ESN & RGPD : les obligations du sous-traitant technique

De quoi parle RGPD ?

Le RGPD distingue le responsable de traitement, qui décide des finalités, et le sous-traitant, qui agit pour son compte. Une ESN qui exploite ou maintient des systèmes contenant des données personnelles est sous-traitant, sans en définir les finalités.

L’article 28 impose un contrat écrit encadrant strictement ce que le sous-traitant peut faire et comment il sécurise les données.

Le secteur « Entreprises de services numériques (ESN) » est-il concerné ?

Toute ESN traitant des données personnelles pour le compte de ses clients est sous-traitant, sans seuil. La qualification dépend de la réalité de l’accès aux données, pas de la nature « technique » de la prestation.

Pour ses propres traitements — gestion du personnel, recrutement, prospection commerciale — l’ESN est responsable de traitement et cumule alors les deux rôles.

Obligations détaillées

Sanctions & risques

Les amendes peuvent atteindre 20 M€ ou 4 % du chiffre d’affaires mondial. Une ESN défaillante expose en cascade l’ensemble de ses clients, ce qui en fait un point de contrôle systématique en due diligence.

Le risque contractuel double le risque administratif : les clients exigent DPA, garanties de sécurité et droit d’audit.

Erreurs fréquentes dans le secteur

• 1DPA au cas par cas. Négocier sans contrat type, ce qui ralentit les ventes et laisse des trous.
• 2Sous-traitants cachés. Ne pas déclarer hébergeur ou prestataires tiers.
• 3Transferts non encadrés. Recourir à des services hors UE sans clauses ni mesures.
• 4« Prestation technique » = pas de RGPD. Croire à tort que la nature technique de la mission exonère du rôle de sous-traitant.

Cas pratique

Une ESN assurant la TMA d’un ERP client sous-traite l’hébergement à un tiers hors UE non déclaré. Un audit client bloque le renouvellement du contrat. L’ESN régularise en déclarant le sous-traitant, en activant les clauses de transfert et en publiant un DPA standard, désormais joint à chaque proposition commerciale.

Feuille de route de mise en conformité

1. 1

   Cartographier. Recenser les prestations donnant accès à des données et leur localisation.

2. 2

   Publier un DPA standard. Mettre à disposition un DPA type et une documentation de sécurité.

3. 3

   Tenir la liste des sous-traitants. Maintenir à jour les sous-traitants ultérieurs et l’information des clients.

4. 4

   Documenter la sécurité. Formaliser les mesures de l’article 32 dans un registre.

5. 5

   Outiller la notification. Mettre en place une procédure de notification des violations au client.

Questions fréquentes