Une petite entreprise française souscrit un logiciel de facturation, un outil de gestion de la relation client ou une plateforme de recrutement en ligne. Les salariés y saisissent chaque jour des noms, des adresses électroniques, des numéros de téléphone, parfois des bulletins de salaire ou des relevés d’identité bancaire. Un matin, la direction découvre que l’éditeur héberge ces informations aux États-Unis, fait appel à des sous-traitants répartis sur trois continents et se réserve le droit de modifier unilatéralement ses conditions. La question surgit aussitôt : qui répond de ces données devant la Commission nationale de l’informatique et des libertés et devant les personnes fichées, que doit contenir le contrat signé avec le fournisseur, et comment récupérer les données si le contrat s’achève. Le présent article répond à ces trois questions pour une entreprise qui utilise un logiciel en tant que service, dit SaaS, ou une infrastructure en nuage, dite cloud, dont tout ou partie du traitement se déroule hors de l’Union européenne.
Le raisonnement tient en une phrase : l’entreprise cliente reste responsable du traitement au sens du règlement européen sur la protection des données, le fournisseur n’est que son sous-traitant encadré par un contrat écrit obligatoire, et tout envoi de données hors de l’Union exige un mécanisme de transfert régulier en plus de ce contrat. Les développements qui suivent décrivent d’abord le contenu exigé du contrat de sous-traitance, puis le régime des transferts vers les États-Unis, la sécurité, la sortie du contrat et les recours.
I. Le contrat de sous-traitance : ce que l’entreprise cliente doit exiger de son fournisseur SaaS
A. Qualifier les rôles et imposer un contrat écrit complet avant toute mise en service
Lorsqu’une entreprise choisit les finalités et les moyens d’un traitement, par exemple décider quels prospects relancer ou quels indicateurs de performance suivre, elle est responsable du traitement. Lorsqu’elle confie l’hébergement, le calcul ou le routage de ces données à un éditeur qui n’agit que pour son compte, cet éditeur est sous-traitant. Cette distinction commande tout le reste : le responsable choisit un prestataire qui présente des garanties suffisantes, et le sous-traitant n’agit que sur ses instructions. L’article 28, paragraphe 1, du règlement (UE) 2016/679 dispose que le responsable « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée ». Avant de signer, l’entreprise vérifie donc les certifications du fournisseur, sa politique de sécurité, la localisation annoncée des centres de données et l’existence d’un délégué à la protection des données chez un prestataire d’une certaine taille. Ces vérifications préalables se conservent par écrit : en cas de contrôle, elles prouvent que le choix n’a pas été aveugle.
Le traitement par le sous-traitant est ensuite régi par un contrat ou un autre acte juridique qui lie le prestataire, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable. Concrètement, l’annexe du contrat SaaS décrit les données confiées, par exemple les coordonnées des clients, les candidatures reçues ou les journaux de connexion, les personnes concernées, par exemple clients, salariés ou candidats, la durée du traitement alignée sur celle du contrat principal, et les finalités précises, par exemple l’hébergement, la sauvegarde et le support. Un contrat qui se borne à renvoyer aux conditions générales évolutives de l’éditeur, sans décrire ces éléments, ne satisfait pas à cette exigence. Le contrat prévoit notamment que le sous-traitant « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale », selon l’article 28, paragraphe 3, point a), du même règlement. Toute réutilisation des données du client pour entraîner les modèles du fournisseur, enrichir ses propres bases ou conduire des analyses pour son compte suppose donc une instruction distincte et, le plus souvent, un fondement propre : à défaut, elle sort du cadre de la sous-traitance et expose les deux sociétés.
Le contrat impose également la confidentialité des personnes autorisées à traiter les données, l’adoption de toutes les mesures de sécurité requises, l’aide apportée au responsable pour répondre aux demandes d’accès, de rectification ou d’effacement formées par les personnes, et l’aide relative à la sécurité, aux analyses d’impact et aux violations. Il prévoit que le sous-traitant met à la disposition du responsable toutes les informations nécessaires pour démontrer le respect de ses obligations et permet la réalisation d’audits, y compris des inspections, par le responsable ou un auditeur mandaté. Pour une PME, cette clause d’audit se négocie de façon réaliste : rapport d’audit indépendant de type SOC 2 ou certification ISO 27001 fournie chaque année, droit de diligenter un audit ciblé en cas d’incident grave, questionnaire de sécurité annuel. Enfin, le contrat règle le sort des données à la fin de la prestation : le sous-traitant supprime les données ou les renvoie au responsable, selon son choix, et supprime les copies existantes, sauf obligation légale de conservation. Cette stipulation prépare la réversibilité examinée en seconde partie.
