Lire un contrat de sous-traitance sans être juriste : les huit points de l’article 28

Le règlement (UE) 2016/679 impose que le recours à un sous-traitant soit régi par un contrat ou un autre acte juridique qui lie le sous-traitant au responsable du traitement, définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable.¹ Puis il énumère huit obligations que ce contrat doit prévoir. La liste est fermée et facile à vérifier. Elle constitue, pour un exploitant de site qui n’est pas juriste, la seule grille de lecture dont il a besoin pour savoir si le document qu’on lui présente est complet.

Reste que la complétude n’est pas la même chose que l’équilibre. Un contrat peut cocher les huit cases et contenir, dans les clauses qui les entourent, deux ou trois stipulations qui engagent beaucoup plus que les huit.

Les huit mentions obligatoires

Un. Le sous-traitant ne traite les données que sur instruction documentée du responsable, y compris en matière de transfert vers un pays tiers, sauf obligation juridique à laquelle il est soumis, auquel cas il en informe le responsable avant le traitement, sauf interdiction légale pour des motifs d’intérêt public important.² La formule « instruction documentée » est le pivot de tout l’édifice : elle est ce qui distingue un exécutant d’un décideur.

Deux. Les personnes autorisées à traiter les données s’engagent à la confidentialité ou sont soumises à une obligation légale appropriée de confidentialité.³

Trois. Le sous-traitant prend toutes les mesures de sécurité requises par l’article 32.⁴ C’est le renvoi qui justifie l’annexe technique que la plupart des contrats appellent mesures techniques et organisationnelles.

Quatre. Il respecte les conditions de recours à un autre sous-traitant, posées aux paragraphes 2 et 4 de l’article 28.⁵ Ce point mérite un développement à part, plus bas.

Cinq. Il aide le responsable, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits.⁶ À retenir : aider, pas répondre. La réponse reste due par le responsable.

Six. Il aide le responsable à garantir le respect des obligations de sécurité, de notification des violations et d’analyse d’impact, compte tenu de la nature du traitement et des informations à sa disposition.⁷

Sept. Selon le choix du responsable, il supprime toutes les données ou les lui renvoie au terme de la prestation, et détruit les copies existantes, à moins que le droit de l’Union ou le droit national n’exige leur conservation.⁸ Notez le membre de phrase « selon le choix du responsable » : le choix vous appartient, un contrat qui décide à votre place s’écarte du texte.

Huit. Il met à la disposition du responsable toutes les informations nécessaires pour démontrer le respect de ces obligations, et permet la réalisation d’audits, y compris d’inspections, par le responsable ou un auditeur qu’il a mandaté, et contribue à ces audits.⁹

Le même article ajoute une obligation qui n’est pas une mention contractuelle mais un devoir permanent du prestataire : il informe immédiatement le responsable si, à son avis, une instruction constitue une violation du règlement.¹⁰

Un contrat auquel il manque l’une de ces huit mentions n’est pas conforme. Le vérifier prend dix minutes et vous place, en cas de contrôle, du bon côté de la démonstration.

Ce qui n’est pas dans la liste, et qui compte davantage

La sous-traitance ultérieure, et l’accord donné d’avance

L’article 28, paragraphe 2, pose un principe simple : le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite, préalable et spécifique ou générale, du responsable. En cas d’autorisation générale, il informe le responsable de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants, donnant ainsi au responsable la possibilité d’émettre des objections.¹¹ Et le paragraphe 4 précise que les mêmes obligations de protection des données doivent être imposées au sous-traitant ultérieur, le premier sous-traitant demeurant pleinement responsable devant le donneur d’ordre de l’exécution par l’autre de ses obligations.¹²

En pratique, presque tous les contrats du marché choisissent l’autorisation générale et y joignent une liste. C’est légitime. Le point de vigilance n’est pas la liste elle-même mais sa composition. Un hébergeur, un service de sauvegarde, un fournisseur de téléphonie, un logiciel de comptabilité sont des prestations d’appui, sans finalité propre sur vos données. Une régie de reciblage publicitaire, un fournisseur d’enrichissement de données, un partenaire de mesure d’audience mutualisée relèvent d’une autre catégorie : ils poursuivent une finalité qui leur est propre, et leur présence dans une liste de sous-traitants ultérieurs est une question, pas une évidence.

La règle de lecture est celle-ci : lire la colonne qui qualifie la prestation. Quand un contrat distingue lui-même les prestations accessoires des prestations principales, ce qu’il range en prestation principale est ce qui touche au cœur du traitement, et c’est là qu’il faut regarder deux fois.

L’audit, et le prix de son exercice

Le huitième point donne un droit d’audit. Les contrats l’encadrent, ce qui est normal : préavis, fréquence, substitution possible par une certification ou un rapport d’auditeur indépendant. Ce qui se lit moins vite, c’est la clause de frais. Une stipulation qui met à votre charge les coûts de tiers occasionnés par une inspection ne prive pas du droit, elle en déplace le coût. Le droit reste, son exercice devient une décision budgétaire.

