Prestataire de recyclage : le contrat de sous-traitance RGPD
Quand un prestataire efface ou détruit les disques de vos ordinateurs, il manipule vos données personnelles. Le RGPD en fait un sous-traitant, avec un contrat obligatoire. Voici ce qu'il doit contenir.
Effacer ou détruire des données, c'est les traiter
Le RGPD définit le traitement de données personnelles de façon très large : toute opération appliquée à des données, de leur collecte à leur conservation, et jusqu'à leur effacement ou leur destruction. La fin de vie des données fait donc partie du traitement. Un ordinateur qui contient des courriels, des fichiers clients ou des documents de ressources humaines reste un support de données personnelles jusqu'à ce que ces données aient effectivement disparu.
L'entreprise qui a collecté ces données en est le responsable du traitement. C'est elle qui décide de les effacer, et qui doit garantir leur sécurité jusqu'au bout, conformément à l'obligation de sécurité posée par le RGPD. Confier l'effacement de données à un tiers ne la décharge pas de cette responsabilité : elle doit encadrer l'intervention de ce tiers.
Les données présentes sur un poste ne se limitent pas aux documents enregistrés par l'utilisateur. Copies locales de messagerie, fichiers temporaires, historique et mots de passe enregistrés dans le navigateur, caches d'applications métier : un ordinateur de bureau contient presque toujours des données personnelles, même quand l'entreprise travaille principalement dans le cloud. C'est pourquoi chaque support doit être traité comme s'il en contenait.
Le prestataire de recyclage, sous-traitant au sens du RGPD
Le sous-traitant est la personne qui traite des données personnelles pour le compte du responsable du traitement. Un prestataire qui collecte des ordinateurs, efface leurs disques ou les détruit répond exactement à cette définition : il manipule des supports contenant vos données, sur votre instruction, pour atteindre un objectif que vous avez fixé, leur effacement.
Cette qualification a des conséquences concrètes. L'entreprise doit choisir un prestataire qui présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Et la relation doit être encadrée par un contrat, ou un autre acte juridique, écrit, qui reprend les mentions prévues par l'article 28 du RGPD. Un simple devis ou un bon de commande ne suffit pas.
Pour apprécier ces garanties, l'entreprise peut demander au prestataire de décrire ses méthodes d'effacement et de destruction, les normes qu'il applique, la forme des certificats qu'il remet, ses procédures de traçabilité et de gestion des incidents. Des réponses précises et écrites sont un bon indicateur ; des réponses vagues sont un signal d'alerte, quel que soit le prix proposé.
Ce que le contrat doit obligatoirement prévoir
L'article 28 du RGPD liste le contenu minimal du contrat. Il décrit d'abord le traitement : son objet, sa durée, sa nature et sa finalité, le type de données concernées et les catégories de personnes dont les données figurent sur les supports. Il fixe ensuite les obligations du sous-traitant envers l'entreprise.
La Commission européenne a publié des clauses contractuelles types pour la relation entre responsable du traitement et sous-traitant, qui peuvent servir de base. L'essentiel est que chaque obligation soit écrite, et que l'entreprise puisse vérifier qu'elle est respectée.
- N'agir que sur instruction documentée de l'entreprise
- Engager la confidentialité des personnes qui interviennent
- Mettre en œuvre des mesures de sécurité appropriées
- Ne recourir à un autre sous-traitant qu'avec autorisation
- Aider l'entreprise en cas d'incident ou de demande
- Supprimer les données en fin de mission et le prouver
- Permettre les audits et fournir les informations utiles
Les clauses propres au recyclage informatique
Au-delà du socle de l'article 28, un contrat de recyclage informatique gagne à préciser les points propres à l'activité. Les méthodes d'abord : effacement selon la norme NIST 800-88 pour les supports réemployés, destruction physique adaptée à chaque technologie pour les autres, avec la règle qui détermine le choix entre les deux. Les preuves ensuite : certificat d'effacement par numéro de série, certificat de destruction, rapprochement des quantités.
Le contrat peut aussi fixer un délai maximal entre l'enlèvement et le traitement, les conditions de stockage intermédiaire, les modalités de transport et le sort des appareils qui ne peuvent pas être effacés. Plus ces points sont précis, moins il y a de place pour l'interprétation le jour où une question se pose.
