Qu’est-ce qu’un Accord de traitement des données (ATD) ?

L’article 28, paragraphe 3, fixe le cadre. Le contrat, ou un autre acte juridique au titre du droit de l’Union ou d’un État membre, lie le sous-traitant et définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Il impose ensuite au sous-traitant de :

• ne traiter les données que sur instruction documentée du responsable, y compris pour les transferts vers un pays tiers, et l’avertir si la loi l’oblige à faire autrement ;
• veiller à ce que les personnes autorisées à traiter les données soient tenues à la confidentialité ;
• prendre toutes les mesures de sécurité requises par l’article 32 ;
• respecter les conditions de recours à un autre sous-traitant ;
• aider le responsable à répondre aux demandes des personnes concernées, comme les demandes d’accès ;
• aider le responsable pour la sécurité, la notification des violations, les AIPD et la consultation préalable (articles 32 à 36) ;
• supprimer ou renvoyer toutes les données au terme de la prestation, au choix du responsable ;
• mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits, y compris des inspections.

Le sous-traitant informe aussi immédiatement le responsable si, selon lui, une instruction constitue une violation du droit de la protection des données. Les lignes directrices 07/2020 du CEPD ajoutent que le contrat ne doit pas se contenter de reprendre le RGPD : il doit dire concrètement comment chaque exigence sera respectée et quel niveau de sécurité le traitement exige.

Selon l’article 28, paragraphe 2, le sous-traitant ne peut recruter un autre sous-traitant sans l’autorisation écrite préalable du responsable du traitement, spécifique ou générale. Le CEPD explique la différence :

• L’autorisation spécifique désigne un sous-traitant ultérieur pour une activité donnée. Tout changement exige une nouvelle autorisation, et une demande restée sans réponse dans le délai convenu vaut refus.
• L’autorisation générale, en général accompagnée d’une liste de sous-traitants ultérieurs approuvés en annexe, oblige le sous-traitant à informer le responsable de tout ajout ou remplacement envisagé pour lui permettre de s’y opposer. Le silence dans le délai convenu vaut accord.

Dans les deux cas, le responsable doit recevoir la liste des sous-traitants ultérieurs avec leur localisation, leurs tâches et les garanties mises en place, et le contrat doit fixer le délai d’opposition et la suite donnée à une opposition. Chaque sous-traitant ultérieur est lié par contrat aux mêmes obligations en matière de protection des données (article 28, paragraphe 4), et le sous-traitant initial reste pleinement responsable envers le responsable de l’exécution de ses obligations.

Les deux sont possibles. L’article 28, paragraphe 7, permet à la Commission d’adopter des clauses contractuelles types entre responsables et sous-traitants, ce qu’elle a fait par la décision d’exécution (UE) 2021/915 du 4 juin 2021, et l’article 28, paragraphe 8, permet à une autorité de contrôle d’adopter les siennes. Le CEPD est clair : rien n’oblige à les utiliser, et un contrat négocié au cas par cas est tout aussi valable s’il couvre l’article 28, paragraphe 3.

Beaucoup de prestataires intègrent un ATD à leurs conditions générales. Ce n’est pas un problème en soi, mais le responsable qui accepte ces conditions en assume aussi toute la responsabilité, et un rapport de force défavorable n’excuse pas des clauses contraires à la loi. Les modifications proposées par le sous-traitant doivent être notifiées au responsable et approuvées par lui ; le CEPD précise que leur simple publication sur le site du sous-traitant n’est pas conforme à l’article 28. Le contrat est écrit, y compris sous forme électronique (article 28, paragraphe 9).

Un ATD ne couvre pas les transferts hors EEE. Ceux-ci exigent un instrument de transfert du chapitre V et en général une analyse d’impact sur le transfert.

L’article 9 de la nLPD permet de confier un traitement à un sous-traitant par contrat ou par la loi, à condition que seuls soient effectués les traitements que le responsable serait en droit d’effectuer lui-même et qu’aucune obligation légale ou contractuelle de garder le secret ne l’interdise. Le responsable doit en particulier s’assurer que le sous-traitant est en mesure de garantir la sécurité des données, et le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation préalable du responsable.

La nLPD ne dresse pas de liste de clauses obligatoires comme l’article 28, paragraphe 3 : un contrat rédigé selon le standard du RGPD va donc en général plus loin dans le détail que le droit suisse. Selon l’article 17, alinéa 2, de l’ordonnance sur la protection des données, le sous-traitant qui détient les données aide aussi le responsable à répondre aux demandes d’accès lorsqu’il n’y répond pas pour son compte. Voir le guide nLPD.