La localisation du traitement

Rien n’oblige un contrat à cantonner le traitement à l’Espace économique européen. Quand il le fait, c’est une clause favorable, et il faut la repérer comme telle : elle vous dispense d’avoir à vérifier vous-même les garanties des articles 44 et suivants pour chaque transfert. Quand il ne le fait pas, la question du fondement du transfert redevient la vôtre.

Un rappel utile pour une entreprise établie en Suisse : la Suisse est, du point de vue du règlement, un pays tiers, mais un pays tiers qui bénéficie d’une décision d’adéquation. Un flux vers un responsable suisse ne demande donc pas d’instrument supplémentaire. Ce point est développé dans le troisième volet de cette série.

La forme de la conclusion

L’article 28, paragraphe 9, autorise la forme électronique.¹³ La plupart des plateformes en tirent la conséquence maximale : le contrat est conclu par l’envoi d’un formulaire, sans signature, avec un horodatage journalisé.

Cette mécanique a une implication pratique que l’on découvre trop tard. Le contrat est généré à partir des données du compte au moment du clic. Si le nom de l’entreprise, l’adresse ou le pays sont faux ou incomplets dans le compte, ils sont faux dans le contrat, et il aura été conclu au nom d’une partie mal identifiée. La correction des données du compte n’est pas une formalité à faire après. Elle se fait avant.

Le contrat que vous n’avez pas à écrire

Le paragraphe 7 de l’article 28 prévoit que la Commission peut établir des clauses contractuelles types.¹⁴ Elle l’a fait par la décision d’exécution (UE) 2021/915, qui porte des clauses types entre responsables du traitement et sous-traitants au sens de l’article 28, paragraphe 7. Ce jeu de clauses ne doit pas être confondu avec les clauses contractuelles types pour les transferts vers des pays tiers, adoptées la même année et poursuivant un objet différent.

L’intérêt de ce texte, pour un exploitant qui n’a pas de service juridique, est double. Il fournit un modèle utilisable lorsque c’est vous qui devez proposer le contrat, par exemple à un prestataire plus petit que vous. Et il fournit surtout un étalon : un contrat qui vous est soumis peut être comparé, clause à clause, à ce que la Commission a jugé suffisant.

En droit suisse

La loi fédérale sur la protection des données ne dresse pas une liste de huit mentions. Son article 9 pose trois conditions de fond, que le sous-traitant n’effectue que les traitements que le responsable serait en droit d’effectuer lui-même, qu’aucune obligation légale ou contractuelle de secret ne l’interdise, et que le responsable s’assure que le sous-traitant est en mesure de garantir la sécurité des données.¹⁵ La sous-traitance ultérieure suppose l’autorisation préalable du responsable.¹⁶

L’approche est plus brève et moins formaliste. Elle n’est pas moins exigeante sur le point qui compte : c’est au responsable de s’assurer, et cette assurance doit pouvoir être démontrée.

La grille, en six lignes

Un contrat de sous-traitance qui vous est soumis peut être passé en revue avec six questions.

Les huit mentions de l’article 28, paragraphe 3, sont-elles toutes présentes ?

Qui figure sur la liste des sous-traitants ultérieurs, et l’un d’eux poursuit-il une finalité publicitaire ou commerciale propre ?

Le traitement est-il cantonné à l’Espace économique européen, et sinon, sur quel fondement les transferts reposent-ils ?

Le choix entre restitution et suppression des données en fin de contrat vous appartient-il réellement ?

Le droit d’audit est-il assorti d’une clause de frais, et laquelle ?

Les données d’identification de votre entreprise, telles qu’elles seront reprises dans l’en-tête au moment du clic, sont-elles exactes ?

Aucune de ces six questions ne demande une formation juridique. Toutes demandent d’ouvrir le document.

Notes

1. Règlement (UE) 2016/679, art. 28, par. 3, phrase introductive. ↩

2. Règlement (UE) 2016/679, art. 28, par. 3, let. a. ↩

3. Règlement (UE) 2016/679, art. 28, par. 3, let. b. ↩

4. Règlement (UE) 2016/679, art. 28, par. 3, let. c. ↩

5. Règlement (UE) 2016/679, art. 28, par. 3, let. d. ↩

6. Règlement (UE) 2016/679, art. 28, par. 3, let. e. ↩

7. Règlement (UE) 2016/679, art. 28, par. 3, let. f. ↩

8. Règlement (UE) 2016/679, art. 28, par. 3, let. g. ↩

9. Règlement (UE) 2016/679, art. 28, par. 3, let. h. ↩

10. Règlement (UE) 2016/679, art. 28, par. 3, dernier alinéa. ↩

11. Règlement (UE) 2016/679, art. 28, par. 2. ↩

12. Règlement (UE) 2016/679, art. 28, par. 4. ↩

13. Règlement (UE) 2016/679, art. 28, par. 9. ↩

14. Règlement (UE) 2016/679, art. 28, par. 7, et décision d’exécution (UE) 2021/915. ↩

15. Loi fédérale sur la protection des données (RS 235.1), art. 9, al. 1 et 2. ↩

16. Loi fédérale sur la protection des données (RS 235.1), art. 9, al. 3. ↩