L’accord doit décrire le traitement effectif
Un accord de traitement des données, souvent appelé DPA (Development Process Agreement), complète le contrat de service. Il est pertinent lorsqu’un prestataire traite des données personnelles pour le compte de son client, notamment pour l’hébergement, le support technique, la diffusion de newsletters ou une application cloud. Le facteur déterminant est l'utilisation effective des données, et non l'intitulé du document.
L'accord doit clarifier les responsabilités. Il doit notamment préciser les activités de traitement effectuées, les instructions applicables et les mesures prises par le prestataire pour assurer la protection des données. Un texte standard trop long est inefficace s'il décrit un produit totalement différent. Par conséquent, les acheteurs doivent examiner les conditions générales conjointement à l'offre, à la documentation technique et à l'utilisation prévue.
L'existence d'un traitement de données pour le compte d'un responsable du traitement et l'accord requis dépendent de la relation spécifique et du droit applicable. Une liste de contrôle générale ne saurait remplacer cette classification juridique. Il est conseillé de solliciter l'avis d'un expert en cas de rôles flous, de données sensibles ou d'activités de traitement inhabituelles. Des flux de données, des responsabilités et des détails contractuels clairement définis constituent une base factuelle fiable à cet égard.
Les rôles des responsables du traitement et des sous-traitants sont distincts.
Le responsable du traitement détermine les finalités et les moyens essentiels du traitement. Le sous-traitant traite les données personnelles pour le compte du responsable du traitement et conformément à ses instructions documentées. Ces termes décrivent les rôles en matière de protection des données et n'établissent pas de hiérarchie générale entre les entreprises. Un grand fournisseur de plateforme peut être un sous-traitant, tandis qu'un petit client peut être le responsable du traitement pour le traitement en question.
Les rôles peuvent varier selon la fonction. Un fournisseur peut traiter des données client pour le compte d'un tiers, mais utiliser certaines données contractuelles ou de facturation à ses propres fins. Dans ce cas, il doit préciser le rôle qu'il assume pour chaque traitement. Une déclaration générale selon laquelle toutes les données sont traitées uniquement pour le compte d'un tiers n'est pas très utile si les descriptions de produits ou les mentions légales relatives à la protection des données font également état de ses propres utilisations.
Un contrat ne peut pas modifier les rôles effectifs par simple changement d'intitulé. Il est donc essentiel de définir clairement qui décide de l'utilisation des données avant la signature. Si le prestataire définit une nouvelle finalité indépendamment du client, celle-ci risque de sortir du cadre de l'accord de traitement des données convenu. Ces limites doivent être clairement expliquées afin que les responsabilités, l'information des personnes concernées et les autres bases légales puissent être correctement évaluées.
L'objet, la durée et les types de données doivent être précisés.
L'accord doit identifier clairement quel service est fourni avec quelles données personnelles. Des formulations générales telles que « fourniture des services convenus » sont souvent insuffisantes pour comprendre le flux de données. Dans un système d'assistance, les coordonnées, le contenu des messages et les données d'utilisation technique peuvent être concernés. Les catégories de personnes concernées, telles que les clients, les employés ou les candidats, doivent également correspondre à l'utilisation réelle.
Le type et la finalité du traitement sont tout aussi importants. Le stockage, la transmission, l'évaluation et la suppression correspondent à des processus différents. La finalité explique pourquoi ces processus ont lieu, par exemple pour traiter les demandes d'assistance ou pour gérer une plateforme client. Plus ce lien est décrit précisément, plus il est facile de déterminer ultérieurement si une nouvelle fonctionnalité du produit est toujours couverte par le contrat ou si elle nécessite une nouvelle décision.
La durée de conservation doit être adaptée au service et au processus de suppression. Il arrive que le traitement se poursuive pendant toute la durée du contrat, tandis que les copies de sauvegarde sont conservées pendant une durée limitée. Cette situation ne doit pas être masquée par une durée de conservation indéfinie. Les acheteurs ont besoin d'une vision réaliste du moment où les données actives sont supprimées, de la durée de conservation des copies techniques et des obligations légales qui pourraient empêcher une suppression immédiate.
Les instructions doivent être applicables en pratique.
Les sous-traitants doivent traiter les données personnelles conformément aux instructions documentées, sauf obligation légale contraire. Dans les logiciels standards, une grande partie de ces instructions est déjà intégrée au contrat principal, à la sélection du produit et aux paramètres. L'accord de traitement des données (ATD) doit être conforme à ces éléments. Une clause générale relative aux instructions individuelles arbitraires est peu utile si l'on ignore par quel moyen de communication et dans quel cadre technique elles peuvent être mises en œuvre.
Préciser quelles modifications sont considérées comme de nouvelles instructions. L'activation d'une fonction d'analyse, un nouvel emplacement de stockage ou des durées de conservation plus longues peuvent modifier le traitement. Certains paramètres sont contrôlés par le client, d'autres uniquement par le fournisseur. Les acheteurs doivent comprendre les options disponibles et leurs conséquences. Un contrat ne peut compenser l'absence ou la nature trompeuse des contrôles produits par des droits abstraits.
