Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia - 287

La faute lourde n'est cependant
que dans de rares cas retenue en
jurisprudence et elle demeure
appréciée au cas par cas. Il sera
intéressant d'observer dans les
prochaines années si cette tendance
évolue spécifiquement pour la
protection des données personnelles, afin d'ajuster en conséquence
dans les futurs contrats les clauses
de
responsabilité
«  données
personnelles ».
Point d'attention : un plafond estimé
dérisoire pourrait également être
inopposable, en ce qu'il prive le
contrat de son obligation essentielle.
Le RGPD ne définit pas ce que
constitue une obligation essentielle
en termes de données personnelles.
De même, ni la Cnil ni le Comité
européen de protection des données
(CEPD) ne se sont encore prononcés
sur la notion d'obligation essentielle
dans un contrat dont l'objet est la
mise en œuvre de traitements de
données personnelles. Si la notion
d'obligation essentielle du contrat
en termes de données personnelles
semble pouvoir résider en la mise
en œuvre de mesures techniques
et organisationnelles appropriées,
le respect des finalités, le respect
des instructions du responsable
de traitement par le sous-traitant,
etc., la notion demeure l'objet de
discussions.
Par conséquent, hors la possibilité de
démontrer une faute lourde ou que le
montant de la réparation maximale
allouée prive de sa substance l'obligation essentielle du sous-traitant,
le plafond reste opposable entre les
parties.
Or, le risque semble à ce stade difficilement maîtrisable pour les parties
qui peuvent souhaiter, en particulier le responsable de traitement, se
reposer sur un déplafonnement.
Exemple  : Il peut être envisagé
de mettre en œuvre une logique
comparable à celle prévalant en
matière
de
garantie-contrefaçon selon laquelle le prestataire
doit tenir indemne son client de
toute condamnation pécuniaire

sans que cette indemnisation
ne soit, dans la majorité des cas,
plafonnée. En contrepartie, le garant
détermine la stratégie et les moyens
de défense ainsi que l'opportunité
d'une transaction.
Un tel déplafonnement peut toutefois ne pas être accepté par les
prestataires qui y voient un déséquilibre significatif du contrat, un tel
déplafonnement les soumettant en
effet à une exposition du risque plus
importante.
Les conditions d'opposabilité du
plafond et les garanties envisageables seront mises en œuvre en
fonction des modalités négociées
entre les parties.

Mise en œuvre de la clause
de responsabilité
Parmi les possibilités de mise en
œuvre de la clause de responsabilité
propre à la protection des données
personnelles, certaines solutions ont
la préférence des parties.
Exemple  : Afin d'éviter de longues
procédures et des conséquences en
termes de publicité et de réputation,
les parties peuvent envisager des
modalités d'arbitrage dans la clause
de responsabilité.

doit s'inscrire de manière durable
dans la «  gouvernance données
personnelles  » des entités  concernées. Celle-ci implique notamment
d'avoir des positions de négociations uniformes au sein des
entités et services d'une même
entreprise et des solutions de repli
validées en amont.
lle requiert également de s'assurer
que les dispositions négociées des
contrats sont en phase avec les
pratiques opérationnelles de l'entité
et puissent être respectées et mises
en œuvre par les équipes, ce qui
nécessite d'inclure les différentes
équipes juridiques, sécurité, achats,
R&D, etc. lorsque les négociations
recouvrent des sujets opérationnels.

Julie SCHWARTZ
Avocat à la Cour
Senior associate
HOGAN Lovells (Paris) LLP
Notes
(1)	

L'article 83 du RGPD prévoit des sanctions
pouvant aller jusqu'à 20  000  000 d'euros ou
4% du chiffre d'affaires annuel mondial total
de l'exercice précédent, le montant le plus
élevé étant retenu.

(2)	

2018 Cost of a data breach study: Global
Overview, Ponemon Institute.

(3)	

Article 43ter Loi Informatique et Libertés.

Des modalités de gouvernance
peuvent également être définies
entre les parties en cas de manquements mettant en œuvre les
dispositions du contrat propres à
la protection des données personnelles, et à la responsabilité afférente,
pour que les parties tranchent entre
elles le litige.
Exemple : Des modalités de gouvernance dans le contrat peuvent
inclure que les parties décideront
de définir un délai imparti pour
s'entendre et au-delà duquel le
manquement sera escaladé au
niveau managérial et décisionnaire
supérieur de chaque partie pour
convenir d'une issue au litige.
La remédiation des contrats constitue
ainsi un enjeu de mise en conformité prépondérant pour les entreprises
privées et organismes publics qui
EXPERTISES juillet/août 2020

287
Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet 2020 - N°459 - Le mensuel du droit de l'informatique et du multimédia