B. Sous-traitants en cascade, entraide en cas d’incident et preuve écrite permanente
Un éditeur SaaS recourt presque toujours à ses propres prestataires : hébergeur d’infrastructure, réseau de diffusion de contenu, outil d’analyse, prestataire de support. Chacun de ces acteurs qui traite les données du client est un sous-traitant ultérieur, et sa désignation n’est pas libre. Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. En cas d’autorisation générale, le sous-traitant informe le responsable de tout changement prévu, ajout ou remplacement, en lui donnant la possibilité d’émettre des objections. L’entreprise cliente exige donc la liste nominative des sous-traitants ultérieurs avec leur pays d’hébergement, le mécanisme d’information préalable, par exemple une notification trente jours avant tout changement, et la répercussion contractuelle des mêmes obligations de protection sur chaque maillon de la chaîne. Lorsqu’un fournisseur refuse de communiquer cette liste ou se réserve des changements silencieux, le risque se déplace vers le client : c’est lui qui devra expliquer à l’autorité de contrôle où se trouvent les données.
L’entraide entre responsable et sous-traitant se vérifie surtout dans les moments de tension. Le sous-traitant aide le responsable, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes des personnes qui exercent leurs droits : droit d’accès, rectification, effacement, limitation, portabilité, opposition. En pratique, la PME reçoit une demande d’effacement d’un ancien client et doit pouvoir exiger de l’éditeur la suppression effective dans l’application, les sauvegardes et les environnements de test, avec une attestation datée. Le sous-traitant aide également le responsable à respecter ses propres obligations de sécurité, d’analyse d’impact et de notification des violations. Le contrat fixe des délais opérationnels compatibles avec ceux du règlement : signalement interne de l’incident par le fournisseur dans un délai bref, par exemple vingt-quatre ou quarante-huit heures, fourniture des éléments nécessaires à la notification à l’autorité, identification des personnes concernées et des enregistrements touchés. Le règlement impose au sous-traitant de notifier au responsable « toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance », selon l’article 33, paragraphe 2, du règlement (UE) 2016/679. Un contrat SaaS qui reste muet sur ce circuit d’alerte prive le client des moyens de respecter sa propre obligation de notification, examinée plus loin.
La troisième exigence est documentaire. Le responsable tient un registre de ses activités de traitement qui mentionne notamment les transferts vers des pays tiers et, le cas échéant, l’identification de ces pays et les documents attestant de garanties appropriées. Le sous-traitant tient sa propre documentation. Pour la PME, cela signifie inscrire le logiciel SaaS dans son registre avec le nom du fournisseur, les finalités, les catégories de données et de personnes, les durées de conservation, les mesures de sécurité résumées, les sous-traitants ultérieurs connus et le mécanisme de transfert utilisé. Le contrat lui-même, ses annexes, les attestations d’audit, les notifications de changement et les preuves de suppression se conservent pendant toute la relation et au-delà, car l’autorité de contrôle peut interroger l’entreprise plusieurs années après les faits. La Commission nationale de l’informatique et des libertés décrit ces attentes sur sa page consacrée à la sous-traitance, qui rappelle que le contrat doit encadrer les instructions, la sécurité, les droits des personnes et la fin de la relation, selon le guide de la CNIL sur la sous-traitance. Un dossier contractuel complet transforme un contrôle redouté en simple démonstration.
II. Transferts hors de l’Union, sécurité et fin de contrat : le socle qui tient la conformité
A. Envoyer des données vers les États-Unis : ce que l’arrêt Schrems II impose de vérifier avant de signer
Le contrat de sous-traitance ne suffit pas lorsque les données quittent l’Union européenne. Le règlement pose un principe de continuité de la protection : le niveau garanti dans l’Union ne doit pas être compromis par le transfert, y compris en cas de transferts ultérieurs depuis le pays tiers. Trois voies régulières existent : une décision d’adéquation de la Commission européenne qui constate qu’un pays assure un niveau de protection adéquat, des garanties appropriées fournies par l’exportateur, notamment les clauses contractuelles types adoptées par la Commission, assorties de droits opposables et de voies de recours effectives, ou une dérogation pour des situations particulières comme le consentement explicite ou l’exécution d’un contrat, voie étroite impropre à des flux SaaS massifs et répétés. La Commission nationale de l’informatique et des libertés résume ces mécanismes et leur ordre d’examen sur sa page dédiée aux transferts, que l’entreprise consulte avant tout arbitrage, selon le guide de la CNIL sur les transferts hors de l’Union européenne. Concrètement, la PME demande au fournisseur où les données sont hébergées, où elles transitent, où sont traitées les demandes de support et où se trouvent ses propres sous-traitants : si l’un de ces points se situe aux États-Unis ou dans un pays sans décision d’adéquation, le transfert doit être encadré.