Conformément au Règlement général sur la protection des données (RGPD), le fournisseur doit informer le client s'il considère une instruction comme illicite. L'accord doit définir une procédure pratique pour ce cas : qui sera informé, que se passe-t-il en attendant la clarification de la situation et quelles activités de traitement peuvent être suspendues ? Des personnes de contact et des canaux d'escalade clairement définis sont plus précieux qu'une formulation qui se contente de réitérer le principe juridique.
La confidentialité et la sécurité doivent être adaptées au risque.
Les personnes traitant des données pour le fournisseur doivent être liées par des accords de confidentialité ou soumises à une obligation légale équivalente. Il est également important que les acheteurs comprennent comment l'accès est limité au quotidien. L'assistance requiert-elle un accès standard au contenu, ou cet accès est-il accordé uniquement dans des cas spécifiques ? Les rôles, les autorisations et la journalisation doivent être conformes au service promis.
Les mesures techniques et organisationnelles décrivent la protection du traitement des données. Celles-ci peuvent inclure le contrôle d'accès, le chiffrement, les sauvegardes, la restauration et les audits réguliers. Une simple liste de termes de sécurité courants ne dit pas grand-chose sur leur application. Les acheteurs doivent pouvoir comprendre quelles données sont protégées et quand, qui contrôle les clés ou l'accès, et quelles mesures s'appliquent réellement au produit choisi.
La sécurité n'est pas un actif statique. Les systèmes et les risques évoluent à mesure que les fournisseurs adaptent leur infrastructure. L'accord doit permettre des améliorations significatives sans pour autant réduire insidieusement le niveau de protection convenu. Les clients doivent être suffisamment informés des changements importants. La définition d'un changement important dépend du service, mais peut inclure de nouveaux emplacements de stockage, des méthodes d'accès différentes ou la suppression d'une mesure de sécurité centrale.
Les autres fournisseurs de services ne doivent pas rester invisibles.
De nombreux fournisseurs ne fournissent pas leurs services seuls. Ils font appel à des centres de données, des services de messagerie ou des sociétés de support qui peuvent agir en tant que sous-traitants. L'accord de traitement des données (ATD) doit préciser si une autorisation spécifique ou générale s'applique. En cas d'autorisation générale, les clients doivent être informés de toute modification envisagée et avoir la possibilité de s'y opposer.
Une liste de sous-traitants n'est utile que si elle reste compréhensible. Le nom, le rôle et le lieu de traitement permettent d'identifier la partie du service prise en charge par chaque entreprise. Une simple énumération de noms d'entreprises sans indication de fonction masque le flux de données. Il convient également d'indiquer clairement où trouver les informations à jour et comment les clients seront informés des nouveaux fournisseurs ou des remplacements.
Le fournisseur principal demeure responsable de l'imposition des mêmes obligations de protection des données à ses sous-traitants. Les acheteurs n'ont pas à négocier eux-mêmes chaque contrat de sous-traitance, mais doivent bénéficier de garanties suffisantes tout au long de la chaîne. Une objection à un nouveau fournisseur ne doit pas être purement théorique. Les conséquences contractuelles, les alternatives possibles et tout droit de résiliation doivent être clairement expliqués dans le contrat principal.
Une assistance doit être facilement accessible pour les droits des personnes concernées et en cas d'incident.
Les personnes peuvent exercer leurs droits relatifs à leurs données personnelles. Le responsable du traitement demeure responsable du traitement, mais a souvent besoin de l'assistance du prestataire de services. Le contrat doit décrire comment les données peuvent être consultées, corrigées, exportées ou supprimées. Pour une fonction en libre-service, il est important de préciser si elle couvre toutes les données pertinentes ou si des demandes supplémentaires auprès du prestataire sont nécessaires.
En cas de violation de données personnelles, le sous-traitant doit en informer le responsable du traitement sans délai indu après en avoir pris connaissance. Pour l'acheteur, les informations qu'il reçoit et la manière dont il les reçoit sont cruciales. Un formulaire d'assistance difficile à trouver peut entraîner une perte de temps précieuse. Des contacts d'urgence désignés et des mises à jour régulières permettent d'évaluer l'impact, les données affectées et les mesures prises.
Une assistance peut également être requise pour les analyses d'impact relatives à la protection des données et les demandes d'informations des autorités de contrôle. La portée et les limites pratiques de cette assistance dépendent du service et des informations disponibles. Par conséquent, les engagements d'assistance générale doivent être assortis de conditions et de coûts potentiels. Les acheteurs doivent pouvoir identifier les preuves fournies par défaut et savoir quand une enquête spéciale ou une assistance d'expert fera l'objet d'un accord spécifique.
La suppression, la restitution et la révision des données nécessitent une approche réaliste.
