Le contrat qui parle de prix et pas du fichier

Aux Arcades, le centre commercial qui sert de fil rouge à cette série, la direction a fini par lâcher prise sur le programme de fidélité. Trop de cartes à émettre, trop de réclamations, et un envoi d'e-mails à préparer chaque jeudi soir. Un prestataire spécialisé reprend le tout : il édite les cartes, héberge le fichier des porteurs et expédie les offres.

Le contrat posé sur la table est un bon contrat commercial. Prix par carte active, délai de mise en service, taux de disponibilité de la plateforme, pénalités de retard. Il répond très bien à deux questions : combien, et quand.

Il n'en traite aucune autre. Que peut faire le prestataire de l'historique d'achats enseigne par enseigne ? A-t-il le droit de confier le routage des e-mails à une autre société sans en informer le centre ? Et le jour où la prestation s'arrête, que devient le fichier, chez lui, dans ses sauvegardes, chez ses propres prestataires ?

Côté système d'information, c'est la scène de la signature d'un contrat SaaS. Le bon de commande décrit un abonnement, des utilisateurs nommés, un niveau de support. Il ne décrit pas un traitement de données personnelles, et il ne dit rien des garanties offertes par celui à qui on remet les données.

Confier un traitement à un prestataire ne transfère pas la responsabilité. Le règlement encadre le choix lui-même, avant même de parler du contenu du contrat.

Ce billet ferme le lot consacré au RGPD, et c'est le plus opérationnel des sept. Il porte sur un geste précis : la vérification menée avant de signer, ce que le métier appelle la due diligence sous-traitant.

Ce que l'article 28 demande vraiment

Deux paragraphes portent l'essentiel. L'article 28(1) pose que le responsable de traitement ne fait appel qu'à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le choix du prestataire est donc lui-même encadré : il n'est pas seulement commercial, il est une obligation à part entière.

L'article 28(3) ajoute que le traitement effectué par un sous-traitant est régi par un contrat, ou un autre acte juridique, qui lie le sous-traitant au responsable et qui comporte une liste précise de mentions. L'article 28(9) exige l'écrit, y compris sous forme électronique.

Un troisième paragraphe mérite d'être connu, parce qu'il déplace tout le reste. L'article 28(10) prévoit qu'un sous-traitant qui détermine les finalités et les moyens d'un traitement est considéré comme responsable pour ce traitement. La qualification est traitée dans le billet sur les rôles du RGPD et ne sera pas refaite ici : retiens seulement qu'elle se lit dans les faits, pas dans l'intitulé du contrat.

Ces manquements ne sont pas symboliques. Les infractions aux obligations du responsable et du sous-traitant relevant des articles 25 à 39 entrent, au titre de l'article 83(4)(a), dans le plafond de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

En pratique, la démarche se découpe en quatre moments et un point aveugle. On cadre ce qu'on confie. On écrit le contrat que l'article 28(3) impose. On évalue des garanties plutôt que des déclarations. On décide, et on garde la trace de la décision. Le point aveugle, ce sont les sous-traitants du sous-traitant.

L'article 28 traite deux choses distinctes : la qualité de celui qu'on choisit, et le contenu du contrat qui l'encadre. Un excellent contrat avec un prestataire sans garanties ne remplit qu'une moitié du texte.

Cadrer le périmètre avant de parler du contrat

Aux Arcades, avant même de négocier, la direction met à plat ce qui va réellement passer entre les mains du prestataire. Le nom, l'adresse e-mail, la date de naissance pour l'offre d'anniversaire, et l'historique d'achats magasin par magasin. Ce dernier point n'est pas anodin : le passage régulier en pharmacie ou chez l'opticien du centre en dit long sur une personne.

Ce cadrage n'est pas une bonne pratique préalable. C'est le premier paragraphe de l'article 28(3) lui-même, qui exige que le contrat précise l'objet et la durée du traitement, sa nature et sa finalité, le type de données à caractère personnel et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable de traitement.

Autrement dit, une organisation incapable de décrire son traitement est incapable de rédiger le contrat. C'est souvent là que la démarche cale, et c'est aussi là que le registre des traitements gagne sa valeur.

