Violation de données chez un sous-traitant : qui notifie ?

Un prestataire de paie signale une intrusion, un éditeur de CRM annonce qu'une base client a été exposée, un hébergeur découvre une sauvegarde accessible sans mot de passe. L'incident survient chez un sous-traitant, mais les données appartiennent à ses clients, qui restent responsables de traitement. Cette configuration, que l'on peut appeler violation de données sous-traitant, soulève quatre questions : qui prévient qui, dans quel délai, qui répond devant la CNIL et les personnes, que doit prévoir le contrat.

Cet article ne revient pas sur la définition d'une violation de données ni sur la réaction générale en 72 heures, traitées ailleurs sur ce site : il porte sur la répartition des rôles entre le client et son prestataire.

Qui doit notifier qui, et dans quel délai ?

Le sous-traitant notifie le responsable de traitement dans les meilleurs délais après avoir pris connaissance de la violation. Le responsable notifie ensuite la CNIL au plus tard 72 heures après avoir été informé, si la violation présente un risque pour les personnes. Le sous-traitant ne saisit pas la CNIL de lui-même.

L'article 33, paragraphe 2, du RGPD impose au sous-traitant de notifier « dans les meilleurs délais » toute violation au responsable de traitement, sans nombre d'heures. Les lignes directrices 9/2022 du CEPD précisent que le sous-traitant n'a pas à évaluer le risque avant d'alerter, et que le responsable est réputé avoir pris connaissance de la violation dès qu'il en est informé. Dans une violation de données sous-traitant, les 72 heures de l'article 33, paragraphe 1, courent donc à partir de cette alerte.

La CNIL rappelle sur sa page consacrée aux violations de données qu'une notification initiale dans les 72 heures peut être complétée ensuite (article 33, paragraphe 4). En cas de risque élevé, l'article 34 impose en outre d'informer les personnes concernées dans les meilleurs délais.

Qui est responsable devant la CNIL et devant les personnes ?

Le responsable de traitement reste l'interlocuteur de la CNIL et des personnes, même si l'incident s'est produit chez son prestataire. Le sous-traitant engage sa propre responsabilité s'il a manqué aux obligations que le RGPD lui impose directement ou s'il a agi hors des instructions de son client. Les deux peuvent être sanctionnés.

L'article 28, paragraphe 1, oblige le responsable à ne retenir que des sous-traitants présentant des garanties suffisantes : choisir un prestataire sans vérifier sa sécurité est un manquement du client. L'article 82 du RGPD distingue ensuite les rôles : le responsable répond du dommage causé par le traitement, le sous-traitant seulement s'il a méconnu ses obligations propres ou les instructions du responsable. Si les deux sont impliqués, chacun peut devoir réparer la totalité du dommage, puis se retourner contre l'autre.

La violation de données sous-traitant ne transfère donc pas la responsabilité : elle la partage. L'article 83, paragraphe 4, prévoit pour les manquements aux articles 25 à 39, dont la sécurité et la notification, une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, pour le responsable comme pour le sous-traitant. La CNIL a ainsi sanctionné en avril 2022 l'éditeur Dedalus Biologie d'une amende de 1,5 million d'euros après une fuite de données de santé, pour manquements aux articles 28, 29 et 32.

Ce que le contrat de sous-traitance doit prévoir

Le contrat doit transformer « dans les meilleurs délais » en un délai chiffré, désigner les interlocuteurs et fixer le contenu de l'alerte. Sans cela, rien n'oblige le prestataire à fournir les éléments nécessaires à la notification.

L'article 28, paragraphe 3, point f, impose que le contrat de sous-traitance prévoie l'aide du sous-traitant pour le respect des articles 32 à 36, ce qui couvre la notification de violation à l'autorité de contrôle et l'information des personnes. Les clauses types publiées par la CNIL vont plus loin : un délai maximum en heures, à négocier, et une alerte décrivant la nature de la violation, les personnes concernées, les conséquences probables et les mesures prises. Une option permet de confier au sous-traitant la notification à la CNIL au nom du responsable. Le contrat organise la réponse à une violation de données sous-traitant avant qu'elle ne survienne ; après l'incident, il est trop tard pour négocier.

La marche à suivre côté client, étape par étape

Face à une violation de données sous-traitant, le client n'attend pas la fin de l'enquête du prestataire. Il horodate l'alerte, qualifie le risque, notifie la CNIL si nécessaire, informe les personnes en cas de risque élevé, puis documente l'ensemble.

1. 1Horodater — Consignez la date et l'heure de l'alerte du prestataire : c'est le départ de vos 72 heures.
2. 2Qualifier — Identifiez avec lui les traitements, les données et les personnes touchées, puis le niveau de risque.
3. 3Notifier — Si la violation présente un risque, déposez une notification initiale auprès de la CNIL dans les 72 heures, à compléter ensuite.
4. 4Informer — En cas de risque élevé, informez les personnes concernées, sauf si les données étaient chiffrées ou si le risque a été écarté.
5. 5Documenter — Inscrivez la violation dans votre registre des violations (faits, effets, mesures prises), même sans notification.
6. 6Tirer les conséquences — Exigez le rapport d'incident, vérifiez les mesures correctives et exercez votre droit d'audit (article 28, paragraphe 3, point h) si nécessaire.

Selon l'article 33, paragraphe 5, ce registre permet à la CNIL de vérifier le respect de l'obligation de notification ; d'après la procédure décrite par la CNIL, le récapitulatif de la notification peut en tenir lieu. Un prestataire dont l'incident touche plusieurs clients doit rendre compte à chacun d'eux.

À retenir

• Le sous-traitant alerte son client dans les meilleurs délais, sans attendre d'évaluer le risque.
• Les 72 heures du responsable de traitement commencent lorsque le prestataire l'a informé.
• Le client reste l'interlocuteur de la CNIL et des personnes ; le prestataire répond de ses propres manquements.
• Le contrat fixe un délai d'alerte en heures, des interlocuteurs et le contenu de l'alerte.