Infogérance et RGPD : quel impact sur votre contrat ?
Depuis 2018, la collecte des données informatiques des utilisateurs de l’Union Européenne est fortement encadrée par le règlement RGPD. En France, la CNIL s’est chargée de l’application de la loi impliquant toutes les entreprises concernées. Le Syntec numérique, premier syndicat patronal de l’industrie du numérique, a amendé les textes du RGPD pour bien définir la répartition des responsabilités entre donneur d’ordre et prestataire. Spécifiquement dans le cadre d’un contrat d’infogérance.
Le champ d’action du Syntec numérique
Le Syntec numérique est le premier syndicat patronal de France en nombre d’adhérents. Il défend les intérêts des entreprises membres auprès des pouvoirs publics. C’est d’abord un porte-parole de l’industrie et des métiers du numérique. Son rôle est aussi de faciliter la négociation, le cas échéant, avec les syndicats représentant les employés du secteur de l’informatique et des services liés.
Le Syntec numérique représente plusieurs centaines d’entreprises du secteur numérique : les éditeurs de logiciels, les entreprises-conseils en technologies ainsi que les entreprises de services. Environ 80% du chiffre d’affaires du secteur est produit par les sociétés adhérentes au Syntec numérique.
Syntec numérique publie régulièrement de la documentation faisant autorité à propos des sujets majeurs du numérique : guides d’interprétation des lois et règlements en vigueur, bonnes pratiques, statistiques et analyses diverses.
Les obligations des prestataires de services informatiques via le RGPD
Le 25 mai 2018, le Règlement Général relatif à la Protection des Données (RGPD) est entré en vigueur en France. Le RGPD donne un cadre à l’exploitation des données personnelles sur le territoire de l’Union Européenne. Chacun peut, en ce sens, exercer un droit sur ses propres données personnelles collectées et traitées sur support numérique.
Le RGPD concerne toutes les structures physiquement actives dans l’Union Européenne et qui traitent des informations personnelles. Mais, et c’est ici que les métiers de l’infogérance sont notamment concernés, le règlement implique aussi n’importe quelle entreprise dans le monde stockant et exploitant des données à caractère personnel de résidents de l’UE.
Imaginons par exemple une entreprise désireuse d’utiliser une solution d’analyse du comportement des visiteurs de son site web. Si ces derniers appartiennent à l’Union européenne, le RGPD entre en jeu et le site doit en respecter les exigences. De la même façon, une entreprise française peut proposer des solutions d’hébergement ou de stockage dans le Cloud. Les entrepôts de données nécessaires à la réalisation de la prestation doivent obligatoirement être conforme au RGPD s’ils sont utilisés par un citoyen européen.
L’impact et les enjeux du RGPD dans le cadre d’un contrat d’infogérance
Depuis la promulgation du RGPD, les conditions générales de nos Contrats d’infogérance ont été mises à jour afin de respecter la loi en vigueur. Elles incluent les clauses relatives au traitement des données personnelles, répartissant les obligations des parties dès lors qu’un contrat lie un Client et un fournisseur. En ce sens, les obligations de WANDesk vis-à-vis de ses clients reprennent les amendements et les recommandations édictées par le Syntec numérique, syndicat auquel nous adhérons.
Que ce soit pour de la maintenance, de l’hébergement de serveurs ou encore de l’infogérance, le Client reste le responsable du traitement, quand l’infogérant est nécessairement sous-traitant. Le responsable du traitement détermine comment et pourquoi les informations personnelles sont traitées. Le sous-traitant agit dans le cadre des instructions données par le responsable du traitement. Il s’engage par ailleurs, si lui même fait intervenir d’autres sous-traitants, à s’assurer de la conformité réglementaire de ses propres fournisseurs.
Le principe de réciprocité, fondement du RGPD, et l’obligation des avenants contractuels pour l’ensemble des parties prenantes constituent indéniablement un cadre clair et sécurisant pour les données informatiques personnelles des citoyens de l’Union Européenne.