Question de cadrage Pourquoi elle change la suite Où elle atterrit
Quelles catégories de données, exactement ? Le niveau de risque et les mesures attendues au titre de l'article 32 Description du traitement annexée au contrat
Des données de l'article 9, ou relatives à des condamnations au sens de l'article 10 ? Régime renforcé, et probabilité forte qu'une analyse d'impact soit requise (article 35) Décision d'engager ou non l'AIPD avant de signer
Des données de mineurs ? Exigence d'information renforcée et prudence accrue sur la conservation Modalités d'information et durées
Quel volume, quelle durée de conservation ? Un incident sur dix millions d'enregistrements ne se gère pas comme un incident sur mille Politique de purge, réversibilité
Quelles opérations le prestataire réalise-t-il ? Héberger, consulter, enrichir ou profiler ne relèvent pas des mêmes instructions Clause d'instructions documentées
Où sont hébergées les données, et d'où sont-elles administrées ? Un accès d'administration depuis un pays tiers pose la question du chapitre V Fondement du transfert hors UE
Que devient la donnée à la fin ? La sortie se négocie à l'entrée, jamais au moment de la rupture Clause de suppression ou de restitution

La ligne sur l'administration mérite un mot. Un service peut être hébergé dans un centre de données européen et administré depuis un autre continent par les équipes d'astreinte du prestataire. La question du chapitre V se pose alors, même si aucune donnée n'a été copiée hors d'Europe.

Une organisation qui ne sait pas décrire son propre traitement ne peut pas rédiger le contrat qui l'encadre. Le cadrage occupe le premier paragraphe de l'article 28(3), au même titre que les clauses qui suivent.

Les clauses de l'article 28(3)

Le contrat de prestation des Arcades autorise le prestataire à faire des choses précises avec le fichier de fidélité, et rien d'autre. Le personnel qui y accède est tenu au secret. La galerie peut venir vérifier. À la fin, le fichier revient ou disparaît, au choix du centre, pas au choix du prestataire.

Ces engagements sont les huit points listés aux lettres (a) à (h) de l'article 28(3). Ils forment un tout : chacun couvre un moment de la vie du traitement, et l'absence de l'un ouvre un trou que les sept autres ne bouchent pas.

Engagement, article 28(3) Ce qu'il protège Signal d'alerte à la lecture
(a) Traiter uniquement sur instructions documentées La finalité : le prestataire ne travaille pas pour son propre compte Une clause autorisant l'usage des données « à des fins d'amélioration des services » sans autre précision
(b) Confidentialité des personnes autorisées à traiter L'accès interne chez le prestataire Aucun engagement écrit, ni pour les salariés ni pour les intervenants d'astreinte
(c) Mesures de sécurité de l'article 32 Le niveau technique réel Un renvoi à une page web modifiable unilatéralement, sans version ni préavis
(d) Conditions de recours à un autre sous-traitant La chaîne complète Autorisation générale sans liste nominative ni information des changements
(e) Assistance aux demandes des personnes Le délai d'un mois de l'article 12(3) Assistance facturée à l'acte sans plafond, ou délai de réponse du prestataire supérieur à ce délai
(f) Assistance sur les articles 32 à 36 La chaîne d'alerte en cas de violation Notification au responsable exprimée en jours ouvrés
(g) Suppression ou restitution en fin de prestation La sortie « Au choix du prestataire », ou silence complet sur les sauvegardes
(h) Mise à disposition des informations et audits La preuve Droit d'audit réduit à un questionnaire, ou soumis à l'accord discrétionnaire du prestataire

Deux détails passent souvent inaperçus. Le second alinéa de l'article 28(3) impose au sous-traitant d'informer immédiatement le responsable si, selon lui, une instruction constitue une violation du règlement. Et l'article 28(5) précise que l'adhésion à un code de conduite approuvé ou à un mécanisme de certification approuvé peut servir d'élément pour démontrer les garanties suffisantes, ce qui est plus modeste qu'une présomption de conformité.

