Règlement (UE) 2016/679, articles 28 et 32

DPO externalisé pour les éditeurs de logiciels et plateformes SaaS

Un éditeur SaaS est, pour les données que ses clients déposent dans son produit, un sous-traitant au sens de l'article 4.8 du règlement (UE) 2016/679. Cette position détermine tout : ce qu'il peut faire des données, ce qu'il doit accepter dans ses contrats, ce qu'il doit documenter, et ce qu'on lui demandera à chaque cycle de vente auprès d'un client un peu structuré.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Sous-traitant pour le produit, responsable pour l'entreprise

La frontière est nette mais souvent mal tracée. Les données que le client saisit dans l'application — ses propres clients, ses salariés, ses dossiers — sont traitées pour le compte du client : l'éditeur y est sous-traitant et ne peut agir que sur instruction documentée, comme l'exige l'article 28.3 a) du règlement.

Les données de ses propres prospects, de ses utilisateurs pour la facturation, de ses salariés, et les journaux techniques qu'il exploite pour améliorer son produit relèvent en revanche de finalités qu'il détermine lui-même : il y est responsable du traitement. C'est sur cette seconde catégorie que les écarts se logent, parce qu'un éditeur concentre naturellement son attention sur la première.

Le cas limite est celui de l'amélioration du produit à partir des données clients. Un éditeur qui entraîne un modèle ou construit des statistiques à partir des données déposées par ses clients poursuit une finalité propre : il sort du mandat de l'article 28 et devient responsable du traitement pour cette opération, avec toutes les conséquences que cela emporte, à commencer par le besoin d'une base légale qui lui soit propre.

Le registre de l'article 30.2, celui que les éditeurs oublient

L'article 30 du règlement prévoit deux registres distincts. Le paragraphe 1 vise le responsable du traitement ; le paragraphe 2 vise le sous-traitant, et impose la tenue d'un registre des catégories d'activités de traitement effectuées pour le compte de chaque responsable. Ce registre du paragraphe 2 est propre à l'éditeur, et son contenu n'est pas le même : il liste les clients pour le compte desquels il agit, les catégories de traitements, les transferts vers des pays tiers et la description des mesures de sécurité.

L'intérêt de ce registre n'est pas seulement de se mettre en règle : c'est le document qui permet de répondre en quelques heures à un questionnaire de sécurité client, et non en trois semaines. Un éditeur qui le tient à jour transforme une obligation en accélérateur de cycle de vente.

Les sous-traitants ultérieurs et leur notification

Un SaaS repose sur d'autres SaaS : hébergeur, service d'envoi d'e-mails transactionnels, outil de support, supervision, sauvegarde. Chacun est un sous-traitant ultérieur au sens de l'article 28.4, qui impose de lui faire porter les mêmes obligations que celles qui lient l'éditeur à son client, et laisse l'éditeur pleinement responsable devant celui-ci de l'exécution de ces obligations.

L'article 28.2 subordonne leur recrutement à une autorisation écrite du client, qui peut être générale. Une autorisation générale suppose alors une information préalable de tout changement et une possibilité effective d'objection. La pratique consistant à publier une liste sur une page web et à considérer sa mise à jour comme valant information ne satisfait pas cette exigence : elle ne prévient personne et n'ouvre aucun délai d'objection.

Ce qu'un client structuré demandera avant de signer

Le cycle de vente d'un éditeur auprès d'un grand compte, d'un acteur public ou d'une entité financière comporte désormais une revue de conformité. Quatre pièces sont systématiquement demandées, et leur absence retarde la signature plus sûrement qu'un écart de prix : l'accord de traitement conforme à l'article 28.3, la liste des sous-traitants ultérieurs avec leur localisation, la documentation des mesures de sécurité de l'article 32, et le mécanisme de transfert retenu au titre du chapitre V lorsque des données quittent l'Union.

S'y ajoute, pour un client soumis au règlement (UE) 2022/2554, l'exigence de clauses supplémentaires portant sur la résilience et la réversibilité, qui ne relèvent pas du règlement sur la protection des données mais figurent dans le même contrat.

Questions fréquentes

Un éditeur SaaS doit-il désigner un délégué à la protection des données ?

Le statut de sous-traitant ne dispense pas de l'obligation : l'article 37.1 du règlement (UE) 2016/679 vise expressément le responsable du traitement et le sous-traitant. L'obligation dépend donc de la nature des traitements opérés : un éditeur dont le produit réalise, pour le compte de ses clients, un suivi régulier et systématique à grande échelle, ou qui traite à grande échelle des données de l'article 9, entre dans le champ.

Peut-on utiliser les données des clients pour améliorer son produit ?

Pas au titre du mandat de sous-traitance. L'article 28.3 a) limite le sous-traitant aux instructions documentées du responsable. Une amélioration produit poursuit une finalité propre à l'éditeur, qui devient alors responsable du traitement pour cette opération et doit disposer d'une base légale, informer les personnes et, le plus souvent, prévoir une véritable anonymisation plutôt qu'une simple agrégation.

Une liste de sous-traitants publiée sur le site suffit-elle ?

Non, prise isolément. L'article 28.2 du règlement exige, en cas d'autorisation générale, que le sous-traitant informe le responsable de tout changement prévu et lui laisse la possibilité d'émettre des objections. Une page mise à jour sans notification ne remplit ni l'information préalable ni le délai d'objection : il faut un envoi actif aux clients et un délai écrit.

Faut-il un accord de traitement séparé ou des clauses dans le contrat ?

L'article 28.3 impose un contrat ou un autre acte juridique écrit, sans exiger de document séparé. Un accord distinct est en pratique préférable : il se met à jour sans rouvrir la négociation commerciale, et il se transmet tel quel aux équipes juridiques des clients pendant le cycle de vente.

Ce que ce régime déclenche ailleurs

Un hébergement ou une équipe de support située hors de l'Union fait entrer le produit dans le champ du chapitre V du règlement, et c'est la première question posée en revue de conformité.

Les transferts hors de l'Union européenne

Découper le parcours d'achat en traitements distincts : commande, prospection, mesure d'audience, lutte contre la fraude et avis clients, chacun avec sa base légale.

E-commerce

Qualifier le rôle de l'agence sur les campagnes de ses clients, sécuriser le ciblage publicitaire, les fichiers de prospection et les opérations d'enrichissement.

Agence marketing

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.