Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 240

D

O

C

T

R

I

N

E

Les marges
de manœuvre
commerciales
Coûts de l'assistance
du sous-traitant
Au-delà du prix des prestations qui
constitue souvent l'objet principal
des négociations, les marges de
manœuvre commerciales dans les
négociations des dispositions de
l'article 28-3 du RGPD peuvent se
tenir sur les coûts de l'assistance et
de la coopération du sous-traitant.
Le sous-traitant est tenu d'apporter
son assistance au responsable de
traitement pour répondre à ses
obligations pour la gestion des
demandes d'exercice de leurs
droits par les concernées, des
analyses d'impact et des violations
de données personnelles5.
Le RGPD ne précise cependant
pas si les coûts de l'assistance du
sous-traitant sont inclus dans la
prestation, le RGPD imposant de
fait au sous-traitant d'assister le
responsable du traitement, ou
bien si elles doivent faire l'objet de
coûts supplémentaires, certaines
assistances
pouvant
presque
constituer à elles seules une
prestation supplémentaire de la
part du sous-traitant.
En pratique, des points d'entente
peuvent être trouvés en décidant
qu'une partie des coûts sera à la
charge du sous-traitant et l'autre
partie à la charge du responsable
de traitement. A titre d'exemple,
le sous-traitant peut prendre à sa
charge les coûts de l'assistance au
responsable de traitement jusqu'à
un certain montant, par exemple
2 jours/homme par mois ou son
équivalent en  euros, et les coûts
excédentaires sont considérés à la
charge du responsable de traitement. Un autre mécanisme peut
consister à ne pas prévoir à l'avance
les coûts qui seront supportés par
le sous-traitant et à lui demander
un devis dès que son assistance
sera requise. Cette solution
contient toutefois un risque
de retard dans l'assistance du
sous-traitant, par exemple en cas

240

de proposition de devis trop tardive
du sous-traitant et/ou de décision
trop longue d'acceptation du devis
par le responsable de traitement.
Une alternative peut donc être
de
décider
contractuellement
d'un nombre de jours maximum
d'assistance du sous-traitant et de
prévoir qu'au-delà de ce nombre
de jours, le sous-traitant enverra
un devis au responsable de traitement avec un estimatif des jours
nécessaires supplémentaires. Cette
solution permet au sous-traitant
de commencer l'assistance au plus
vite et d'assurer le respect des délais
en cas de violations de données
personnelles et de réponses aux
demandes des personnes concernées ou des autorités.
Une entente sur le coût de l'assistance du sous-traitant peut
en outre éviter d'ouvrir ou de
ré-ouvrir les négociations sur le
prix de la prestation. A noter que
les entreprises agissant comme
sous-traitant
ont
tendance
désormais à intégrer, dans leurs
nouveaux contrats, les coûts
estimés d'une telle assistance
dans le coût de la prestation
globale, fermant ainsi la porte à
toute négociation sur ce point
qui pourrait être à leur désavantage. Les marges de manœuvre
commerciales ne sont pour autant
pas closes et peuvent porter sur
d'autres points tels que le coût de
l'audit.

Coûts de l'audit
du sous-traitant
L'article 28-3-h) du RGPD dispose
en effet que le sous-traitant
doit mettre «à la disposition du
responsable du traitement toutes
les
informations
nécessaires
pour démontrer le respect des
obligations prévues au présent
article et pour permettre la
réalisation d'audits, y compris des
inspections, par le responsable du
traitement ou un autre auditeur
qu'il a mandaté, et contribuer à
ces audits.» Ici non plus le RGPD
ne précise pas quelle partie doit
supporter les coûts de l'audit
dit «données personnelles».
EXPERTISES Juin 2020

En pratique, les parties se reportent
souvent à ce qui est déjà prévu dans
le contrat pour la clause d'audit
classique ou bien aux pratiques
déjà établies entre les parties.
Le sujet des coûts d'audit peut
toutefois faire émerger de nouvelles
discussions entre les parties qui
souhaitent anticiper un tel coût et
faire figurer dans le contrat la partie
qui supportera les coûts. Cette
responsabilité repose souvent sur
les responsables de traitement
qui sont tenus de recourir à des
sous-traitants
présentant
des
garanties suffisantes, et doivent
donc s'assurer de vérifier par des
audits que ces garanties sont
respectées.
Les
marges
de
manœuvre
commerciales dans les négociations de contrat peuvent également
s'appuyer sur des points juridiques
pour lesquels l'article 28-3 du
RGPD n'apporte pas davantage de
précision.

Les marges de
manœuvre juridiques
Instructions du responsable
de traitement
Le premier point de négociation
juridique porte souvent sur l'obligation du sous-traitant, selon
l'article 28-3-h) du RGPD, d'informer immédiatement le responsable du traitement s'il estime que
l'une des instructions qu'il a reçues
du responsable de traitement pour
la mise en œuvre du traitement
n'est pas conforme au RGPD.
Cette obligation fait reposer sur
les épaules du sous-traitant une
responsabilité importante d'identification juridique des instructions
non conformes au droit applicable.
Il peut être opportun pour le
sous-traitant de négocier pour
préciser dans le contrat que
cette obligation d'information
ne sera pas considérée comme
une obligation de fournir une
consultation juridique sur le point
soulevé et que la responsabilité
de décision in fine pèsera sur
le responsable de traitement.
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
