Contrat de sous-traitance RGPD

Oui, vous avez besoin d’un contrat de sous-traitance RGPD avec votre agence web dès que cette agence peut accéder aux données personnelles de vos visiteurs, leads ou clients. C’est presque toujours le cas : formulaires de contact, connexion à un CRM, hébergement, analytics ou simplement l’accès à votre CMS. Le RGPD vous oblige alors à consigner les accords par écrit. Dans cet article, vous découvrez qui est exactement quoi, pourquoi ce contrat doit exister, ce qu’il doit contenir et comment le mettre en place en pratique sans que cela ne devienne une montagne de paperasse.

Qu’est-ce qu’un contrat de sous-traitance et qui est qui ?

Un contrat de sous-traitance est un contrat dans lequel vous définissez comment une partie externe traite des données personnelles pour votre compte. En anglais, on parle de Data Processing Agreement ou DPA. Le terme vient directement du RGPD (le Règlement général sur la protection des données).

La répartition des rôles est au cœur du sujet. Vous êtes le responsable du traitement : c’est votre entreprise qui détermine pourquoi et comment les données de vos leads et clients sont traitées. Votre agence web et votre hébergeur sont le sous-traitant : ils traitent ces données pour votre compte, sans poursuivre eux-mêmes de finalité propre. Pensez à une agence web qui gère les envois de vos formulaires ou à un hébergeur qui conserve votre base de données sur ses serveurs.

Cette distinction est importante, car la loi place la responsabilité finale sur vous, le donneur d’ordre. C’est vous qui choisissez le sous-traitant, vous qui donnez les instructions, et vous qui devez pouvoir démontrer que tout est en règle. Le contrat de sous-traitance en est la preuve.

Pourquoi avez-vous besoin d’un contrat de sous-traitance avec votre agence web ?

Vous avez besoin de ce contrat parce que le RGPD l’impose littéralement dès qu’une partie externe traite des données personnelles en votre nom. L’article 28 du RGPD prévoit que ce traitement doit être encadré par un contrat ou un autre acte juridique contraignant. Il n’y a aucun seuil : peu importe la taille de votre entreprise ou le volume de données concernées.

En pratique, une agence web accède presque toujours à des données personnelles. Quelques exemples :

Elle construit et entretient vos formulaires de contact, où arrivent nom, e-mail et numéro de téléphone.
Elle dispose d’un accès administrateur à votre CMS, où se trouvent les envois de formulaires et les comptes utilisateurs.
Elle connecte votre site à votre CRM, votre outil d’e-mailing ou votre système d’analytics.
Elle héberge votre site, ou organise l’hébergement chez un tiers.

Dans tous ces cas, quelqu’un peut accéder aux données de personnes réelles. L’obligation existe donc bel et bien. Et ce n’est pas qu’une formalité : le contrat vous protège avant tout. Il établit que l’agence utilise les données uniquement pour votre finalité, ne les revend pas et les sécurise correctement. Sans ce document, vous n’avez aucun accord opposable et vous portez seul l’intégralité du risque.

Cela touche aussi à la confiance sur votre site B2B. Clients et prospects laissent leurs données en supposant que vous les traitez avec soin. Verrouiller proprement toute la chaîne avec vos prestataires en est une partie invisible mais essentielle.

Votre hébergeur est-il aussi un sous-traitant ?

Oui, votre hébergeur est en règle générale lui aussi un sous-traitant, car ses serveurs abritent vos bases de données, vos envois de formulaires et vos sauvegardes. Il peut donc techniquement accéder aux données personnelles, et vous avez par conséquent besoin d’un contrat de sous-traitance avec votre hébergeur également.

Les grands hébergeurs ont généralement réglé cela d’office. Ils proposent un contrat de sous-traitance prêt à l’emploi que vous acceptez en ligne ou qui est intégré à leurs conditions générales. Il reste toutefois prudent de le vérifier activement plutôt que de le présumer. Demandez simplement à votre hébergeur ou à votre agence web : existe-t-il un contrat de sous-traitance, et où puis-je le consulter ?

Un point d’attention concerne l’endroit où vos données sont physiquement stockées. Si les serveurs se trouvent dans l’Espace économique européen, c’est le cas le plus simple. Si des données sont traitées en dehors de l’EEE, par exemple chez un fournisseur cloud américain, des règles supplémentaires s’appliquent à ce transfert et des garanties appropriées doivent être prévues. Une agence web qui a mis de l’ordre dans ses affaires peut vous expliquer en quelques phrases où sont vos données et comment cela fonctionne.

Que doit contenir un contrat de sous-traitance ?

