nLPD : contrat de sous-traitance avec un prestataire IT

Votre prestataire informatique gère vos postes, vos comptes Microsoft 365, vos serveurs ou vos sauvegardes : il a donc accès aux données personnelles de vos clients et de vos collaborateurs. Au sens de la nLPD, il agit comme sous-traitant, et la sous-traitance confiée à un prestataire informatique doit reposer sur un contrat qui fixe ce qu'il peut faire de ces données.

Vous restez le responsable du traitement : c'est à vous de choisir un prestataire capable de garantir la sécurité des données et de vérifier que le contrat le prévoit. Cet article liste les points à contrôler. Il ne remplace pas un conseil juridique.

Sous-traitance et nLPD : ce que dit la loi

L'article 9 de la nLPD permet de confier un traitement de données personnelles à un sous-traitant, par contrat ou par la loi, à trois conditions : le sous-traitant ne traite les données que comme vous seriez en droit de le faire vous-même, aucune obligation légale ou contractuelle de garder le secret ne l'interdit, et vous vous êtes assuré qu'il est en mesure de garantir la sécurité des données.

Le sous-traitant ne peut lui-même confier le traitement à un tiers qu'avec votre autorisation préalable. La loi ne fixe pas de modèle : c'est à vous et au prestataire de définir le contenu du contrat. On parle de contrat de sous-traitance, d'avenant sur la protection des données ou, en anglais, de DPA (data processing agreement). Ce cadre peut être un document séparé ou être intégré aux conditions générales du prestataire, pourvu qu'il couvre les points ci-dessous.

Que doit contenir le contrat avec le prestataire informatique ?

Un contrat de sous-traitance utile tient en quelques pages. Il répond au minimum à ces questions :

• Les instructions : quelles données, pour quelles finalités, avec le principe que le prestataire n'agit que sur vos instructions.
• La sécurité : les mesures techniques et organisationnelles appliquées (contrôle des accès, double authentification, chiffrement, sauvegardes, journalisation).
• La confidentialité : l'engagement des collaborateurs du prestataire qui accèdent aux données.
• Les sous-traitants ultérieurs : l'accès à la liste des fournisseurs utilisés (cloud, sauvegarde, outils de support), au moins sur demande, et la procédure d'information et d'opposition en cas de changement.
• Le lieu des données : les pays où les données et les sauvegardes sont stockées ou consultées.
• L'annonce des incidents : l'obligation de vous informer dans les meilleurs délais de toute violation de la sécurité des données.
• La fin de contrat : la restitution des données dans un format usuel, puis leur suppression, confirmée sur demande.
• L'assistance et le contrôle : l'aide apportée pour répondre aux demandes des personnes concernées et la possibilité de vérifier le respect du contrat.

Lieu des données et sous-traitants ultérieurs

La nLPD n'impose pas d'héberger les données en Suisse. Une communication à l'étranger reste possible vers un État dont le Conseil fédéral reconnaît le niveau de protection, ou avec des garanties appropriées, par exemple des clauses contractuelles types. Encore faut-il savoir où vont les données : un prestataire local peut s'appuyer sur un service cloud, un outil de prise en main à distance ou une plateforme de sauvegarde situés ailleurs.

Demandez la liste de ces sous-traitants ultérieurs, avec le pays de stockage, et la façon dont vous serez prévenu d'un changement. Cette liste vous sert aussi à répondre à un client qui demande où se trouvent ses données.

Annonce des incidents et fin de contrat

En cas de violation de la sécurité des données, c'est vous qui l'annoncez au PFPDT lorsque le risque pour les personnes concernées est vraisemblablement élevé. Le sous-traitant, lui, doit vous informer dans les meilleurs délais. Le contrat précise comment : un interlocuteur désigné de chaque côté, le canal utilisé pour l'alerte et les plages pendant lesquelles il est suivi, ainsi que les informations transmises (nature de l'incident, données touchées, mesures prises).

La fin de contrat se prépare dès la signature. Prévoyez la restitution des données, des accès administrateur et de la documentation, avec le format, le délai et ce qui est inclus ou facturé, puis la suppression des copies chez le prestataire : dans un délai fixé pour les données actives et, dans les sauvegardes, au plus tard à l'expiration de leur durée de rétention. Un changement de prestataire se fait alors sans dépendance.

Comment vérifier son contrat : les questions à poser

Si aucun document (contrat séparé ou clauses des conditions générales) ne règle la sous-traitance avec votre prestataire, ou si le document existant date d'avant la nLPD, quatre étapes suffisent pour remettre les choses en ordre. Les questions ci-dessous servent de fil conducteur.

• Où sont stockées nos données et nos sauvegardes, et depuis quels pays sont-elles consultables ?
• Quels sous-traitants utilisez-vous, et comment serons-nous informés d'un changement ?
• Qui, chez vous, a accès à nos comptes administrateur, et ces accès sont-ils journalisés ?
• Dans quel délai et par quel canal nous informez-vous d'un incident ?
• Comment récupérons-nous nos données et nos accès à la fin du contrat ?

Comment SysPros aborde la question

Pour les données personnelles qu'elle traite pour le compte de ses clients, SysPros agit comme sous-traitant, et ce cadre est intégré à ses conditions générales. Les sauvegardes que nous opérons sont stockées sur trois sites en Suisse certifiés ISO 27001 (Genève, Gland et Lucerne) ; l'offre précise les pays de stockage et d'accès applicables. Les questions ci-dessus font partie de nos échanges avant la signature d'un contrat.