RGPD : les entreprises IT face aux transferts d’obligations de leurs clients

Les changements réglementaires impliquent toujours une période d’adaptation. L’arrivée du Règlement général sur la protection des données (RGPD) en mai dernier modifie les rapports entre clients et prestataires informatiques.

Depuis le 25 mai dernier, le RGPD s’applique dans toute l’Union Européenne. Pour les prestataires informatiques, c’est à la fois une contrainte et une opportunité. Les dépenses de conformité devraient peser 958 millions d’euros en 2018, estime le Syntec Numérique. Reste pour les entreprises IT à trouver l’équilibre avec leurs clients, résume Zdnet.

Prendre garde à son statut

Le transfert de risque vers les sous-traitants reste très tentant. Dans un communiqué du 31 mai dernier, le syndicat des entreprises numérique invite à la vigilance « dans la répartition des responsabilités contractuelles de chacun ». Face aux donneurs d’ordre, les fournisseurs doivent veiller à bien qualifier leurs relations commerciales.

Il existe une grande différence entre le statut de « responsable », celui de « responsable conjoint » et de « sous-traitant conjoint » du traitement. Dans la majorité des contrats de prestations informatiques (hébergement, infogérance, etc.), le client a qualité de responsable assure le Syntec Numérique. Il détermine les finalités et moyens du traitement.

Assumer ses responsabilités

Notez que l’entrée en vigueur du RGPD peut aussi modifier les contrats en cours. Mieux vaut vérifier si vous n’êtes pas concernés par une requalification. Elle doit s’effectuer par l’intermédiaire d’un « juge ou (d’)une autorité de contrôle ». Le prestataire doit mettre en œuvre les procédures adaptées au risque pour aider le responsable du traitement.

Quand une instruction contrevient au RGPD, le prestataire doit en informer son client. De même, il doit lui notifier les éventuels accidents de sécurité « dans les meilleurs délais ». En termes de protection des données, le prestataire reste responsable même s’il sous-traite à son tour. Le client doit en être informé de tout changement, et il peut poser des objections.