Sous-traitants et hébergeurs : la chaîne de responsabilité

Vous n'hébergez presque jamais toutes vos données vous-même : un outil de facturation, un service d'emailing, un hébergeur web traitent des données pour votre compte. Ce sont des sous-traitants, et cette chaîne engage aussi votre responsabilité.

Qu'est-ce qu'un sous-traitant

Un sous-traitant traite des données personnelles pour vous, selon vos instructions. Votre prestataire d'emailing, par exemple, manipule les adresses de vos contacts. Vous restez responsable du traitement, mais lui doit présenter des garanties.

Ce qu'il faut vérifier

• que le prestataire présente des garanties de sécurité sérieuses ;
• où les données sont hébergées, et les garanties en cas de transfert hors d'Europe ;
• que ces sous-traitants figurent dans votre registre.

Les transferts hors d'Europe

Certains outils hébergent des données hors de l'Union européenne. Ce n'est pas interdit, mais cela suppose des garanties appropriées. Le savoir et le documenter fait partie de votre maîtrise de la chaîne.

Le cadre écrit avec le sous-traitant

La relation avec un prestataire qui traite des données pour vous doit être encadrée par écrit. Pour les grands outils en ligne, ce cadre prend généralement la forme de conditions ou d'un accord sur le traitement des données proposé par l'éditeur, à lire et à conserver. Pour un prestataire local, comme un développeur ou un cabinet, une clause dédiée dans le contrat remplit ce rôle.

Les questions à poser avant de signer

• quelles données le prestataire va-t-il traiter, et pour quoi faire ;
• où sont-elles hébergées et par qui ;
• que se passe-t-il à la fin du contrat : restitution ou suppression ;
• comment le prestataire vous informe-t-il en cas d'incident ;
• fait-il lui-même appel à d'autres sous-traitants.

Documenter la chaîne

Recenser vos sous-traitants dans votre registre vous donne une vision claire de qui touche à vos données, et vous prépare à réagir si l'un d'eux connaît un incident.