Le cœur de l'accord de traitement figure dans le RGPD lui-même, et ce texte ne change pas chaque année. Ce qui évolue, c'est la pratique qui l'entoure : les fournisseurs que vous utilisez, la façon dont ces fournisseurs font appel à leurs propres sous-traitants, et les règles relatives au transfert de données en dehors de l'Union européenne, que la Commission européenne ajuste de temps à autre. Pour la plupart des petites et moyennes entreprises, vous ne le remarquerez pas dans votre propre contrat, mais dans l'annexe qui l'accompagne : la liste des sous-traitants que votre fournisseur engage.
Cela rend cette distinction importante. L'obligation de conclure un accord de traitement avec chaque partie qui traite des données à caractère personnel en votre nom reste inchangée. Ce qui change se trouve dans les détails qui dépendent de cette obligation : quels sous-traitants sont actifs, si un fournisseur fait traiter des données en dehors de l'UE, et quels accords à ce sujet sont considérés comme adéquats à un moment donné.
Ce qui ne change pas dans la loi elle-même
L'obligation d'un accord de traitement, les éléments minimaux qui doivent y figurer, et le rôle du responsable du traitement vis-à-vis du sous-traitant : ce sont des éléments fixes du RGPD. Il n'y a actuellement aucune modification annoncée de ces dispositions. Lorsque cela se produira, cela se fera par une modification du règlement lui-même ou par une décision de la Cour de justice de l'Union européenne, et non par un simple communiqué d'une autorité de contrôle.
Ce qui évolue dans la pratique
Trois choses changent généralement, et souvent sans que vous ne le remarquiez immédiatement. Premièrement, les fournisseurs de logiciels élargissent leurs fonctionnalités, par exemple en ajoutant des fonctions d'IA au-dessus d'un outil existant. Cela peut signifier qu'un nouveau sous-traitant apparaît que vous ne connaissiez pas. Deuxièmement, les autorités de contrôle et l'EDPB mettent régulièrement à jour leurs directives sur des sujets spécifiques, comme le stockage en nuage ou les transferts internationaux, sans que la loi elle-même ne change. Troisièmement, la Commission européenne ajuste parfois les clauses types utilisées pour le transfert de données vers des pays en dehors de l'UE.
Sous-traitants : le changement silencieux
L'évolution la plus importante d'un accord de traitement ne se trouve pas dans le document principal, mais dans l'annexe concernant les sous-traitants. Un logiciel de comptabilité qui engage un nouveau partenaire d'hébergement, un outil RH qui externalise le service client auprès d'un centre d'appels dans un autre pays : ce sont des changements qui, selon le RGPD, doivent vous être signalés, afin que vous puissiez évaluer si vous soulevez une objection. En pratique, c'est précisément la partie que les entreprises oublient le plus facilement, car elle est souvent mentionnée dans un e-mail accompagnant une mise à jour produit et non dans un avis juridique séparé.
Transfert en dehors de l'UE
Si un fournisseur fait traiter des données en dehors de l'Union européenne, il doit y avoir une base légale distincte pour cela, par exemple les clauses types de la Commission européenne ou une décision attestant qu'un pays offre un niveau de protection adéquat. Ces bases légales sont revérifiées de temps à autre ; ce qui était considéré comme adéquat à un moment donné peut être ajusté ultérieurement. Pour vous, en tant que client d'un fournisseur SaaS, cela signifie que la base légale d'un accord existant peut changer sans que le contrat lui-même soit modifié. Ce que cela signifie concrètement pour vos propres fournisseurs ne peut pas être dit de manière générale ; cela nécessite un examen de l'accord spécifique et de la situation actuelle auprès de l'Autorité néerlandaise de protection des données.
Ce que cela signifie pour vos propres accords
La question pratique n'est pas de savoir si la loi a changé, mais si les sous-traitants et les règles de transfert selon vos contrats existants correspondent encore à ce que vous aviez autrefois convenu ou vérifié. Cela signifie vérifier régulièrement si un fournisseur a signalé de nouveaux sous-traitants, et si les annexes de vos contrats de traitement restent à jour. Pour une première orientation sur ce qui doit exactement figurer dans un tel contrat, vous pouvez consulter la base de connaissances sur les contrats de traitement; elle est accessible gratuitement et organisée par sujet, avec la référence à la loi à l'appui.
Il est judicieux de ne pas considérer cela comme un contrôle ponctuel, mais comme quelque chose qui continue tant que vous utilisez des fournisseurs qui traitent des données en votre nom. Celui qui utilise plusieurs outils SaaS et ne sait pas exactement quels sous-traitants en dépendent peut le trouver dans la foire aux questions sur les contrats de traitement en cours. Et en cas de doute sur la question de savoir si un changement signalé chez un fournisseur a des conséquences sur votre propre responsabilité, il est conseillé de le faire vérifier par un avocat ou, en cas de doute sur l'autorité de contrôle compétente, de vous adresser à l'autorité de protection des données.
Les entrepreneurs qui souhaitent savoir à quoi ressemble cette surveillance dans la pratique peuvent lire d'où vient l'information sur gdpria.eu et comment les changements chez les fournisseurs sont suivis.
Vérifier par vous-même où vous en êtes
La plupart de la confusion sur « qu'est-ce qui a changé cette année » ne provient pas d'une modification de la loi, mais d'un fournisseur qui a apporté une modification sans que vous l'ayez remarqué. Si vous voulez voir en quelques minutes si votre situation nécessite une attention particulière, vous pouvez effectuer l'évaluation rapide gratuite ou parcourir la base de connaissances sur les sujets pertinents pour votre entreprise.