Un contrat de traitement des données est un accord écrit entre deux parties : celle qui détermine pourquoi et comment les données à caractère personnel sont traitées, et celle qui l'exécute en son nom. La première est appelée responsable du traitement dans le RGPD, la seconde est le sous-traitant. Vous avez besoin d'un tel accord dès que vous confiez le traitement de données à caractère personnel à une autre entreprise, par exemple un cabinet de paie, un prestataire d'hébergement ou un outil SaaS contenant des données clients.
Le principe est simple : la loi impose cet accord car le responsable du traitement reste responsable de ce qui advient des données, même si une autre entreprise effectue le travail technique. Sans accords clairs, il n'est pas établi ce que l'autre partie peut ou ne peut pas faire avec les données, combien de temps elles sont conservées et ce qui se passe en cas de violation de données. Un contrat de traitement des données rend cette répartition visible.
Quand s'agit-il d'un sous-traitant
Toute partie avec laquelle vous collaborez n'est pas nécessairement un sous-traitant. Un comptable qui établit votre bilan avec sa propre responsabilité professionnelle est généralement lui-même responsable du traitement pour cette tâche. Un service cloud qui stocke et traite votre portefeuille de clients selon vos instructions est généralement un sous-traitant. La distinction réside dans la question de savoir qui détermine l'objectif et les moyens du traitement. Si vous doutez qu'une partie soit un sous-traitant, la base de connaissances de l'Autorité néerlandaise pour la protection des données vous oriente, et vous pouvez également vérifier cette situation dans la base de connaissances avec des sujets relatifs au RGPD par situation.
Ce qui doit minimalement figurer
Le RGPD énumère plusieurs sujets qui doivent être réglementés dans un contrat de traitement des données : l'objet et la durée du traitement, sa nature et son objectif, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et droits du responsable du traitement, ainsi que les accords concernant la sécurité, la confidentialité, les sous-traitants et la manière de coopérer aux contrôles. Il indique également comment gérer une éventuelle violation de données chez le sous-traitant et ce qui advient des données une fois la collaboration terminée.
Cette énumération figure littéralement dans le règlement lui-même ; si vous souhaitez relire la formulation exacte, vous la trouverez sur EUR-Lex. Les autorités de contrôle comme le CEPD ont en outre publié des lignes directrices sur la manière dont ces dispositions sont interprétées dans la pratique, par exemple concernant la question de savoir quand un sous-traitant doit être signalé au préalable.
Qui établit l'accord
En pratique, la partie la plus importante fournit souvent le modèle : un éditeur de logiciels envoie son propre contrat de traitement des données avec la conclusion d'un abonnement, ou un client vous l'envoie parce que vous traitez des données pour lui. Cela ne signifie pas que vous devez simplement signer un texte fourni. Il est recommandé de vérifier que tous les sujets mentionnés sont présents, que les accords de sécurité correspondent à ce que vous attendez de l'autre partie, et que la responsabilité est raisonnablement répartie. En cas de doute sur une clause spécifique, il est judicieux de la soumettre à un juriste.
Pourquoi c'est plus qu'une signature
Un contrat de traitement des données n'est pas une formalité que vous réglez une seule fois et oubliez ensuite. Dès qu'un fournisseur d'outils change, qu'un sous-traitant est engagé en dehors de l'UE, ou que la nature du traitement des données change, le contrat existant peut devenir obsolète. Les entreprises qui travaillent avec plusieurs outils SaaS ont rapidement dix à vingt de ces contrats en cours, chacun avec sa propre durée et ses propres accords. Tenir à jour quels accords existent, lesquels sont obsolètes et lesquels manquent est une tâche à part entière aux côtés des opérations commerciales quotidiennes.
Les accords de sécurité qui figurent dans le contrat méritent également l'attention : ils disent quelque chose sur la manière dont un sous-traitant gère l'accès, le chiffrement et les notifications en cas d'incidents. Pour en savoir plus sur ce qui est pertinent à cet égard, lisez la page sur la sécurité des données à caractère personnel chez les sous-traitants.
Ce que vous pouvez faire vous-même
Vérifiez à chaque nouveau partenariat si des données à caractère personnel sont partagées, et le cas échéant, si un contrat de traitement des données est nécessaire et présent. Conservez ces contrats de manière claire, ainsi que le registre des activités de traitement indiquant quel outil traite quelles données. Si vous doutez qu'un contrat spécifique soit complet, vous pouvez le faire vérifier gratuitement sur ses éléments essentiels. Pour les questions fréquemment posées sur ce sujet, comme ce qui se passe si un fournisseur refuse de signer un contrat, consultez l'aperçu sur la page des questions fréquemment posées sur le RGPD.
Voulez-vous savoir comment cela s'inscrit dans votre propre situation, par exemple combien de contrats de traitement des données vous aurez probablement besoin et lesquels d'entre eux méritent une attention particulière? Effectuez le contrôle rapide gratuit ou créez un compte professionnel pour suivre l'aperçu. Vous verrez ainsi en quelques minutes où vous en êtes, sans être immédiatement obligé à quoi que ce soit.