Le contrat peut enfin préciser les assurances du prestataire, la confidentialité des informations dont il a connaissance pendant l'opération, comme l'adresse des sites ou l'organisation des services, et les conditions dans lesquelles l'entreprise peut auditer ses pratiques. Ces clauses ne remplacent pas le socle de l'article 28 : elles le complètent pour l'adapter à la réalité d'un recyclage informatique.
Les sous-traitants ultérieurs : centres de traitement et transporteurs
Un prestataire de recyclage s'appuie rarement sur ses seuls moyens. Le transport, l'effacement ou la destruction peuvent être confiés à d'autres opérateurs, comme une installation de traitement agréée. Pour le RGPD, ces opérateurs sont des sous-traitants ultérieurs. Le prestataire ne peut y recourir qu'avec l'autorisation écrite, générale ou spécifique, de l'entreprise, et doit leur imposer les mêmes obligations que celles de son propre contrat.
En pratique, le contrat prévoit une autorisation générale assortie d'une information préalable de l'entreprise en cas de changement, qui peut alors s'y opposer. Le prestataire principal reste pleinement responsable envers l'entreprise de l'exécution des obligations de ses propres sous-traitants. C'est ce qui permet à l'entreprise de n'avoir qu'un interlocuteur, sans perdre la maîtrise de la chaîne.
Incident, perte, écart : qui prévient qui ?
Le RGPD impose au sous-traitant de notifier au responsable du traitement toute violation de données dans les meilleurs délais après en avoir pris connaissance. Pour un prestataire de recyclage, cela couvre la perte d'un support, un vol pendant le transport ou un écart inexpliqué lors du rapprochement. Le contrat doit préciser le canal, le délai et le contenu attendu de cette notification.
C'est ensuite à l'entreprise, responsable du traitement, d'évaluer le risque pour les personnes et, le cas échéant, de notifier la violation à la CNIL, si possible dans les soixante-douze heures après en avoir pris connaissance. Elle ne peut tenir ce délai que si son prestataire l'a prévenue sans attendre. D'où l'importance d'une clause claire, connue de tous avant qu'un incident n'arrive.
Les preuves qui ferment le contrat
À la fin de la mission, le RGPD prévoit que le sous-traitant supprime ou restitue les données, selon le choix du responsable du traitement. Pour un prestataire de recyclage, la suppression est l'objet même de la mission : la preuve de fin de contrat, ce sont les certificats d'effacement et de destruction, rattachés à l'inventaire de départ.
Conservez ces preuves avec le contrat et votre registre des activités de traitement. En cas de contrôle de la CNIL, elles démontrent que l'entreprise a encadré son sous-traitant et obtenu la preuve de l'effacement. Elles permettent aussi de répondre à une personne qui demande ce que sont devenues ses données. Un recyclage informatique bien contractualisé se termine ainsi par un dossier complet, pas seulement par une facture.
Dès qu'un prestataire efface ou détruit les supports de vos ordinateurs, il traite vos données personnelles pour votre compte : c'est un sous-traitant, et le RGPD impose un contrat écrit. Méthodes, sous-traitants ultérieurs, notification des incidents et preuves de fin de mission doivent y figurer. Pour une prestation encadrée et documentée, faites une demande de recyclage.
Questions fréquentes
Un prestataire de recyclage informatique est-il un sous-traitant RGPD ?
Oui, dès lors que les équipements qu'il prend en charge contiennent des données personnelles. Le RGPD considère l'effacement et la destruction de données comme des traitements. Le prestataire qui efface ou détruit les supports pour le compte de l'entreprise agit donc comme sous-traitant, ce qui impose un contrat conforme à l'article 28.
Faut-il un contrat écrit avec le prestataire de destruction des données ?
Oui. L'article 28 du RGPD exige un contrat ou un autre acte juridique, sous forme écrite, y compris électronique. Il fixe l'objet, la durée, les mesures de sécurité, les conditions de recours à d'autres sous-traitants, l'assistance en cas d'incident et la suppression des données en fin de mission. Un devis seul ne suffit pas.
Qui est responsable en cas de fuite de données après la collecte ?
L'entreprise reste responsable du traitement : elle doit évaluer l'incident et le notifier à la CNIL s'il présente un risque. Le prestataire répond de ses propres manquements, notamment s'il n'a pas respecté le contrat ou les mesures de sécurité prévues. Un contrat précis et des preuves complètes protègent les deux parties.
Du matériel informatique à recycler ?
Deux questions, une proposition sous 24 h, collecte partout en France.
