Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 241

Un autre point à identifier en
termes de marge de manœuvre
juridique réside dans les relations
avec les sous-traitants ultérieurs.

Relations avec les
sous-traitants ultérieurs
Le sous-traitant initial (i) ne doit
recruter un autre sous-traitant
qu'avec
l'autorisation
écrite
préalable, spécifique ou générale,
du responsable du traitement et
(ii) en cas d'autorisation générale,
informer le responsable de traitement de tout changement prévu
concernant l'ajout ou le remplacement d'autres sous-traitants,
donnant ainsi au responsable du
traitement la possibilité d'émettre
des objections à l'encontre de ces
changements6.
Autorisation spécifique ou générale.
Il apparaît souvent difficile pour
les entreprises responsables du
traitement d'exiger du sous-traitant
qu'il sollicite une autorisation
spécifique. En effet, en pratique,
les entreprises responsables de
traitement traitant avec un grand
nombre de sous-traitants ne
sont pas en mesure de délivrer
une autorisation spécifique pour
chaque nouveau sous-traitant
ultérieur dans un délai raisonnable.
Une autorisation générale apparaît
donc plus appropriée.
Information
en
cas
de
changement de sous-traitants.
Si
l'autorisation
générale
apparaît la plus appropriée,
la question de l'information
du responsable de traitement
par le sous-traitant en cas de
changement de sous-traitants
ultérieurs pose de nombreuses
interrogations en pratique  : Quel
canal d'information utilisé  ? En
cas de choix d'une information
par e-mail par le responsable de
traitement, comment être certain
de bien réceptionner l'e-mail
d'information
(choix
d'une
adresse e-mail générique avec
plusieurs destinataires comptant
les uns sur les autres pour traiter
l'information, ou bien d'une
adresse personnelle avec le risque

d'une absence ou d'un congé
au moment où l'information
sera reçue, etc.)  ? Dans quel délai
informer  ? Comment traiter les
réserves émises par le responsable
de traitement relatives à un
changement de sous-traitants
ultérieurs ?, etc.
Certains sous-traitants font par
exemple le choix de mettre à la
disposition du responsable de
traitement sur leur site internet la
liste de leurs propres sous-traitants
et de lui permettre de s'inscrire à
une liste d'envoi qui lui adressera
des alertes en cas de suppression
ou d'ajout d'un sous-traitant.
A compter de l'envoi de cette
alerte, le responsable de traitement dispose d'un délai défini
contractuellement pour émettre
ses observations et/ou réserves
sur le nouveau sous-traitant. Cette
solution permet en pratique de
répondre à l'exigence d'autorisation, ici générale, du responsable
de traitement et à l'information
de celui-ci en cas d'ajout ou de
remplacement d'un sous-traitant.
En cas de réserves ou oppositions
sur un sous-traitant ultérieur
exprimées par le responsable de
traitement, des modalités pratiques
pour les gérer peuvent être prévues
au contrat, telles que l'exigence de
motifs légitimes pour s'opposer
à un sous-traitant ou encore les
solutions de repli en cas d'opposition ou de réserve : proposition d'un
autre sous-traitant, cessation des
pratiques commerciales entre les
parties, résiliation du contrat, etc.
Report des obligations contractuelles. Par ailleurs, le RGPD
sollicite du sous-traitant qu'il
impose à ses propres sous-traitants les mêmes obligations en
matière de protection des données
que celles fixées dans le contrat
qu'il a signé avec le responsable
de traitement et qu'il demeure
pleinement responsable devant
le responsable de traitement en
cas d'inexécution par ses propres
sous-traitants de leurs obligations.
EXPERTISES Juin 2020

Pour vérifier le respect de cette
obligation, le responsable de
traitement peut solliciter du
sous-traitant une copie des
dispositions «données personnelles» de ses contrats avec ses
propres sous-traitants. Cela peut
toutefois nécessiter des adaptations pour fluidifier les négociations et rassurer chacune des
parties  : préciser dans le contrat
que seules certaines clauses seront
communiquées et non pas l'entièreté du contrat afin de préserver
la confidentialité des données
du contrat, prévoir que cette
transmission ne sera pas automatique mais «sur demande», qu'elle
pourra notamment être justifiée
en cas d'incidents de sécurité ou
contrôle d'une autorité de protection des données, etc.
Les négociations sur les points
commerciaux et juridiques sont en
outre intrinsèquement liées aux
points opérationnels et métiers.

Les marges
de manœuvre
opérationnelles
Audit
Les conditions d'audit peuvent
également être discutées sur
les aspects opérationnels. Si les
parties souhaitent déroger des
conditions classiques d'audit déjà
définies dans la clause d'audit
du contrat, ou bien si celles-ci
n'y sont pas encore définies, les
parties disposent d'une marge de
manœuvre car l'article 28-3-h)
n'impose que de prévoir des
audits, réalisés par le responsable
de traitement ou un tiers qu'il
mandate, sans exiger davantage
d'éléments.
Or, il est essentiel, pour les deux
parties, d'anticiper tout litige à ce
sujet et de définir dans le contrat la
fréquence des audits, leur durée, la
personne qui les réalisera, le délai
d'information du sous-traitant, etc.
Par exemple, les audits dits «article
28-3» peuvent être convenus une
fois par an, avec la précision que des

241
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
