Vous traitez des données pour le compte de vos clients, et chacun vous envoie son propre modèle de DPA. Vous avez pourtant déjà, dans votre registre, une bonne partie de la matière. Voici ce que l’art. 30 §2 vous donne, ce qu’il ne vous donne pas, et comment combler l’écart.
Un prestataire qui traite des données pour ses clients vit la même scène tous les trimestres : un nouveau contrat arrive, avec en annexe un DPA de douze pages rédigé par le juriste du client, à signer tel quel. La plupart signent. Quelques-uns négocient à l’aveugle. Presque personne ne part de ce qu’il possède déjà.
Or le RGPD vous impose de tenir un registre spécifique en tant que sous-traitant, et le contenu de ce registre recoupe directement ce que le contrat doit définir. Bien tenu, il devient la matière première de vos DPA, et surtout l’instrument qui vous permet de discuter d’égal à égal avec le juriste d’en face.
1. Vous ne tenez peut-être pas le bon registre
Première vérification, avant toute autre. L’article 30 prévoit deux registres distincts, pas un registre avec deux variantes.
Le §1 est celui du responsable du traitement, celui que tout le monde connaît, avec les finalités, les catégories de personnes, les catégories de données et les durées de conservation.
Le §2 est le vôtre. Il impose de tenir « un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable du traitement », comprenant quatre rubriques et quatre seulement :
- a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit, ainsi que, le cas échéant, ceux du représentant et du délégué à la protection des données ;
- b) les catégories de traitements effectués pour le compte de chaque responsable du traitement ;
- c) le cas échéant, les transferts vers un pays tiers ou une organisation internationale, y compris l’identification de ce pays, et pour les transferts de l’art. 49 §1 al. 2, les documents attestant des garanties appropriées ;
- d) dans la mesure du possible, une description générale des mesures de sécurité de l’art. 32 §1.
L’erreur qu’on corrige le plus souvent chez les prestataires : un registre calqué sur le modèle du responsable, organisé par finalité, alors que le §2 s’organise par client. Ce n’est pas une nuance de présentation. Un registre organisé par client se transpose directement en annexes de DPA. Un registre organisé par finalité oblige à tout retrier à chaque nouveau contrat.
C’est la première chose qu’on regarde chez un prestataire qui nous appelle pour un DPA. Neuf fois sur dix, le registre existe et il est structuré du mauvais côté.
2. Ce que votre registre couvre déjà du contrat
L’art. 28 §3 impose un contrat qui « définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement ».
Voici la correspondance réelle, rubrique par rubrique.
| Élément exigé par l’art. 28 §3 | Dans votre registre art. 30 §2 | Ce que ça vous donne |
|---|---|---|
| Identification des parties | a), nom et coordonnées des deux parties, du représentant et du DPO | Directement réutilisable en tête de contrat |
| Nature du traitement | b), catégories de traitements par client | La base de l’annexe descriptive, à préciser |
| Objet du traitement | b), partiellement | À reformuler par prestation |
| Transferts hors UE et garanties | c), avec le pays identifié et les documents | Alimente l’instruction documentée du point a) de l’art. 28 §3 |
| Mesures de sécurité | d), description générale des mesures de l’art. 32 | Alimente le point c) de l’art. 28 §3, à détailler |
| Durée du traitement | Absent | À construire |
| Type de données | Absent | À construire |
| Catégories de personnes concernées | Absent | À construire |
| Obligations et droits du responsable | Absent | À construire |
Le registre couvre donc cinq des neuf éléments, dont les trois les plus fastidieux à reconstituer : qui sont vos clients, ce que vous faites pour chacun, et où partent les données. C’est la moitié du travail, et c’est celle que personne n’a envie de refaire à chaque contrat.
3. Les quatre éléments que votre registre ne contient pas, et pourquoi
Le point mérite d’être compris plutôt que subi. Trois des quatre manques viennent du même endroit : ce sont des informations qui appartiennent au responsable du traitement, pas à vous.
Le type de données et les catégories de personnes concernées figurent au §1 c, le registre du responsable, et sont volontairement absents du §2. Le législateur ne vous demande pas de les documenter, parce que c’est votre client qui décide quelles données il vous confie. Vous devez donc les obtenir de lui pour compléter le DPA, et cette demande est parfaitement légitime.
La durée du traitement suit la durée de la prestation. Elle vient de votre contrat commercial, pas de votre registre.
Les obligations et les droits du responsable sont la contrepartie de vos propres engagements. C’est le seul des quatre qui se rédige réellement de zéro, et c’est là que se joue la négociation.
Autrement dit : sur les quatre manques, trois se comblent par une demande d’information au client, et un seul demande un travail de rédaction.
4. Les huit engagements que le contrat doit contenir, quoi qu’il arrive
Au-delà de la description du traitement, l’art. 28 §3 énumère huit obligations qui doivent figurer au contrat. Aucune n’est optionnelle, et aucune ne sort de votre registre. Les voici dans l’ordre du texte :
- a) vous ne traitez les données que sur instruction documentée du responsable, y compris pour les transferts hors UE, sauf obligation légale, auquel cas vous l’informez avant le traitement ;
- b) vous veillez à ce que les personnes autorisées s’engagent à la confidentialité ou y soient légalement tenues ;
- c) vous prenez toutes les mesures requises par l’art. 32 ;
- d) vous respectez les conditions des §2 et §4 pour recruter un autre sous-traitant ;
- e) vous aidez le responsable à répondre aux demandes d’exercice des droits du chapitre III ;
- f) vous l’aidez à respecter les art. 32 à 36, donc la sécurité, les violations de données et l’analyse d’impact ;
- g) au terme de la prestation, selon le choix du responsable, vous supprimez ou renvoyez les données et détruisez les copies, sauf obligation légale de conservation ;
- h) vous mettez à disposition toutes les informations nécessaires pour démontrer le respect de l’article 28 et permettez la réalisation d’audits, y compris des inspections.
