Un repère, pas un avis juridique
Dès qu’une tâche confiée à un prestataire implique des données personnelles, celles de vos clients, de vos prospects ou de vos salariés, le règlement général sur la protection des données entre en jeu. Les règles précises dépendent de votre situation : cet article propose des questions à poser, pour aborder le sujet sereinement, mais il ne remplace pas l’avis d’un juriste ou d’un délégué à la protection des données.
Première question : quelles données seront traitées ?
Commencez par faire l’inventaire. Le prestataire aura-t-il accès à des noms, adresses e-mail, numéros de téléphone ? À des informations de facturation ? À des données plus sensibles ? Pour chaque tâche, demandez-vous si l’accès est vraiment nécessaire. Souvent, une partie des données peut être masquée ou laissée de côté sans gêner le travail.
Ce principe de minimisation est l’un des plus utiles : moins de données confiées, c’est moins de risques à encadrer.
Deuxième question : quel est le rôle du prestataire ?
Dans la plupart des missions opérationnelles, le prestataire agit pour votre compte et selon vos instructions : on parle alors généralement de sous-traitant au sens du RGPD. Ce rôle implique un contrat qui précise notamment l’objet du traitement, sa durée, les mesures de sécurité et le sort des données à la fin de la mission.
Demandez si un tel contrat, ou une annexe de protection des données, est prévu. Vérifiez qu’il mentionne l’engagement de confidentialité des personnes qui interviennent.
Troisième question : où les données sont-elles traitées ?
Si une partie du travail est réalisée hors de l’Union européenne, la question des transferts de données se pose. Certains pays bénéficient d’une décision d’adéquation de la Commission européenne, qui reconnaît un niveau de protection équivalent. D’autres non : c’est par exemple le cas de la Tunisie à ce jour.
Pour ces pays, le transfert doit être encadré par des garanties appropriées, le plus souvent des clauses contractuelles types adoptées par la Commission européenne, accompagnées d’une évaluation des risques et, si nécessaire, de mesures complémentaires. Demandez au prestataire comment il encadre ces transferts, et faites valider le dispositif par votre conseil.
Quatrième question : comment les accès sont-ils gérés ?
La sécurité tient souvent à des gestes simples. Posez des questions concrètes :
- Les accès à vos outils sont-ils nominatifs, et pouvez-vous les retirer vous-même ?
- Les personnes n’accèdent-elles qu’aux outils nécessaires à leur mission ?
- Les postes de travail sont-ils protégés et les mots de passe gérés de façon sûre ?
- Que se passe-t-il en cas d’incident : qui vous prévient, et dans quel délai ?
- Que deviennent les données et les accès à la fin de la mission ?
Cinquième question : comment informer vos propres clients ?
Si vous confiez des données de vos clients à un prestataire, votre propre politique de confidentialité doit le refléter, notamment en cas de transfert hors Union européenne. Prenez le temps de la relire et de la mettre à jour si nécessaire.
Enfin, tenez à jour votre registre des traitements : il permet de garder une vue claire de qui fait quoi avec quelles données.
Une démarche, pas un frein
Ces questions peuvent sembler lourdes. En pratique, un prestataire sérieux y a déjà réfléchi et vous répondra sans difficulté. Elles permettent surtout de partir sur des bases claires et de dormir tranquille. Si une réponse reste floue, c’est une information utile en soi.
Questions fréquentes
Peut-on confier des tâches à une équipe située en Tunisie ?
C’est possible, à condition d’encadrer le transfert de données par des garanties appropriées, comme les clauses contractuelles types, et de faire valider le dispositif par un conseil compétent.
Qui est responsable en cas de problème ?
La répartition des responsabilités dépend des rôles de chacun et du contrat. C’est précisément ce que le contrat de sous-traitance doit clarifier : faites-le relire par votre conseil.