Personne n'est obligé de rédiger ces clauses depuis une page blanche. La Commission européenne a adopté, au titre de l'article 28(7), des clauses contractuelles types entre responsable de traitement et sous-traitant. Elles se lisent utilement, ne serait-ce que pour mesurer l'écart avec le contrat qu'un fournisseur propose.

Une clause absente ne se compense pas par la qualité de la relation commerciale. Elle est absente, et la condition posée par le texte n'est pas remplie.

Évaluer des garanties, pas des déclarations

Le prestataire des Arcades affirme que ses locaux sont sûrs et que ses équipes sont formées. La direction peut le croire sur parole, ou demander le rapport de la dernière vérification par un tiers. Les deux options ne se valent pas devant un contrôle.

Le mot de l'article 28(1) est garanties, pas engagements. Une garantie s'appuie sur un document qu'on peut ouvrir, daté, avec un périmètre écrit noir sur blanc.

Deux livrables reviennent systématiquement. Le certificat ISO/IEC 27001 atteste qu'un système de management de la sécurité satisfait la norme, sur un périmètre déclaré. Le rapport SOC 2 de type II décrit des contrôles et leur fonctionnement effectif sur une période. La différence entre certification et attestation est expliquée dans le billet sur la conformité et ne sera pas reprise ici.

Le réflexe qui compte porte sur la lecture de ces documents. Un certificat ISO 27001 dont la déclaration de périmètre couvre l'exploitation d'un centre de données ne dit rien du service applicatif qu'on achète. Un rapport SOC 2 se juge autant sur sa liste d'exceptions que sur l'opinion de l'auditeur en première page.

Ni l'un ni l'autre ne sont, en tant que tels, des certifications au sens de l'article 42 du RGPD : les mécanismes approuvés à ce titre restent rares. Ce sont des éléments de preuve sur l'état des pratiques de sécurité, ce qui est déjà considérable.

À côté des papiers, quelques mesures de l'article 32 se vérifient concrètement : le chiffrement en transit et au repos et la question de savoir qui détient les clés, l'authentification multifacteur sur les accès d'administration, la journalisation et sa durée de rétention, l'existence de restaurations de sauvegarde réellement testées, et la fréquence des tests d'efficacité prévue par l'article 32(1)(d).

Ce qu'on entend ou ce qu'on lit Ce que ça révèle
« Nous sommes conformes RGPD », sans document joint Une déclaration. Le règlement ne se certifie pas globalement
Un certificat ISO/IEC 27001 dont le périmètre ne couvre pas le service vendu Une preuve hors sujet : le périmètre et la date font toute la valeur du certificat
Un rapport SOC 2 de type I présenté comme équivalent à un type II Une photographie à une date, et non un fonctionnement observé dans la durée
La liste des sous-traitants ultérieurs « disponible sur demande » La chaîne ne peut pas être cartographiée avant la signature
Un refus de tout audit, y compris documentaire Une contradiction frontale avec l'engagement (h) de l'article 28(3)
Aucune procédure de remontée des violations vers le client L'obligation de l'article 33(2) n'est pas outillée chez le prestataire
Des réponses évasives sur l'hébergement et l'administration Le chapitre V ne peut pas être évalué

Restent deux vérifications peu coûteuses et souvent instructives : l'existence d'un délégué à la protection des données joignable, et la tenue du registre que l'article 30(2) impose aux sous-traitants. Un prestataire qui ne sait pas produire son propre registre en dit long sur sa maturité.

Une garantie se lit dans un périmètre, une date et un rapport que l'on peut ouvrir. Une déclaration commerciale, elle, se lit en une ligne et ne prouve rien.

Décider, et garder la trace

Aux Arcades, la direction finit par trancher. Elle retient un prestataire, en écarte deux autres, et range le dossier. Si un jour quelqu'un demande sur quelle base ce choix a été fait, c'est le classeur qui répond, pas la mémoire du directeur.

Cette trace n'est pas un excès de zèle administratif. Le principe de responsabilité de l'article 5(2) impose au responsable de traitement d'être en mesure de démontrer le respect du règlement. La due diligence est précisément la preuve que l'obligation de choix de l'article 28(1) a été honorée.

