Votre prestataire informatique est un sous-traitant au sens de la loi
L'article 9 impose un cadre écrit, et l'absence de ce cadre est l'un des trois seuls cas d'amende prévus par la LPD.
Publié le 14 août 202610 min de lecture
Beaucoup de dirigeants pensent que la sous-traitance au sens de la protection des données concerne les hébergeurs et les éditeurs de logiciels, pas leur informaticien. C'est faux, et la conséquence n'est pas anodine : parmi les trois comportements que la LPD punit d'une amende, l'un vise précisément la sous-traitance mal encadrée.
Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou la loi le prévoie et que les données soient traitées uniquement comme le responsable du traitement serait en droit de le faire.
Art. 9 al. 1 LPD
Qui est sous-traitant, concrètement
Toute personne ou entreprise qui traite des données personnelles pour votre compte, sur vos instructions. Dans une PME, la liste est plus longue qu'on ne l'imagine.
- Le prestataire d'infogérance, qui accède aux postes, aux serveurs et à la messagerie.
- L'hébergeur, en Suisse comme à l'étranger.
- Le fournisseur de messagerie et de bureautique en ligne.
- L'éditeur du logiciel métier, dès qu'il l'exploite en mode hébergé.
- La fiduciaire, pour la paie et la comptabilité.
- Le prestataire de sauvegarde externalisée.
- Le service d'assistance à distance, même ponctuel.
Les trois exigences de l'article 9
- Un fondement écrit. Un contrat, ou une base légale. Une commande par courriel et une facture ne suffisent pas.
- Un traitement limité. Le sous-traitant ne peut faire que ce que vous auriez le droit de faire vous-même. Il ne peut pas réutiliser vos données pour son compte, ni les enrichir, ni les revendre.
- Une capacité vérifiée. Vous devez vous assurer qu'il est en mesure de garantir la sécurité des données. Cette vérification vous incombe, et elle doit laisser une trace.
S'y ajoute une règle souvent ignorée : le sous-traitant ne peut recourir lui-même à un sous-traitant ultérieur qu'avec votre approbation préalable. Si votre infogéreur stocke vos sauvegardes chez un tiers, ce tiers doit vous avoir été annoncé et approuvé.
Ce que le contrat doit prévoir
La loi ne fixe pas de modèle. Le contenu ci-dessous est celui qu'un contrôle s'attend à trouver, et il recouvre la plupart des litiges réels entre une PME et son prestataire.
Clauses attendues
| Objet et périmètre | quelles données, pour quoi faire |
| Instructions | le prestataire n'agit que sur instruction |
| Sécurité | mesures techniques et organisationnelles décrites |
| Sous-traitants ultérieurs | liste, et approbation préalable |
| Localisation | où les données sont stockées, et traitées |
| Incidents | délai d'information au responsable |
| Assistance | aide en cas de demande d'accès ou de contrôle |
| Fin de contrat | restitution puis effacement, avec preuve |
| Confidentialité | des personnes, pas seulement de l'entreprise |
| Audit | droit de vérifier, et modalités |
Le cas de l'étranger
Si le sous-traitant traite les données hors de Suisse, une seconde règle s'ajoute, celle de la communication à l'étranger. Elle suppose que l'État destinataire assure une protection adéquate, ou à défaut des garanties appropriées. Cette règle constitue le premier des trois cas d'amende de l'article 61, la sous-traitance étant le deuxième.
En pratique, pour une PME suisse, cela signifie qu'il faut savoir où vivent réellement les données. Un service américain avec des serveurs européens, un prestataire suisse qui héberge en Allemagne, un outil d'assistance à distance dont la console est ailleurs : chacun est une communication à l'étranger, et chacun doit être justifié.
Ce que vous pouvez faire cette semaine
- Lister tous les tiers qui accèdent à vos données, y compris les accès d'assistance ponctuels.
- Pour chacun, retrouver le contrat. Là où il n'y en a pas, vous avez identifié un écart.
- Demander à chaque prestataire la liste de ses propres sous-traitants et la localisation des données. Un prestataire qui ne sait pas répondre vite est une réponse en soi.
- Écrire ce que vous constatez, avec la date. Un inventaire daté vaut mieux qu'une conformité supposée.
Ce travail n'est pas juridique, il est documentaire. Il demande quelques heures et il élimine l'un des deux seuls risques d'amende que la loi fait peser sur vous personnellement.