La jurisprudence a durci cet examen. Le 16 juillet 2020, la Cour de justice de l’Union européenne a rendu en 2020 un arrêt dit « Schrems II » qui a invalidé le régime de transferts de données entre l’Union européenne et les États-Unis, dit Privacy Shield, selon le guide de la CNIL sur les transferts de données hors de l’Union européenne. Depuis, signer les clauses types ne dispense pas d’évaluer le droit du pays destinataire, notamment l’accès de ses autorités publiques aux données, et d’ajouter si nécessaire des mesures supplémentaires, par exemple un chiffrement dont le fournisseur ne détient pas la clé, une pseudonymisation robuste ou une limitation des données transférées au strict nécessaire. Lorsque l’évaluation conclut que la protection requise ne peut être assurée, l’exportateur suspend le transfert, et l’autorité de contrôle peut « ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale », selon l’article 58, paragraphe 2, point j), du règlement (UE) 2016/679. La Commission a ensuite, « à la suite de l’arrêt Schrems II », engagé des pourparlers avec le gouvernement américain en vue d’une nouvelle décision d’adéquation, selon le considérant 6 de la décision d’exécution (UE) 2023/1795 du 10 juillet 2023.
Deux instruments complètent aujourd’hui la boîte à outils. D’abord, les clauses contractuelles types modernisées par la décision d’exécution (UE) 2021/914 du 4 juin 2021, qui sont « considérées comme offrant des garanties appropriées au sens de l’article 46, paragraphe 1, et de l’article 46, paragraphe 2, point c), du règlement (UE) 2016/679 » et qui règlent aussi les obligations entre responsable et sous-traitant pour les transferts concernés. L’entreprise choisit le module adapté à sa situation, le plus souvent le transfert d’un responsable établi dans l’Union vers un sous-traitant hors Union, complète ses annexes avec la description précise des traitements, et s’assure que les sous-traitants ultérieurs sont soumis aux mêmes clauses. Ensuite, la décision d’exécution (UE) 2023/1795 du 10 juillet 2023, qui constate que « les États-Unis assurent un niveau adéquat de protection des données à caractère personnel transférées depuis l’Union vers des organisations établies aux États-Unis » qui figurent sur la liste du cadre de protection des données tenue par le ministère américain du commerce. Avant de s’en prévaloir, l’entreprise vérifie que son fournisseur figure effectivement sur cette liste publique à la date du transfert, pour les catégories de données concernées, et prévoit une solution de repli contractuelle, car cette décision fait l’objet d’un suivi permanent et peut être suspendue, modifiée ou abrogée. Ni la liste ni les clauses ne dispensent d’informer les personnes concernées des transferts et de documenter l’analyse dans le registre.
B. Sécurité, violation, responsabilité et sortie : les clauses qui protègent l’entreprise quand tout se complique
La sécurité n’est pas une promesse commerciale, c’est une obligation partagée du responsable et du sous-traitant. Tous deux « mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », selon l’article 32, paragraphe 1, du règlement (UE) 2016/679, « afin de garantir un niveau de sécurité adapté au risque », « la pseudonymisation et le chiffrement des données à caractère personnel » figurant au premier rang des exemples cités. Le contrat SaaS décline cette exigence : chiffrement des données en transit et au repos, gestion des accès selon le moindre privilège, journalisation des accès administrateurs, sauvegardes testées, plan de reprise, gestion des vulnérabilités et des correctifs, procédure de test régulier de l’efficacité des mesures. L’entreprise négocie des engagements mesurables, par exemple un taux de disponibilité défini, des fenêtres de maintenance annoncées, un délai de correction des failles critiques, et l’information sur les certifications. Elle vérifie que le chiffrement promis ne reste pas théorique : qui détient les clés, le fournisseur peut-il lire les données en clair pour le support, les sauvegardes sont-elles chiffrées elles aussi. Ces questions techniques conditionnent la réponse juridique en cas d’incident.