Un contrat de sous-traitance décrit concrètement ce que le sous-traitant peut faire de vos données et à quelles conditions. Le RGPD énumère à l’article 28 une série fixe de sujets qui doivent y figurer. Les principaux :

Objet, durée, nature et finalité. Pour quoi les données sont-elles traitées, et pendant combien de temps ? S’agit-il d’un traitement continu ou ponctuel ?
Type de données et personnes concernées. Quelles catégories de données personnelles sont en jeu (noms, adresses e-mail, adresses IP) et de qui s’agit-il (leads, clients, visiteurs du site) ?
Traitement uniquement sur vos instructions. Le sous-traitant ne peut utiliser les données que pour ce que vous demandez, pas à ses propres fins.
Confidentialité. Les collaborateurs qui peuvent accéder aux données sont tenus au secret.
Sécurité. Quelles mesures techniques et organisationnelles appropriées le sous-traitant prend-il, comme le chiffrement, la gestion des accès et les sauvegardes ?
Sous-traitants ultérieurs. L’agence peut-elle faire appel à d’autres parties, et à quelles conditions ? Pensez à un hébergeur externe ou à un outil d’e-mailing.
Aide aux obligations. Le sous-traitant vous aide à traiter les demandes des personnes concernées (accès, suppression) et signale les violations de données dans les délais.
Fin de la collaboration. Qu’advient-il des données lorsque le contrat prend fin ? Sont-elles restituées ou supprimées ?
Contrôle. Le sous-traitant coopère aux audits et fournit les informations permettant de démontrer sa conformité.

Vous n’avez pas à rédiger cela à partir de zéro. La plupart des contrats de sous-traitance suivent un canevas standard, et votre agence web ou votre hébergeur fournit généralement sa propre version. Votre tâche consiste surtout à vérifier que les points ci-dessus y figurent et que les accords correspondent à la réalité, par exemple chez quels sous-traitants ultérieurs vos données aboutissent réellement.

Que se passe-t-il si vous n’avez pas de contrat de sous-traitance ?

C’est vous qui prenez le risque, car en tant que responsable du traitement, vous restez tenu de ce qu’il advient des données, même si la faute vient de votre prestataire. L’absence de contrat de sous-traitance constitue en soi déjà une infraction au RGPD, indépendamment de la question de savoir si quelque chose tourne mal un jour.

L’autorité de protection des données peut infliger des amendes en cas d’infractions. Pour l’absence d’un contrat de sous-traitance correct, il s’agit de la catégorie d’amendes la plus basse du RGPD, avec un maximum de l’ordre de 10 millions d’euros ou 2 pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. En pratique, une PME verra rarement le maximum, mais le message est clair : c’est un risque réel et pas une théorie. De plus, c’est une atteinte à la réputation dont vous ne voulez pas au moment même où vous essayez de bâtir la confiance auprès de vos prospects.

Plus concrètement encore : sans contrat, vous n’avez aucune prise. Vous n’avez pas noir sur blanc que votre prestataire sécurise les données, ne les revend pas ou les restitue lorsque vous partez. Au moment où quelque chose dérape, vous vous retrouvez les mains vides.

Comment mettre cela en place en pratique ?

La mise en place est plus simple qu’il n’y paraît si vous procédez de façon systématique. Une approche efficace :

Dressez la liste de vos sous-traitants. Qui accède aux données personnelles autour de votre site ? En général votre agence web, votre hébergeur, votre outil d’analytics, votre système d’e-mailing ou votre CRM.
Demandez à chaque partie son contrat de sous-traitance. Beaucoup de prestataires en ont un tout prêt. Si vous n’en obtenez pas, ou si personne ne sait de quoi il s’agit, c’est un signal d’alarme.
Vérifiez que l’essentiel y figure à l’aide des points ci-dessus, en prêtant attention aux sous-traitants ultérieurs et à l’endroit où sont vos données.
Conservez tout au même endroit, afin de pouvoir le présenter si l’autorité de contrôle ou un client le demande.

Une bonne agence web prend les devants sur ce point et propose le contrat de sous-traitance d’elle-même, souvent dès le début du projet de site web. Le fait que l’agence règle cela de manière proactive et sache expliquer où sont vos données est immédiatement le signe qu’elle a mis de l’ordre dans ses affaires. Si vous avez un doute sur votre situation actuelle ou si vous démarrez tout juste un nouveau projet, il vaut la peine d’intégrer ce point dès le départ dans votre choix de prestataire. Dans notre guide complet pour la création d’un site web B2B, cela fait partie intégrante et évidente d’un projet professionnel.

Le résumé en bref

Dès que votre agence web ou votre hébergeur peut accéder aux données personnelles de vos visiteurs et de vos leads, le RGPD impose un contrat de sous-traitance écrit. Vous êtes le responsable du traitement et vous restez responsable en dernier ressort, ce contrat protège donc avant tout vous-même. Il fixe les finalités d’utilisation des données, la façon dont elles sont sécurisées, les sous-traitants ultérieurs qui interviennent et ce qu’il advient à la fin de la collaboration. La bonne nouvelle : un prestataire sérieux règle cela sans que vous ayez à le demander.

Vous voulez être sûr que tout est réglé proprement pour votre site web ? Planifiez votre entretien de découverte gratuit et nous le parcourons ensemble.