Faire travailler un sous-traitant hors UE sans exposer votre conformité

Une DSI qui envisage un prestataire hors Union européenne reçoit souvent deux réponses contradictoires : « c'est interdit depuis Schrems II » et « tout le monde le fait, ça passe ». Les deux sont fausses. Le transfert est possible, il est encadré, et l'encadrement produit des documents précis que vous devez détenir.

Qui est responsable de quoi

Dans une relation client-prestataire informatique classique, vous êtes responsable de traitement et le prestataire est sous-traitant. Cette qualification a une conséquence directe : c'est vous qui répondez devant l'autorité de contrôle, pas lui. Un prestataire non conforme ne crée pas seulement un risque chez lui, il crée une non-conformité chez vous.

C'est la raison pour laquelle exiger les documents n'est pas de la formalité administrative, c'est de la protection.

Les quatre documents à obtenir

1. Le contrat de sous-traitance (DPA), conforme à l'article 28. Il doit préciser l'objet et la durée du traitement, sa nature et sa finalité, les catégories de données et de personnes concernées, les obligations du sous-traitant, la liste nominative des sous-traitants ultérieurs, les mesures techniques et organisationnelles, et le sort des données en fin de contrat. Un document de deux pages qui dit « nous respectons le RGPD » n'est pas un DPA.

2. Les clauses contractuelles types. Pour un pays sans décision d'adéquation, le transfert repose sur les clauses de la décision 2021/914 de la Commission européenne. Vérifiez que le bon module est utilisé : module 2 pour un transfert responsable vers sous-traitant, module 3 pour sous-traitant vers sous-traitant ultérieur.

3. L'analyse d'impact du transfert. Depuis l'arrêt Schrems II, les clauses seules ne suffisent pas. Il faut évaluer si le droit du pays de destination permet aux autorités locales un accès aux données qui viderait les clauses de leur effet, et documenter les mesures supplémentaires qui compensent ce risque.

4. La description des mesures supplémentaires. C'est là que se joue la crédibilité du dispositif. Les mesures efficaces sont concrètes : accès via bastion sans extraction locale, données pseudonymisées en environnement de développement, chiffrement en transit et au repos, journalisation des accès communicable, révocation à la fin de mission.

Le cas particulier du Maroc

Le Maroc dispose d'une loi de protection des données, la loi 09-08, et d'une autorité de contrôle, la CNDP, auprès de laquelle tout traitement effectué sur le territoire doit être déclaré. Cette déclaration est une obligation locale du prestataire ; elle ne remplace pas le cadre RGPD applicable à votre relation.

Le Maroc ne bénéficie pas d'une décision d'adéquation. Le transfert relève donc bien des clauses contractuelles types et de l'analyse d'impact décrites plus haut. Un prestataire qui affirme le contraire, ou qui vous dit que la déclaration CNDP suffit, se trompe ou vous trompe.

Ce que votre registre doit contenir

Pour chaque traitement confié, votre registre des activités doit mentionner le sous-traitant, le pays de destination, la nature du transfert, l'instrument juridique utilisé et la date de signature. C'est la première chose qu'une autorité de contrôle demande, et c'est aussi la première chose qu'un client grand compte vous demandera dans son propre questionnaire fournisseur.

Le raccourci qui fait gagner des semaines

Demandez les quatre documents dès le premier échange commercial, avant toute réunion technique. Un prestataire qui les fournit sous quarante-huit heures a déjà traité le sujet. Un prestataire qui promet de les produire « au moment du contrat » ne les a pas, et vous découvrirez le problème au pire moment : quand la décision est prise et que le planning est engagé.