Sous-traitants et transferts hors UE

L'entreprise reste responsable de ses sous-traitants

Utiliser un prestataire externe (hébergeur, service d'emailing, outil SaaS) qui traite des données personnelles pour le compte de l'entreprise ne transfère pas la responsabilité RGPD à ce prestataire. L'entreprise reste responsable de traitement, le prestataire devient sous-traitant, et un contrat encadrant ce traitement (clauses RGPD spécifiques) est obligatoire.

Vérifier ses sous-traitants avant de les choisir

Avant d'adopter un nouvel outil SaaS qui traitera des données personnelles, l'IT doit vérifier :

• Où sont hébergées les données (dans l'UE ou hors UE)
• Le prestataire propose-t-il un contrat de sous-traitance conforme (souvent un Data Processing Agreement)
• Les mesures de sécurité mises en place par le prestataire

Transferts hors Union Européenne

Transférer des données personnelles vers un pays hors UE n'est autorisé que si ce pays offre un niveau de protection adéquat (reconnu par une décision d'adéquation de la Commission européenne), ou via des garanties contractuelles spécifiques comme les clauses contractuelles types.

De nombreux services cloud américains largement utilisés (hébergement, outils collaboratifs) impliquent potentiellement un transfert de données vers les États-Unis, un sujet juridiquement sensible et évolutif qui nécessite une vigilance particulière lors du choix d'un prestataire.

Cas concret

Une PME adopte un outil de sondage en ligne gratuit pour collecter les avis de ses clients, sans vérifier où le prestataire héberge les données ni s'il propose un contrat de sous-traitance conforme. Un an plus tard, lors d'un audit de conformité, il apparaît que les données sont hébergées hors UE sans garantie contractuelle appropriée, exposant l'entreprise à un risque de non-conformité malgré une utilisation "juste pour tester" initialement anodine.

Erreurs fréquentes

• Adopter un nouvel outil SaaS sans vérification préalable de sa localisation de données et de son contrat de sous-traitance, pensant que "c'est juste un test".
• Croire que la responsabilité RGPD se transfère entièrement au sous-traitant une fois un prestataire choisi : l'entreprise reste responsable de traitement en toutes circonstances.
• Ignorer la localisation réelle des données d'un service cloud, qui peut différer de la localisation commerciale ou du siège social affiché du prestataire.

À retenir

• L'entreprise reste responsable de traitement même en utilisant un sous-traitant externe, un contrat RGPD encadrant la relation est obligatoire.
• Vérifier la localisation des données et le contrat de sous-traitance avant d'adopter un nouvel outil SaaS, pas après.
• Un transfert de données hors UE nécessite un cadre juridique spécifique (décision d'adéquation ou clauses contractuelles types).

Mini-exercice

Une équipe IT adopte "juste pour tester" un outil SaaS gratuit qui finit par traiter des données de plusieurs centaines de clients réels. Quelle vérification aurait dû être faite avant l'adoption, même pour un simple test ?

Réponse : vérifier la localisation d'hébergement des données et l'existence d'un contrat de sous-traitance conforme au RGPD, indépendamment du caractère "test" initial : dès qu'une donnée personnelle réelle transite par l'outil, les obligations RGPD s'appliquent pleinement.