La décision se formule en trois issues plutôt qu'en oui ou non : approuvé, approuvé sous conditions à lever avant la mise en production, rejeté. La deuxième est la plus utile en pratique, à condition que les conditions portent une date et un responsable.

flowchart TD cadrage["Cadrage
données, finalités, durée, localisation"] art9{"Catégories particulières
ou données de mineurs ?"} aipd["Analyse d'impact
article 35"] garanties["Évaluation des garanties
certificats, rapports, mesures article 32"] hors{"Hébergement ou accès
hors UE ?"} chapv["Fondement du transfert
chapitre V"] contrat["Contrat article 28(3)
les huit engagements"] decision{"Décision"} refus["Rejeté
on cherche ailleurs"] conditions["Sous conditions
points à lever avant production"] ok["Approuvé
mise en production"] dossier["Dossier conservé
preuve article 5(2)"] reexamen["Réexamen daté
renouvellement, incident,
nouveau sous-traitant ultérieur"] cadrage --> art9 art9 -- "Oui" --> aipd art9 -- "Non" --> garanties aipd --> garanties garanties --> hors hors -- "Oui" --> chapv hors -- "Non" --> contrat chapv --> contrat contrat --> decision decision -- "Non" --> refus decision -- "Réserves" --> conditions decision -- "Oui" --> ok conditions --> ok ok --> dossier dossier --> reexamen reexamen --> garanties classDef etape fill:#ede9e1,stroke:#b5651d,color:#1a1a1a classDef cle fill:#b5651d,stroke:#5f5e5a,color:#f5f2ec classDef choix fill:#d89253,stroke:#5f5e5a,color:#1a1a1a classDef stop fill:#a0413e,stroke:#5f5e5a,color:#f5f2ec class cadrage,garanties,contrat cle class art9,hors,decision choix class aipd,chapv,conditions,ok,dossier,reexamen etape class refus stop

La boucle de réexamen est la partie que l'on oublie. Une évaluation faite en 2023 ne dit rien du prestataire de 2026, qui a peut-être changé d'hébergeur, absorbé un concurrent ou perdu son certificat.

Une fiche de décision tient en quelques lignes. Voici à quoi elle peut ressembler, sur l'exemple fictif du prestataire de fidélité des Arcades.

prestataire: "prestataire fidélité des Arcades"
role: "sous-traitant"
donnees: ["identité", "contact", "historique d'achats"]
categories_particulieres: false
hebergement: "UE"
administration_depuis: "UE"
sous_traitants_ulterieurs: ["routage e-mail", "hébergeur"]
preuves:
  - "certificat ISO/IEC 27001, périmètre plateforme fidélité"
  - "rapport SOC 2 type II, période de 12 mois, exceptions relevées et lues"
contrat: "engagements (a) à (h) présents, audit documentaire annuel"
decision: "approuvé sous conditions"
conditions_a_lever:
  - "MFA sur les accès d'administration"
  - "délai de remontée d'une violation ramené à 24 heures"
reexamen: "2027-06-30"
La due diligence sert autant après la signature qu'avant. C'est une pièce de preuve au sens de l'article 5(2), et elle ne vaut que si on la conserve.

Le point aveugle : les sous-traitants ultérieurs

Le prestataire du programme de fidélité ne fait pas tout lui-même. Il loue une plateforme d'envoi, confie l'impression des cartes à un façonnier, et son support de nuit est assuré par une société tierce. Le fichier des Arcades circule donc sur trois niveaux, alors que la direction n'a signé qu'avec un seul interlocuteur.

L'article 28(2) encadre ce recours en cascade : le sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, du responsable de traitement. En cas d'autorisation générale, il informe le responsable de tout changement prévu concernant l'ajout ou le remplacement d'un sous-traitant, ce qui donne au responsable la possibilité d'émettre des objections.

L'article 28(4) ferme la boucle. Les mêmes obligations de protection des données doivent être imposées par contrat au sous-traitant ultérieur, et lorsque celui-ci ne remplit pas ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable de traitement.