Le même paragraphe ajoute une obligation qu’on voit rarement écrite dans les DPA du marché : au titre du point h), vous devez informer immédiatement le responsable si une instruction vous paraît violer le RGPD. C’est une protection pour vous autant qu’une contrainte, et son absence dans un modèle qu’on vous soumet est un bon indicateur de la qualité du document.
Deux points de négociation réels se cachent ici. Le point g) vous impose de trancher entre suppression et restitution, et le choix appartient au client : faites-le préciser au contrat plutôt que de le découvrir à la résiliation. Le point h) ouvre un droit d’audit dont l’étendue, la fréquence et la prise en charge des coûts ne sont pas fixées par le règlement : c’est à vous de les encadrer.
5. Les deux pièges qui coûtent le plus cher
La sous-traitance ultérieure. Le §2 de l’art. 28 interdit de recruter un autre sous-traitant « sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement ». En cas d’autorisation générale, vous devez l’informer de tout ajout ou remplacement, ce qui lui donne la possibilité d’objecter. Et le §4 impose de répercuter par contrat les mêmes obligations à ce sous-traitant ultérieur, en précisant que vous demeurez « pleinement responsable devant le responsable du traitement » de leur exécution par ce dernier.
Concrètement : votre hébergeur, votre outil de sauvegarde, votre prestataire de support sont des sous-traitants ultérieurs. Ils doivent figurer dans votre DPA, et leurs propres contrats doivent reprendre les obligations du §3. Votre registre §2 les liste déjà à la rubrique a), ce qui rend l’exercice rapide si le registre est à jour.
Le basculement de qualification. Le §10 est bref et lourd de conséquences : si, en violation du règlement, un sous-traitant « détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement ». Réutiliser les données d’un client pour améliorer votre produit, entraîner un modèle ou constituer une base de prospection vous fait basculer, avec toutes les obligations du responsable et l’exposition qui va avec.
C’est le point qu’on vérifie systématiquement chez les éditeurs de logiciel. La clause est souvent absente du DPA, et l’usage réel des données déborde de ce que le contrat autorise.
6. Ce dont vous n’avez peut-être pas besoin, et ce dont vous avez toujours besoin
L’art. 30 §5 dispense de registre, §1 comme §2, les entreprises de moins de 250 employés. L’exemption tombe toutefois dès que le traitement est susceptible de comporter un risque pour les droits et libertés, qu’il n’est pas occasionnel, ou qu’il porte sur des données sensibles ou pénales. Or traiter les données de vos clients est le cœur de votre prestation, donc rien d’occasionnel. En pratique, un prestataire est presque toujours tenu au registre des activités de traitement.
En revanche, l’obligation de contracter, elle, n’a aucun seuil. L’art. 28 §3 s’applique à un indépendant comme à un groupe. Une entreprise dispensée de registre reste tenue au DPA, et le §9 impose qu’il soit écrit, format électronique compris.
Dernier point, celui qui devrait vous décider : l’art. 82 §2 prévoit qu’un sous-traitant n’est responsable du dommage « que s’il n’a pas respecté les obligations qui incombent spécifiquement aux sous-traitants ou qu’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci ». Autrement dit, l’instruction documentée du point a) fonctionne comme votre limite de responsabilité. Un DPA précis vous protège autant qu’il vous engage, et un DPA vague vous laisse défendre a posteriori ce que vous étiez censé faire.
Côté sanction, un manquement à l’art. 28 relève du palier de l’art. 83 §4, qui vise les obligations des articles 25 à 39, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
Ce qu’il faut retenir
- Tenez le registre du §2, organisé par client, et non une copie du registre du responsable (art. 30 §2).
- Ce registre couvre cinq des neuf éléments descriptifs exigés au contrat : parties, nature, objet, transferts, mesures de sécurité (art. 28 §3).
- Quatre manquent : durée, type de données, catégories de personnes, obligations du responsable. Trois s’obtiennent en les demandant au client, un seul se rédige.
- Les huit engagements des points a) à h) ne sortent pas du registre et doivent figurer au contrat, dont le devoir d’alerte sur une instruction illicite.
- Sous-traitance ultérieure : autorisation écrite préalable et répercussion des mêmes obligations (art. 28 §2 et §4). Vous restez pleinement responsable.
- Déterminer les finalités vous fait basculer responsable du traitement (art. 28 §10).
- L’exemption de registre de moins de 250 employés joue rarement, et ne dispense jamais du DPA (art. 30 §5 contre art. 28 §3).
- L’instruction documentée délimite votre responsabilité (art. 82 §2).
Vous signez les DPA de vos clients sans les négocier ? On part de votre registre, on en tire un DPA de référence qui vous appartient, et vous cessez de subir les modèles d’en face. Un point de 30 minutes suffit pour voir où vous en êtes. Prenez rendez-vous avec DPO-SPRING.
Pierre Cauvin, juriste et DPO externe, accompagne les prestataires et éditeurs dans leur conformité RGPD en tant que sous-traitants.
Sources : règlement (UE) 2016/679 (RGPD), art. 28, 30, 32, 82 et 83, texte publié par la CNIL.