Lorsqu’une violation survient, par exemple un accès non autorisé à la base clients ou une extraction par un prestataire, le circuit d’alerte prévu au contrat s’enclenche. Le responsable notifie la violation à l’autorité de contrôle compétente « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », selon l’article 33, paragraphe 1, du règlement (UE) 2016/679, sauf absence probable de risque pour les droits et libertés, et il documente chaque incident pour permettre la vérification. Si le risque pour les personnes est élevé, il les informe également dans un langage clair, en décrivant la nature de la violation, ses conséquences probables et les mesures prises. Le fournisseur, de son côté, doit l’alerter dans les meilleurs délais et lui fournir les éléments nécessaires : nature et ampleur, catégories et volumes approximatifs, mesures de confinement et de remédiation. Sans clause contractuelle fixant ce délai d’alerte interne et ce contenu minimal, le client risque de dépasser le sien. L’entreprise prépare donc à l’avance un modèle de notification, la liste des contacts chez le fournisseur et la répartition des rôles, car une violation gérée en quelques heures se répare, tandis qu’une violation dissimulée ou tardive se sanctionne.
En France, ces contrôles et sanctions relèvent de la Commission nationale de l’informatique et des libertés, créée par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui s’applique conjointement avec le règlement européen. L’entreprise qui choisit un prestataire sans garanties, transfère des données sans mécanisme régulier ou néglige la sécurité s’expose donc à un contrôle portant à la fois sur le contrat, les transferts et les mesures techniques, sur le fondement de la loi informatique et libertés du 6 janvier 1978 et du règlement européen.
La responsabilité pécuniaire donne à ces clauses leur poids. Toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du responsable ou du sous-traitant, et « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon l’article 82, paragraphe 1, du règlement (UE) 2016/679. Le sous-traitant répond lorsqu’il a méconnu les obligations qui lui incombent spécifiquement ou agi hors des instructions licites du responsable. À l’égard de l’autorité, les violations des principes, des droits des personnes, des règles de transfert ou des obligations du sous-traitant exposent à des amendes « pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », selon l’article 83, paragraphes 5 et 6, du même règlement. Le contrat organise la conséquence financière entre les parties : garantie du fournisseur, plafonds de responsabilité compatibles avec ces expositions, assurance, coopération en cas de réclamation ou de contrôle. Si le fournisseur refuse toute responsabilité au-delà de quelques mois d’abonnement alors qu’il héberge l’intégralité du fichier clients, l’entreprise mesure le déséquilibre avant de signer, et non après l’incident.
La fin du contrat mérite la même attention que son début. La réversibilité s’écrit à la signature : restitution des données dans un format exploitable et documenté, calendrier de restitution, assistance à la migration pendant une période définie, suppression attestée des données et des sauvegardes à l’issue d’un délai précis, sort des données détenues par les sous-traitants ultérieurs, conservation limitée aux seules données imposées par la loi. L’entreprise teste la clause avant d’en avoir besoin : export réel des données, vérification de leur lisibilité, identification des champs propriétaires qui compliqueraient la migration. Elle conserve la preuve de la suppression, car un ancien fournisseur qui conserve des données sans fondement devient à son tour responsable de son propre traitement. En cas de manquement persistant du prestataire, la mise en demeure puis la résiliation pour inexécution s’articulent avec les recours propres à la protection des données : plainte devant l’autorité de contrôle et action en réparation devant le juge. La procédure de plainte, ses délais et ses suites sont décrites dans l’article du cabinet consacré à la plainte devant la CNIL restée sans réponse et aux recours pour l’instruire, qui complète utilement le volet contractuel.
Deux réflexes complètent le dispositif pour les traitements sensibles. Lorsque le logiciel traite des données de santé, des données biométriques ou surveille les salariés à grande échelle, l’entreprise vérifie si une analyse d’impact relative à la protection des données s’impose avant la mise en service et exige du fournisseur les informations nécessaires pour la mener : description des mesures, garanties et risques résiduels. Dans tous les cas, elle inscrit le logiciel dans son registre des activités de traitement avec le mécanisme de transfert retenu et les pays destinataires, et joint l’évaluation du transfert à sa documentation. Ces pièces démontrent une conformité construite dès la signature, et non reconstituée après un contrôle ou une fuite.
Signer un logiciel SaaS ou cloud qui envoie des données hors de l’Union européenne n’est ni interdit ni anodin. L’entreprise qui qualifie correctement son fournisseur de sous-traitant, exige le contrat écrit complet de l’article 28, recense les sous-traitants en cascade, choisit un mécanisme de transfert vérifié et documenté, impose des mesures de sécurité mesurables, prépare le circuit d’alerte de violation et écrit la sortie avant l’entrée transforme une dépendance technique en relation maîtrisée. Chacune de ces stipulations correspond à une obligation du règlement et à une question que l’autorité de contrôle posera en cas d’incident. Le contrat du fournisseur, relu à cette lumière avant signature, est le premier audit de conformité de l’entreprise.