Je confie l'hébergement de données personnelles à un tiers
Quelles garanties demander à votre hébergeur ?
Ce qu’il faut retenir
Lorsque l’hébergeur traite les données pour votre compte, vous devez choisir un sous-traitant présentant des garanties suffisantes de protection et de confidentialité.
Externaliser l’hébergement ne vous décharge pas du respect de la loi ; le prestataire doit également y veiller.
Pourquoi cette situation mérite votre attention
L’hébergement peut comprendre le stockage, les sauvegardes et des interventions techniques. Ces opérations doivent être connues pour apprécier les accès et les garanties réellement proposés.
La sécurité et la localisation sont deux examens distincts. Un service techniquement sécurisé peut aussi comporter un transfert vers un pays tiers nécessitant une autorisation.
Ce qui peut changer l’analyse
- L’hébergeur intervient-il uniquement pour votre compte ou poursuit-il aussi des usages propres ?
- Où se trouvent les serveurs, les sauvegardes et les équipes pouvant accéder aux données ?
- Quelles protections, possibilités de récupération et modalités de fin de service sont effectivement proposées ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
- Demandez au prestataire une description vérifiable des accès, des protections et des lieux de traitement ; cette vérification est un conseil pratique.
- Choisissez un sous-traitant apportant les garanties requises et examinez les précautions de sécurité adaptées à la nature des données et aux risques.
- Vérifiez la formalité couvrant le traitement et, si une destination est un pays tiers, obtenez l’autorisation de transfert avant son exécution.
Ce que prévoit la loi
« Lorsque le traitement des données à caractère personnel est mis en œuvre pour le compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes pour la protection et la confidentialité de ces données. Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect des dispositions de la présente loi. »
Ce que ce texte établit. L’article 20 impose le choix d’un sous-traitant offrant des garanties suffisantes et fait peser le respect de la loi sur le responsable comme sur le sous-traitant.
Pourquoi il concerne votre situation. Il concerne l’hébergement réalisé pour le compte du responsable ; le rôle réel du tiers doit être identifié.
Ce qui reste à apprécier
- La qualification du prestataire et l’étendue exacte de ses opérations.
- Les destinations effectives et les formalités déjà accomplies ou restant applicables.
Autres articles à consulter (3)
- Loi n° 2013-450 — Article 40Précautions de sécurité adaptées aux données et aux risques du traitement.
- Loi n° 2013-450 — article 26, alinéas 1–2Protection et autorisation des transferts vers un pays tiers.
- Loi n° 2013-450 — article 5, alinéa 1Principe de déclaration préalable, sous réserve des autres régimes applicables.