Si le prestataire avec lequel vous concluez un accord de traitement se trouve en dehors de l'Union européenne ou de l'Espace économique européen, l'accord de traitement lui-même ne change pas substantiellement. Les mêmes éléments que le RGPD prescrit — l'objet et la durée du traitement, la nature et l'objectif, le type de données, les catégories de personnes concernées, et vos obligations et droits en tant que responsable du traitement — doivent toujours y figurer, quel que soit le lieu d'établissement du prestataire.
Ce qui s'ajoute effectivement, c'est une couche de règles supplémentaires : le RGPD impose des conditions supplémentaires au transfert de données à caractère personnel vers un pays en dehors de l'UE ou de l'EEE. Cette couche vous oblige à vérifier si une garantie supplémentaire aux accords ordinaires figurant dans l'accord de traitement est nécessaire pour ce pays spécifique, et si c'est le cas, laquelle.
Ce qui reste le même
Le cœur d'un accord de traitement concerne la relation entre vous et la partie qui traite les données en votre nom : qui fait quoi, dans quel but, pendant combien de temps, et ce qui se passe en cas de violation de données ou de fin de la collaboration. Ces accords s'appliquent à tout responsable du traitement, qu'il soit basé à Rotterdam, Dublin ou San Francisco. Un prestataire en dehors de l'UE ne vous dispense donc pas de l'examen habituel d'un accord de traitement ; cet examen reste nécessaire, il y a simplement quelque chose en plus.
Les règles de transfert : la couche supplémentaire
Le RGPD régit séparément les conditions dans lesquelles les données à caractère personnel peuvent quitter le territoire de l'UE ou de l'EEE. Le principe de base est que le niveau de protection des données ne doit pas diminuer du fait de leur transfert vers un autre pays. Pour un certain nombre de pays, la Commission européenne a établi que le niveau de protection y est suffisant ; c'est ce qu'on appelle une décision d'adéquation, et elle ne s'applique pas automatiquement à un pays entier, mais parfois uniquement à un secteur ou à un dispositif particulier. En l'absence de décision d'adéquation, un mécanisme très utilisé est celui des clauses contractuelles types que la Commission européenne publie : un modèle établi qui est utilisé en complément ou en annexe à l'accord de traitement. La variante applicable et son caractère actuel peuvent changer ; la source des listes et modèles actuels se trouve auprès de la Commission européenne et de l'Autorité de protection des données, et non dans un texte fixe que vous puissiez retenir.
Le cloud rend la question plus compliquée qu'il n'y paraît
Pour de nombreux outils SaaS, la question « mon prestataire se trouve-t-il dans l'UE » semble plus simple qu'elle ne l'est réellement. Un prestataire peut avoir un siège social européen et néanmoins faire appel à des sous-traitants, à des centres de données pour la sauvegarde, ou à du personnel d'assistance en dehors de l'UE. Cela compte aussi comme un transfert, même si le siège principal est aux Pays-Bas ou en Allemagne. La question n'est donc pas seulement de savoir où le prestataire est établi, mais où les données finissent réellement par être traitées, y compris les maillons qui s'y rattachent.
Ce que vous pouvez vérifier en pratique
Un prestataire qui gère ses affaires correctement peut généralement indiquer où les données sont traitées et stockées, si des sous-traitants en dehors de l'UE sont engagés, et quel mécanisme de transfert a été appliqué à cet effet. Ce type de questions a sa place dans la même évaluation que le reste de l'accord de traitement : non comme un exercice séparé après coup, mais comme faisant partie de la lecture de l'accord lui-même. Ceux qui y cherchent une structure trouveront dans la base de connaissances expliquée par sujet comment les différentes situations se rapportent les unes aux autres.
Pourquoi la source est particulièrement importante ici
Parce que les listes de décisions d'adéquation et les modèles de clauses contractuelles types évoluent dans le temps, le risque d'une hypothèse obsolète est plus important ici que pour la plupart des autres sujets relatifs au RGPD. Un texte qui est correct aujourd'hui ne l'est peut-être pas dans un an. C'est pourquoi, pour ce type de sujets, nous travaillons toujours avec une référence directe à la source plutôt qu'avec un résumé qui doit se suffire à lui-même ; comment cela fonctionne exactement, vous pouvez le lire sur la page sur l'origine de nos informations.
Ce que cela signifie pour votre registre et vos contrats
Si vous suivez les fournisseurs que vous utilisez et où ils sont établis, vous verrez en un coup d'œil pour quels contrats de traitement les règles de transfert jouent un rôle et pour lesquels ce n'est pas le cas. C'est précisément pourquoi le pays d'établissement est une partie fixe de la façon dont nous enregistrons un fournisseur dans le système. Les questions qui reviennent fréquemment sur ce thème sont rassemblées dans les questions fréquemment posées sur les fournisseurs et les données en dehors des Pays-Bas.
Que votre situation nécessite réellement une garantie supplémentaire, et laquelle, c'est finalement à vous ou à votre juriste d'en décider ; nous fournissons des clarifications et une structure, pas des conseils juridiques. En cas de doute sur l'application dans un cas spécifique, vous pouvez également contacter l'Autorité de protection des données.
Voulez-vous obtenir un aperçu clair de vos fournisseurs qui sont dans l'UE et lesquels sont en dehors, et s'il existe un contrat de traitement avec les garanties appropriées ? Effectuez la vérification gratuite d'un contrat de traitement ou ouvrez un compte professionnel pour le suivre dans votre registre.