Une fois le service terminé, les données personnelles doivent être supprimées ou restituées au choix du responsable du traitement, sauf obligation légale de conservation. Ce choix doit être techniquement réalisable. Les acheteurs doivent connaître le format des données qui leur seront remises, la durée de disponibilité d'une exportation et la date de vidage des systèmes actifs. Un format d'exportation illisible rend un droit de restitution formel pratiquement inopérant.
Les copies de sauvegarde ne peuvent généralement pas être supprimées individuellement et immédiatement. Par conséquent, une durée de conservation limitée, une protection contre l'utilisation normale et une procédure de suppression traçable sont nécessaires. Les déclarations concernant la suppression ultérieure dans le cadre du cycle régulier doivent préciser un délai compréhensible. Il convient également d'indiquer clairement si les journaux, les pièces jointes de support et les copies de test suivent les mêmes règles ou s'ils sont conservés plus longtemps en raison d'autres obligations.
Le fournisseur doit mettre à disposition les informations nécessaires pour démontrer sa conformité à ses obligations et permettre les audits. Dans le cas des services cloud courants, des rapports indépendants, des certificats et des déclarations standardisées sont souvent utilisés à cette fin. Ces documents peuvent être instructifs si leur portée, leur période et le service concerné sont appropriés. Un droit d'audit plus étendu demeure important, mais doit prendre en compte la sécurité des autres clients, la confidentialité et une procédure proportionnée.
Un accord de traitement des données (ATD) ne résout pas automatiquement les problèmes liés aux transferts internationaux de données.
Si des données sont traitées en dehors de l'Espace économique européen (EEE) ou rendues accessibles depuis celui-ci, des questions supplémentaires se posent. Un ATD conclu conformément à l'article 28 ne constitue pas automatiquement la base juridique complète. Les acheteurs doivent être informés des lieux de traitement, des accès distants potentiels et des entreprises impliquées. La simple mention d'un « hébergement UE » est insuffisante si le support ou l'administration peuvent être régulièrement assurés depuis un pays tiers.
Selon le pays et les circonstances, une décision d'adéquation, des clauses contractuelles types ou d'autres instruments peuvent être pertinents. Le fondement juridique approprié et les mesures complémentaires nécessaires doivent être évalués pour chaque transfert. Le contrat ne doit pas mélanger différents documents utilisant des abréviations similaires. Un accord de traitement des données (ATD) régit le traitement des données pour le compte d'un responsable du traitement, tandis que les clauses contractuelles types traitent différentes problématiques de transfert selon leur application.
Les modifications doivent également être prises en compte. Un nouveau sous-traitant ou un nouveau site de support peut modifier une évaluation précédente. Les clients doivent donc être informés avant le début du nouveau traitement et disposer d'un délai suffisant pour un examen approfondi. Un avis juridique est particulièrement recommandé pour les chaînes de transfert de données complexes. Des clauses contractuelles claires et concises établissent le fondement factuel, mais ne remplacent pas l'évaluation juridique nécessaire.
Un bon accord peut être illustré par le produit.
Avant la signature, une personne compétente doit être en mesure de décrire le flux de données en termes simples. Quelles données sont transmises au fournisseur, à quoi servent-elles, qui y a accès et quand sont-elles supprimées ? Les réponses doivent être cohérentes pour l’ensemble du produit, du contrat principal, de l’accord de traitement des données (ATD) et de la documentation de sécurité. Toute incohérence nécessite des clarifications, et non l’hypothèse qu’une annexe plus spécifique résoudra automatiquement tous les problèmes.
Impliquez les services de protection des données, de sécurité de l'information, d'approvisionnement et le département responsable en fonction du risque. Chaque perspective met en lumière des lacunes différentes : rôles juridiques, garanties, implications contractuelles ou fonctionnalité inadaptée du produit. Pour un service de petite taille et à faible risque, l'analyse reste gérable. Un traitement important ou sensible justifie une analyse plus approfondie. L'essentiel est de réaliser une analyse pertinente, et non de fournir la même quantité de documentation à chaque prestataire.
Un accord de traitement des données (ATD) clair et compréhensible ne garantit pas à lui seul la sécurité, mais il permet de définir clairement les attentes. Il établit un lien entre le traitement délégué, les instructions, la protection, le support, les sous-traitants et la fin d'utilisation. Lorsque ces éléments reflètent fidèlement le service rendu, les acheteurs peuvent mieux évaluer les responsabilités et identifier les changements plus tôt. Toute question juridique restante doit être traitée par un avocat spécialisé, et non en se basant sur des interprétations de clauses types.
Sources de référence
- EUR-Lex : Règlement général sur la protection des données (RGPD), Règlement (UE) 2016/679
- CEPD : Lignes directrices 07/2020 relatives aux notions de responsable du traitement et de sous-traitant au sens du RGPD
- Commission européenne : Clauses contractuelles types entre responsables du traitement et sous-traitants