Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia - 315

d'un document décrivant les
mesures mises en œuvre par
le sous-traitant en termes
de sécurité. Il permet de
répondre à l'exigence de
l'article 28 du RGPD qui prévoit
que « Lorsqu'un traitement doit
être effectué pour le compte
d'un responsable du traitement,
celui-ci
fait
uniquement
appel à des sous-traitants
qui présentent des garanties
suffisantes quant à la mise en
œuvre de mesures techniques
et
organisationnelles
appropriées ... ».
La forme du PAS importe peu.
Qu'il s'agisse d'un document
annexe au contrat, d'éléments
ajoutés dans l'annexe sécurité
du contrat ou encore d'un
questionnaire
de
sécurité
reprenant les exigences de
l'annexe sécurité, la forme n'est
pas exigée légalement.
Le questionnaire peut être
une solution opportune  :
sans divulguer des secrets qui
pourraient mettre en péril la
sécurité du sous-traitant, le
questionnaire permet de bien
analyser le niveau de sécurité
offert par le sous-traitant.

En quelques mots de conclusion, la loi n'impose pas
précisément les types de
mesures de sécurité à mettre
en œuvre. Elle demande au
responsable de traitement et
au sous-traitant de définir les
mesures appropriées compte
tenu des risques. Tout est donc
une question d'interprétation,
aussi bien pour le responsable
de traitement/sous-traitant que
pour l'autorité.
Un responsable de traitement
n'est pas à l'abri d'être challengé
par l'autorité compétente qui
pourrait constater que les
mesures choisies ne sont pas
appropriées. Aussi, en définissant les mesures de sécurité, il
peut être intéressant de prévoir
les justifications nécessaires
pour démontrer que les choix
se sont faits sur la base des
standards du marché et sont
donc parfaitement justifiés.

Notes
(1)	 Exemples de sanctions : Uber (400 000€ ;
20 décembre 2018) ; Bouygues Telecom
(250 000€ ;27 décembre 2018), Hôpital
de Barreiro (400 000€ , 19 octobre 2018);
Optical Center (200 000€ ; réduit par le
Conseil d'Etat le 17 avril 2019)
(2)	 https://www.cnil.fr/fr/comprendre-lesgrands-principes-de-la-cryptologie-etdu-chiffrement
(3)	 Par exemple : European Union Agency
for Cybersecurity (https://www.enisa.
europa.eu/activities/identity-and-trust/
library/deliverables/dbn-severity/at_
download/fullReport ; Comité Européen
de la Protection des Données (https://
ec.europa.eu/newsroom/article29/
item-detail.cfm?item_id=612052)

Cela pourra minimiser le
risque de se voir mis en
demeure voire condamné pour
non-conformité au titre de
l'article 32 du RGPD.
Christelle DARDANT

Ce PAS, annexé au contrat,
permettra aussi de cadrer les
besoins et attendus en termes
d'audit sécurité. Il servira de
base pour définir les éléments
à auditer chez le sous-traitant.

Juriste Cybersécurité
Groupe Renault

Julie SCHWARTZ
Avocat à la cour, senior associate
Hogan Lovells (Paris) LLP

Bien que très opérationnels, les
sujets récurrents et importants
de la cybersécurité dans les
projets doivent donc être
intégrés dans les négociations
contractuelles car ils reposent
sur un enjeu légal de taille.



Vous avez envie de vous exprimer sur un sujet qui vous tient à cœur, de partager votre analyse
avec la communauté des lecteurs d'Expertises, d'exposer un point de vue différent sur un article
déjà publié, de lancer un débat sur un thème émergent, ou simplement de commenter l'actualité
du droit du numérique ?

Contactez la rédactrice en chef d'Expertises Sylvie Rozenfeld sr@expertises.info

EXPERTISES Septembre 2020

315

https://www.cnil.fr/fr/comprendre-les-grands-principes-de-la-cryptologie-et-du-chiffrement https://www.enisa.europa.eu/activities/identity-and-trust/library/deliverables/dbn-severity/at_download/fullReport https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612052

Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Septembre 2020 - N°460 - Le mensuel du droit de l'informatique et du multimédia