modifications (par e-mail ou sur une page que vous pouvez suivre), et vous disposez d'un délai pour faire opposition. Si vous faites opposition et qu'aucune solution n'est trouvée, vous pouvez souvent résilier le contrat.

Selon le §4, le sous-traitant ultérieur doit se voir imposer les mêmes obligations, et le sous-traitant initial reste pleinement responsable envers vous.

Points d'attention particuliers lors d'un passage vers un cloud européen

Lors d'un passage vers un service européen, vous examinez surtout deux éléments dans la liste des sous-traitants ultérieurs :

1. Où se trouvent les sous-traitants ultérieurs ? Un prestataire européen qui fait filtrer son courrier par un service américain, ou qui place ses sauvegardes chez un cloud américain, place malgré tout vos données sous le coup du CLOUD Act (leçon 1.3). Examinez le pays et la société mère de chaque sous-traitant ultérieur.
2. Que font-ils ? Un registre de domaines qui ne connaît que votre nom et votre adresse en tant que titulaire du domaine est une chose différente d'une partie qui stocke vos boîtes mail.

Lisez également l'article sur le transfert de données. Un bon contrat de sous-traitance européen précise que les données sont traitées au sein de l'UE ou de l'EEE, et que tout transfert en dehors n'est possible qu'avec votre autorisation préalable. Si le texte indique « nous pouvons traiter les données dans le monde entier avec des garanties appropriées », vous savez qu'un transfert est possible.

Signaux à surveiller

• Aucun contrat de sous-traitance disponible pour un service à usage professionnel : ce n'est pas un bon choix.
• Une liste obsolète de sous-traitants ultérieurs qui ne correspond pas à ce que le prestataire indique par ailleurs (par exemple un autre centre de données) : demandez des éclaircissements.
• Un délai de notification des violations de données tellement long qu'il vous empêche de respecter votre propre délai de 72 heures (art. 33). De nombreux contrats de sous-traitance mentionnent 24 ou 48 heures.
• Une responsabilité totalement exclue. C'est habituel jusqu'à un certain point, mais cela en dit long sur la confiance que le prestataire a en lui-même.
• Aucune disposition sur la fin du contrat : que deviennent vos données après résiliation, et recevez-vous une confirmation de suppression ?

Qui signe, et où le conserver ?

Chez De Korrel, c'est Sanne, en tant que propriétaire, qui signe. Elle conserve le contrat de sous-traitance avec le registre des activités de traitement (leçon 9.3), avec la date et la version. Si le prestataire modifie le contrat ou les sous-traitants ultérieurs, elle conserve également cette notification. En cas de contrôle par l'autorité de contrôle, ou en cas de question d'un client (« comment traitez-vous mes données ? »), elle peut ainsi le présenter.

En pratique : à quoi cela ressemble-t-il chez un prestataire

WebOké dispose d'un contrat de sous-traitance standard avec une annexe listant les tiers auxquels il est fait appel, qui précise que le traitement a lieu au sein de l'UE et que tout transfert en dehors n'est possible qu'avec une autorisation écrite. Les questions fréquentes du guide Nextcloud précisent quand vous en avez besoin. Chez d'autres prestataires, le document s'appelle souvent « Data Processing Agreement » et la liste des sous-traitants ultérieurs figure sur une page distincte (« Subprocessors »). Comparez cette liste avec ce que le prestataire indique sur son site concernant les centres de données et le support.

Résumé

• L'article 28 §3 RGPD exige un contrat de sous-traitance écrit comportant des sujets fixes et huit obligations du sous-traitant.
• Vérifiez en particulier : absence de finalités propres, sécurité, sous-traitants ultérieurs, aide en cas de violation de données, restitution ou suppression en fin de contrat, et audits.
• Les sous-traitants ultérieurs ne sont admis qu'avec votre autorisation ; en cas d'autorisation générale, vous devez être informé des changements et pouvoir faire opposition.
• Lors d'un passage vers un cloud européen, examinez dans la liste des sous-traitants ultérieurs le pays et la société mère de chaque partie.
• Conservez le contrat de sous-traitance et les notifications de modification avec votre registre des activités de traitement.

Quiz

Exercice

Exercice E9.2 : Vérifiez un contrat de sous-traitance. Prenez le contrat de sous-traitance de votre service cloud actuel ou nouveau. Parcourez les huit points a à h et notez pour chacun : est-il présent (oui, non, pas clair) et où. Évaluez la liste des sous-traitants ultérieurs : notez pour chacun le pays, la société mère et ce qu'il fait.

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux services de WebOké ; chez d'autres prestataires, le fonctionnement est comparable.

• Guide Nextcloud 15.13: Questions fréquentes sur la sécurité et la confidentialité
• Guide Nextcloud 14.8: Assistant IA dans votre Nextcloud
• Règlement (UE) 2016/679 (RGPD), article 28, sur EUR-Lex
• Décision d'exécution (UE) 2021/915 (clauses contractuelles types entre responsables du traitement et sous-traitants), sur EUR-Lex
• CNIL, rubrique « Contrat de sous-traitance » : https://www.autoriteitpersoonsgegevens.nl