Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 18

I N T E R V I E W
doit être réaménagée, qu'est-ce qui pose le plus
difficulté ?
Lors de l'application du RGPD, et encore
aujourd'hui, beaucoup d'attention a été portée
aux avenants aux contrats existants, ou aux
nouveaux contrats, pour qu'ils soient conformes
au règlement. Avant, le sous-traitant n'était pas
responsable, vis-à-vis de la Cnil ou du juge, de sa
non-conformité à la législation sur la protection
des données personnelles et n'était redevable que
de ses obligations contractuelles.
Désormais, le sous-traitant est également
responsable : il doit nommer un DPO dans certains
cas, avoir un registre des traitements, participer
aux études d'impact, etc. Si le contrat n'est pas
conforme au RGPD, le responsable du traitement et
le sous-traitant sont tous les deux responsables et
ils encourent tous les deux un risque de sanction. Il
s'agit là également d'un des changements apportés
par le RGPD. Les sous-traitants n'en ont pas toujours
complètement pris la mesure. Pourtant, on voit de
plus en plus que dans les appels d'offre des secteurs
public et privé, il est demandé dans le cahier des
charges que la prestation du sous-traitant soit
conforme au RGPD.

par l'une des parties à ses obligations en
matière de traitement des données à caractère
personnel. Est-ce une question épineuse entre
client et prestataire ?
C'est une question de rapport de force, comme
dans beaucoup de relations contractuelles. Elle est
surtout épineuse, compte tenu de l'importance
des sanctions potentielles. Et puis, quand on
intervient dans plusieurs pays, on se retrouve à
nouveau confronté aux différences de législation
suivant les pays. Le droit des contrats n'est pas le
même en France, en Angleterre, en Allemagne ou
dans un autre pays du monde.
On ne peut pas s'exonérer de sa responsabilité
de la même manière dans un pays ou dans un
autre. Je travaille beaucoup avec mes associés en
droit des contrats ou en IT en France et dans nos
autres bureaux dans le monde car la protection
des données personnelles est une question
complètement transverse.

Antoinette Rouvroy, chercheuse au Crids
de Namur dit que «  le concept de données
personnelles n'a pas vraiment de sens dans
un contexte de données massives et il risque
même de nous induire en erreur. Ce qui confère
une utilité, une valeur aux données, ce sont
les corrélations qu'elles permettent de faire
On constate par ailleurs qu'il y a beaucoup
apparaître entre des éléments infrapersonnels,
d'incompréhensions sur ce qu'est un sousdonc des fragments insignifiants, de purs
traitant. Lors de l'entrée en application du
signaux. (...) C'est pourquoi la critique de la
règlement, certains ont cru bon d'envoyer à tous
technologie me semble mal adressée. Elle
leurs partenaires, à qui ils communiquaient des
reste emprisonnée dans une vision dépassée
données, des contrats incluant les clauses de
du monde, selon laquelle nous serions des
l'article 28 du RGPD, considérant qu'ils étaient
sujets espionnés par un pouvoir centralisé. La
leurs sous-traitants. Or, ce n'est pas parce qu'on
situation est presque plus inquiétante. Dans
communique des données personnelles à un
notre monde, les sujets ont disparu. Il n'y a
partenaire qu'il est sous-traitant. Le sous-traitant
plus personne... Non seulement Big Brother
est celui qui effectue une prestation sur les
n'existe pas, mais nous
données personnelles. Une
n'avons jamais été si peu
agence de voyage, une
considérés et regardés
agence de recrutement,
« Nous avons toujours vingt-huit lois
qu'aujourd'hui ».
un avocat ne sont pas des
locales même si leurs particularités sont
sous-traitants. Moi-même,
moins importantes qu'avant. Et certains
Que pensez -vous de sa
comme d'autres confrères,
secteurs d'activité sont plus impactés
réflexion ?
j'ai reçu des contrats à signer
que d'autres par le droit local. »
Cette réflexion me fait
en tant que sous-traitant au
penser à l'interprétation
25 mai 2018 ! Il faut faire
de la notion de données personnelles et à son
très attention à la qualification de ses partenaires,
évolution. La définition de cette notion n'a pas
prestataires, fournisseurs, car cette qualification
ou a peu évolué en droit. A l'origine, nous avions
- responsable de traitement, co-responsable
la définition de l'information nominative dans
de traitement ou sous-traitant - est lourde de
la loi Informatique et libertés de 1978, qui a été
conséquences juridiques. Quand ce n'est pas
peu ou prou reprise par la directive de 1995, seul
évident, il convient de se poser les bonnes
le nom a changé puisqu'elle a été renommée
questions : avantages, inconvénients, analyse des
donnée personnelle. On retrouve cette définition
critères et de leurs conséquences.
dans le RGPD, avec des illustrations en plus,
telle que la référence à l'identité psychique,
En matière de contrats informatiques, on
physiologique, etc., pour souligner l'ampleur
a assisté à la négociation des plafonds
du champ d'application Mais quand on regarde
de responsabilité en cas de manquement

18

EXPERTISES Janvier 2020
Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia
