L'erreur la plus courante lors de l'examen d'un contrat de traitement de données est que les entreprises signent le document sans vérifier qui assume quel rôle dans cette relation. Un contrat de traitement de données régit les accords entre un responsable du traitement, qui détermine pourquoi et comment les données sont traitées, et un sous-traitant, qui effectue ce traitement sur ses instructions. Si cette répartition des rôles n'est pas vérifiée, vous signez parfois un document qui ne s'applique pas du tout à votre situation, ou vous manquez justement un contrat qui aurait dû exister.
En outre, trois autres points posent souvent problème : les sous-traitants qui ne sont pas mentionnés, les mesures de sécurité décrites uniquement en termes généraux, et aucun accord sur ce qu'il advient des données dès l'arrêt de la collaboration. Ce ne sont pas des détails mineurs mais l'essence même de la raison d'être d'un contrat de traitement de données : fixer clairement qui est responsable de quoi, aussi longtemps que dure la collaboration et aussi après.
Ne pas vérifier la répartition des rôles
Un contrat de traitement de données part d'une répartition fixe : une partie détermine le but et les moyens du traitement, l'autre effectue ce traitement selon les instructions. En pratique, ces rôles changent parfois selon les tâches. Un cabinet comptable est un sous-traitant pour la gestion de la paie d'un client, mais responsable du traitement pour ses propres données de personnel. Celui qui signe un accord sans déterminer ce rôle ne sait pas avec certitude si le bon document est signé. Le RGPD lui-même décrit cette répartition des rôles, et les lignes directrices du CEPD en traitent en détail.
Les sous-traitants qui restent sans désignation
De nombreux outils SaaS engagent à leur tour d'autres parties, par exemple pour l'hébergement ou le service clientèle. Un contrat de traitement de données doit indiquer si cela est autorisé, sous quelles conditions et si vous êtes informé au préalable. Si cette disposition manque, vous ne savez simplement pas quelles parties ont en pratique accès aux données que vous fournissez. C'est exactement le type d'information que vous pouvez consulter dans la base de connaissances par sujet avant de signer.
La sécurité décrite uniquement en termes généraux
Une phrase comme « des mesures techniques et organisationnelles appropriées seront mises en place » dit peu en soi. Un accord qui va plus loin énonce concrètement ce que ces mesures signifient : chiffrement, contrôle d'accès, sauvegardes, procédures de signalement en cas d'incident. Plus cela est spécifié, plus il est clair ce qu'un prestataire fait réellement. Pour comparaison, sur la page concernant la façon dont nous traitons nous-mêmes les données et la sécurité vous pouvez voir à quoi ressemble une telle explication en pratique.
Aucun accord sur la fin de la collaboration
Qu'advient-il des données une fois le contrat terminé ? Sont-elles retournées, détruites ou restent-elles quelque part ? C'est l'un des points les plus souvent omis, alors qu'il est précisément difficile de conclure des accords après la fin d'une collaboration. Un contrat de traitement de données qui ne dit rien à ce sujet vous laisse avec une lacune dans votre documentation au moment où vous en avez le moins besoin.
Comment l'éviter
La plupart de ces erreurs ne naissent pas d'une mauvaise volonté mais d'un manque de temps : un contrat de traitement de données est considéré comme une formalité alors qu'il s'agit en substance de quatre ou cinq points concrets. Vérifiez ces points avant de signer et interrogez le prestataire si quelque chose manque ou est formulé de manière vague. Si vous doutez d'une disposition spécifique, consultez un avocat ou, pour les questions concernant l'interprétation du RGPD lui-même, l'Autorité de protection des données. Vous trouverez également des réponses aux questions fréquemment posées sur ce type de documents sous les questions fréquemment posées sur les contrats de traitement de données.
Cette explication est destinée à vous aider à comprendre ce qui doit figurer dans un contrat de traitement de données, et non à évaluer si un document spécifique que vous avez reçu y satisfait. La façon dont nous obtenons cette information et les sources sur lesquelles elle s'appuie sont décrites sur la page sur le fonctionnement.
Voulez-vous voir rapidement où en est votre entreprise ? Effectuez l'analyse rapide gratuite ou parcourez les sujets de la base de connaissances pour voir quelle étape est pertinente pour votre situation.