Accord de sous-traitance pour l'e-mail : ce qu'il faut savoir
Qu'est-ce qu'un accord de sous-traitance pour l'e-mail ?
Un accord de sous-traitance (parfois en anglais : DPA, Data Processing Agreement) est un contrat qui régit la façon dont un sous-traitant gère les données à caractère personnel qu'il traite en votre nom. Le RGPD décrit, à l'article 28, ce qu'un tel accord doit contenir.
L'idée sous-jacente est claire : si vous traitez vous-même des données à caractère personnel et faites appel pour cela à une partie externe, vous restez responsable de ce qu'il advient de ces données. L'accord de sous-traitance fixe par écrit les engagements qui s'y appliquent, afin que cela ne reste pas de simples promesses. Pensez à la finalité du traitement, aux mesures de sécurité, à la confidentialité, et à ce qui se passe à la fin de la collaboration.
Pourquoi cela compte
Pour qui travaille avec des données de clients, de patients ou de membres, ce n'est pas une formalité. Si vous traitez des données à caractère personnel et en sous-traitez une partie, le RGPD attend que vous consigniez proprement les engagements. Sans accord, il est difficile de démontrer que vous procédez avec soin, et la responsabilité vous revient malgré tout.
Il y a aussi un aspect pratique. Les autorités de contrôle et les clients le demandent de plus en plus souvent. Si vous pouvez montrer que vous avez des engagements écrits avec vos sous-traitants, vous êtes en meilleure position. « Nous l'avons réglé oralement » est une réponse qui soulève des questions.
Important à nuancer : toutes les situations ne nécessitent pas un accord de sous-traitance, et les exigences précises dépendent de qui joue quel rôle. Cela relève du sur-mesure, et il est parfois judicieux de faire vérifier.
Pour les petites organisations, c'est souvent un point confus. Vous entendez que vous « devez avoir un accord de sous-traitance », mais rarement pour quoi exactement. En pratique, il s'agit des parties qui traitent des données en votre nom : pensez à un logiciel de comptabilité, un service d'infolettre ou votre fournisseur d'e-mail, selon la façon dont vous les utilisez. Pour chacun d'eux, la question de savoir s'il doit y avoir un accord se pose séparément. Garder une vue d'ensemble des parties concernées est alors la première et la plus importante étape.
Comment ça fonctionne
Pour déterminer si vous en avez besoin, il est utile de distinguer les rôles :
- Responsable du traitement. C'est vous, si vous déterminez pourquoi et comment des données à caractère personnel sont traitées. C'est vous qui avez la main.
- Sous-traitant. C'est une partie qui traite des données à caractère personnel en votre nom, selon vos instructions, sans en déterminer elle-même la finalité.
- L'accord. Si une partie externe traite des données en votre nom, le RGPD peut exiger un accord de sous-traitance. Y figurent notamment l'objet et la finalité, les types de données, les mesures de sécurité, la confidentialité, le recours à des sous-traitants ultérieurs, et ce qui se passe à la fin de la collaboration.
Savoir si un fournisseur d'e-mail est, dans votre situation, considéré comme sous-traitant dépend de la façon dont vous utilisez le service et des données qui y sont traitées. C'est précisément le type d'appréciation pour lequel vous consultez un spécialiste en cas de doute. Ce que « conforme au RGPD » signifie par ailleurs, vous le lisez dans e-mail conforme au RGPD : qu'est-ce que cela signifie.
À quoi être attentif
Quelques points d'attention et malentendus :
- Croire que vous avez toujours besoin d'un accord de sous-traitance. Ce n'est pas le cas. Cela dépend des rôles et de ce qui est précisément traité. Ne précipitez rien, mais ne l'ignorez pas non plus.
- Confondre les rôles. Une partie n'est pas automatiquement « sous-traitant ». Parfois, un prestataire est lui-même responsable du traitement pour certaines données. Cette qualification détermine quels engagements conviennent.
- Signer aveuglément un texte type. Un accord doit correspondre à votre situation et aux données que vous traitez. Lisez ce qu'il contient, et vérifiez si la sécurité et les sous-traitants ultérieurs mentionnés sont corrects.
- Croire que l'accord fait le travail à votre place. Le papier seul ne vous rend pas conforme. Votre propre méthode de travail, votre sécurité et votre soin continuent de compter. Voyez aussi le RGPD pour les petites organisations.
Encore une fois : ce sont des points d'attention généraux, pas un jugement juridique définitif pour votre situation. Savoir si et quel accord de sous-traitance vous est nécessaire relève du sur-mesure ; consultez en cas de doute un spécialiste ou l'Autorité de protection des données (APD), l'autorité belge.
Et chez Mailflux
Mailflux héberge votre e-mail en Europe, de manière conforme au RGPD, sur votre propre domaine, avec des connexions chiffrées, un filtrage contre le spam, le phishing et les logiciels malveillants, des sauvegardes automatiques et la vérification en deux étapes en option. Votre contenu n'est pas analysé à des fins publicitaires. C'est la base technique et organisationnelle sur laquelle vous construisez ensuite.
Vous avez besoin, pour votre situation, d'un accord de sous-traitance, ou vous voulez savoir quels engagements sont possibles ? Alors n'hésitez pas à contacter Mailflux, nous verrons ensemble ce qui est envisageable. Ce qui est requis dans votre cas dépend de votre situation et des rôles ; consultez un spécialiste en cas de doute. Vous en lirez davantage sur le volet hébergement dans hébergement e-mail européen sur votre propre domaine.
FAQ
Questions fréquentes
Ai-je toujours besoin d'un accord de sous-traitance pour mon e-mail ?
Pas toujours. Cela dépend des rôles et de ce qui est précisément traité. Si une partie externe traite des données à caractère personnel en votre nom, le RGPD peut exiger un accord. Ce qui s'applique dans votre cas relève du sur-mesure ; consultez un spécialiste en cas de doute.
Que doit contenir un accord de sous-traitance ?
Le RGPD (article 28) mentionne notamment l'objet et la finalité du traitement, les types de données, les mesures de sécurité, la confidentialité, les engagements relatifs aux sous-traitants ultérieurs et ce qui se passe à la fin de la collaboration. La mise en œuvre précise dépend de votre situation.
Mailflux propose-t-il un accord de sous-traitance ?
Pour cela, prenez contact avec Mailflux, nous verrons ensemble ce qui est possible pour votre situation. La base, un hébergement européen conforme au RGPD avec des connexions chiffrées, est en tout cas assurée. Ce qui est requis par ailleurs relève du sur-mesure ; consultez un spécialiste en cas de doute.
Quelle est la différence entre un sous-traitant et un responsable du traitement ?
Le responsable du traitement détermine pourquoi et comment des données à caractère personnel sont traitées ; c'est vous, pour vos propres clients ou membres. Un sous-traitant traite ces données en votre nom, selon vos instructions. Qui joue quel rôle détermine si et quels engagements le RGPD attend.