Qui est « sous-traitant » ?
Toute entreprise qui traite des données personnelles pour votre compte. La liste est plus longue qu'on ne croit :
- Votre expert-comptable (données de paie de vos salariés)
- Votre logiciel de facturation ou votre CRM en ligne
- Votre hébergeur de site et votre fournisseur de messagerie
- Votre prestataire informatique, s'il accède à vos fichiers
- Le service d'envoi de vos newsletters
Ce que la loi demande
Un contrat écrit qui précise ce que le sous-traitant a le droit de faire avec les données, ce qu'il doit sécuriser, s'il peut lui-même sous-traiter, ce qui se passe à la fin du contrat, et comment il vous prévient en cas de fuite.
On l'appelle souvent DPA, pour Data Processing Agreement. C'est le même document.
La bonne nouvelle
Pour les gros services (Microsoft, Google, les logiciels du marché), ce contrat existe déjà : il est intégré aux conditions générales que vous avez acceptées. Vous n'avez rien à négocier, juste à savoir où le trouver et à en garder une trace.
Pour vos prestataires locaux - comptable, informaticien, agence -, c'est là qu'il manque souvent. Une annexe d'une page au contrat existant suffit généralement.
Ce que ça change en pratique
Deux choses. D'abord, en cas de contrôle, vous montrez que vous savez qui détient vos données. Ensuite, et c'est plus utile au quotidien : le contrat oblige votre prestataire à vous prévenir s'il subit une fuite. Sans lui, vous pourriez l'apprendre par la presse.
Par où commencer
Faites la liste. Juste la liste, sur une feuille : qui a accès à quelles données. C'est le point de départ, et ça se fait en une demi-heure. Le reste découle naturellement.
