L'encadrement contractuel de la sous-traitance des traitements de données
Sous-traitants ultérieurs, assistance en cas d'incident, sort des données en fin de contrat : trois stipulations déterminantes, rarement relues.
2 min de lecture
Dans la plupart des projets, l’encadrement contractuel des traitements de données arrive en fin de parcours. Le contrat principal a été négocié ligne à ligne ; l’annexe relative aux données, elle, est reprise du modèle du prestataire et signée sans discussion, parce qu’elle paraît technique, standard, et sans enjeu commercial.
C’est pourtant dans cette annexe que se trouve la réponse à la question qui se posera le jour d’un incident : qu’est-ce que l’entreprise peut exiger, et de qui.
Les stipulations déterminantes
La liste des sous-traitants ultérieurs
Une annexe qui autorise le prestataire à recourir à des sous-traitants « de son choix », sans liste et sans obligation d’information préalable, prive l’entreprise de toute visibilité sur la chaîne réelle. Il n’est pas rare qu’un prestataire unique en apparence s’appuie sur quatre ou cinq intervenants successifs, établis dans autant de pays.
Les modalités d’assistance en cas d’incident
Beaucoup d’annexes prévoient que le prestataire « informe le client dans les meilleurs délais ». Cette formule n’engage à rien de mesurable. Ce qui est utile, c’est l’engagement de fournir des éléments déterminés — journaux, périmètre des données concernées, chronologie — et un point de contact identifié, joignable en dehors des heures ouvrées.
Le sort des données à la fin du contrat
Suppression ou restitution, sur quel périmètre, dans quel délai, avec quelle preuve de l’effacement. Cette question rejoint celle de la réversibilité, traitée dans le contrat principal, et les deux rédactions doivent être lues ensemble — elles se contredisent plus souvent qu’on ne l’imagine.
La cohérence des trois documents
L’essentiel du travail consiste à vérifier que trois documents disent la même chose : le contrat principal, l’annexe relative aux données, et la documentation commerciale sur laquelle l’entreprise s’est appuyée pour choisir le prestataire.
Lorsqu’ils divergent, la divergence est rarement neutre, et elle se lit presque toujours en faveur de celui qui a rédigé le modèle.