La conséquence pratique tient en une phrase : l'autorisation générale, qui est le régime standard des offres SaaS, ne supprime pas la vérification, elle la transforme en surveillance continue. Une notification de changement de sous-traitant est un événement de gouvernance, pas une lettre d'information à archiver sans lire. Encore faut-il que le préavis contractuel laisse le temps de réagir, ce qui est rarement le cas quand il se compte en quinze jours.

Le niveau de sécurité de la chaîne est celui de son maillon le plus faible, et le maillon le plus faible est souvent celui qu'aucune des parties ne connaît nommément. Quand l'incident survient trois niveaux plus bas, il remonte tout de même jusqu'au responsable de traitement, qui doit le qualifier et, le cas échéant, le notifier dans les 72 heures.

Une autorisation générale de sous-traitance ultérieure ne dispense de rien. Elle déplace l'effort de la sélection vers la surveillance des changements.

Dedalus Biologie : le sous-traitant sanctionné pour lui-même

Une affaire française recoupe point par point ce qui précède, et elle a l'avantage d'être documentée par une décision publiée.

Dedalus Biologie édite des logiciels destinés aux laboratoires d'analyses médicales. Dans cette activité, la société agit comme sous-traitant de ses clients laboratoires, qui sont les responsables des traitements portant sur les données de leurs patients. Début 2021, un vaste ensemble de données de santé concernant plusieurs centaines de milliers de personnes a été diffusé sur Internet.

La CNIL a prononcé une amende de 1,5 million d'euros contre la société, par la délibération SAN-2022-009 du 15 avril 2022. L'autorité a notamment retenu que la société était allée au-delà des instructions données par ses clients responsables de traitement lors d'une opération de migration, en extrayant un volume de données supérieur à ce que la demande prévoyait, ainsi que des manquements relatifs à l'encadrement contractuel de la sous-traitance et à la sécurité des données au sens de l'article 32.

Chacun de ces points renvoie à une ligne des tableaux plus haut. L'engagement (a) sur les instructions documentées est celui qui paraît le plus décoratif à la lecture d'un contrat : personne n'imagine qu'une équipe technique en fera un usage détourné. Il a pourtant été mis en défaut par un geste d'exploitation ordinaire.

Le manquement le plus parlant ne vient pas d'un piratage sophistiqué, mais d'une migration exécutée au-delà de ce que l'instruction prévoyait.

La leçon est double. D'une part, un sous-traitant répond de ses propres manquements : les obligations des articles 28 et 32 pèsent directement sur lui, et l'article 83(4)(a) place leur violation dans le champ des amendes administratives. Sur le terrain de la réparation, l'article 82(2) prévoit par ailleurs sa responsabilité lorsqu'il n'a pas respecté les obligations qui lui incombent en propre ou lorsqu'il a agi en dehors des instructions licites du responsable, ou contrairement à celles-ci. D'autre part, l'obligation de l'article 28(1) reste posée du côté de celui qui choisit. Le responsable de traitement qui confie sans vérifier ne se met pas à l'abri en désignant son prestataire.

Points clés

  • L'article 28(1) n'autorise le recours qu'à des sous-traitants présentant des garanties suffisantes : le choix lui-même est une obligation, démontrable au titre du principe de responsabilité de l'article 5(2).
  • Le cadrage du traitement (données, finalités, durée, localisation, sortie) occupe le premier paragraphe de l'article 28(3) : sans lui, le contrat ne peut pas être écrit.
  • Les huit engagements des lettres (a) à (h) couvrent chacun un moment de la vie du traitement, des instructions documentées jusqu'au droit d'audit. Une clause édulcorée est un signal, pas un détail de rédaction.
  • Un certificat ISO/IEC 27001 et un rapport SOC 2 de type II valent comme éléments de preuve, à condition de les lire au périmètre, à la date et aux exceptions près.
  • L'affaire Dedalus Biologie (CNIL, 1,5 million d'euros, délibération SAN-2022-009 du 15 avril 2022) montre qu'un sous-traitant répond de ses propres manquements, et que dépasser les instructions documentées suffit à en constituer un.

Dans la série

Palier 3 : Tenir la galerie. Domaine : Protection des données.

Pour aller plus loin