Fuite de données chez un prestataire : qui est responsable ?

L'appel arrive souvent du prestataire lui-même : « Nous avons subi un incident de sécurité ; des données de vos clients sont potentiellement concernées. » Hébergeur, éditeur de logiciel SaaS, agence marketing, infogérant, cabinet de paie : les entreprises confient chaque jour des données personnelles à des sous-traitants • et héritent des conséquences quand ceux-ci sont attaqués.

Première idée à corriger : « c'est chez lui, c'est son problème ». En droit des données personnelles, le responsable de traitement reste en première ligne, même quand la défaillance est celle du sous-traitant.

Qui est qui ? Responsable de traitement et sous-traitant

Le RGPD distingue deux rôles :

• •le responsable de traitement : celui qui décide pourquoi et comment les données sont traitées • typiquement, vous, pour vos fichiers clients et RH ;
• •le sous-traitant : celui qui traite les données pour votre compte et sur vos instructions • l'hébergeur, le SaaS, le prestataire de paie.

Cette qualification ne dépend pas du contrat mais de la réalité des rôles. Elle détermine les obligations de chacun en cas de violation.

En cas de fuite chez le sous-traitant : les obligations croisées

Le mécanisme légal est précis :

1. Le sous-traitant doit vous notifier la violation dans les meilleurs délais après en avoir pris connaissance (article 33.2 du RGPD).
2. C'est à vous, responsable de traitement, de notifier la CNIL sous 72 heures si la violation présente un risque • le délai courant à partir du moment où le sous-traitant vous a informé.
3. C'est encore à vous d'informer les personnes concernées en cas de risque élevé.
4. Chacun documente l'incident dans son registre.

Concrètement : vous ne pouvez pas vous retrancher derrière l'inaction de votre prestataire, et lui ne peut pas notifier la CNIL « à votre place » pour vous en décharger.

Le contrat de sous-traitance : votre meilleure protection

L'article 28 du RGPD impose un contrat écrit encadrant la sous-traitance de données (le « DPA », Data Processing Agreement). En cas d'incident, ce contrat devient votre carte maîtresse. Points à vérifier • idéalement avant l'incident :

• •délai d'alerte : le contrat précise-t-il un délai chiffré (24 h, 48 h) pour vous notifier une violation ?
• •coopération : obligation du prestataire de fournir journaux, rapports d'analyse et assistance pour vos notifications ;
• •mesures de sécurité : engagements précis (chiffrement, sauvegardes, certifications) dont la violation caractérise un manquement contractuel ;
• •responsabilité et assurance : plafonds de responsabilité, garanties, assurance cyber du prestataire ;
• •audits : votre droit de faire auditer la sécurité du prestataire.

Un plafond de responsabilité très bas ou une clause d'alerte vague peuvent transformer un incident gérable en impasse indemnitaire : la relecture de vos DPA par un avocat est un investissement rentable.

Recours contre le prestataire : sur quels fondements ?

Si la fuite résulte d'un manquement du sous-traitant (sécurité insuffisante, alerte tardive, non-respect de vos instructions), plusieurs leviers existent :

• •responsabilité contractuelle : indemnisation des préjudices (gestion de crise, notification, perte de clients, atteinte à l'image), dans les limites du contrat ;
• •article 82 du RGPD : régime spécifique de responsabilité, avec possibilité pour celui qui a indemnisé les personnes concernées de se retourner contre l'autre acteur à hauteur de sa part de responsabilité ;
• •garanties d'assurance : la vôtre et celle du prestataire peuvent intervenir, avec des recours entre assureurs.

La CNIL, de son côté, peut sanctionner les deux : le sous-traitant pour ses manquements propres, et vous, par exemple pour un choix de prestataire insuffisamment diligent ou un encadrement contractuel défaillant.

Vis-à-vis de vos clients : assumer, informer, tracer

Vos clients ne connaissent que vous. En cas de risque élevé, l'information des personnes concernées vous incombe, en termes clairs et sans minimisation trompeuse. Une communication maladroite peut aggraver le préjudice réputationnel et se retourner contre vous dans un contentieux ultérieur : faites-la relire.

Glossaire express

• •DPA (Data Processing Agreement) : contrat obligatoire encadrant la sous-traitance de données personnelles.
• •Article 28 RGPD : article imposant le contenu minimal du contrat de sous-traitance.
• •Article 82 RGPD : régime de responsabilité et de réparation des dommages entre acteurs du traitement.

À lire aussi : Violation de données RGPD : faut-il notifier la CNIL ? et le dossier complet RGPD, hacking, vol de données.

Sources officielles : CNIL (sous-traitance, guide RGPD), CEPD/EDPB (lignes directrices responsable/sous-traitant), Legifrance (RGPD, articles 28, 33 et 82).

Les contenus et outils proposés sur LeDroitEnClair.fr ont une vocation informative. Ils ne remplacent pas une consultation personnalisée auprès d'un avocat, d'un DPO ou d'un professionnel qualifié en cybersécurité.