Un hébergeur qui stocke ou traite des données personnelles pour une entreprise agit souvent comme sous-traitant au sens du RGPD. Leur contrat doit alors encadrer précisément les traitements, les responsabilités et les mesures de sécurité.
Un simple engagement de confidentialité ne suffit pas : l’article 28 du règlement impose des clauses spécifiques. Pour une PME qui confie ses données clients à un prestataire cloud, ces précisions peuvent éviter des zones grises lors d’un incident ou d’un changement de fournisseur.
À retenir :
- Identification précise des traitements et des catégories de données
- Instructions documentées et obligations de sécurité vérifiables
- Encadrement des sous-traitants ultérieurs et des transferts internationaux
- Procédure claire de notification, restitution et suppression des données
Contrat d’hébergement et RGPD : définir le périmètre
Une fois ces éléments essentiels repérés, la première étape consiste à décrire exactement ce que l’hébergeur fera pour le compte de son client. Cette description évite qu’un contrat générique laisse de côté des opérations pourtant réelles.
Identifier les rôles et les traitements confiés
Selon le RGPD, le contrat doit préciser l’objet et la durée du traitement, sa nature et ses finalités. Il doit aussi indiquer les types de données personnelles concernés et les catégories de personnes auxquelles elles se rapportent.
Par exemple, une boutique en ligne peut héberger des coordonnées, des historiques de commande et des demandes adressées au service client. Le contrat gagnera à distinguer stockage, sauvegarde et opérations de maintenance, plutôt que de parler seulement d’« hébergement ».
La répartition des rôles dépend des décisions réellement prises, pas uniquement du titre donné au contrat. Une entreprise reste généralement responsable du traitement lorsqu’elle choisit les finalités et les moyens essentiels ; son fournisseur agit alors sur ses instructions.
Formaliser les instructions et la confidentialité
Les clauses obligatoires doivent imposer à l’hébergeur de traiter les données uniquement sur instruction documentée du client. Elles doivent également prévoir que les personnes autorisées à y accéder sont tenues à la confidentialité.
Selon la CNIL, la description des mesures de sécurité doit être adaptée aux risques et suffisamment concrète pour être contrôlée. Un engagement général de « sécurité optimale » renseigne peu : mieux vaut décrire les accès, les sauvegardes et la gestion des habilitations.
Pour rendre ces obligations lisibles, le tableau ci-dessous relie chaque sujet contractuel à une précision utile. Une telle grille aide notamment à comparer plusieurs offres d’hébergement.
Repères pour définir le périmètre :
Sujet
À préciser dans le contrat
Exemple pratique
Finalité
Usage autorisé des données
Hébergement et sauvegarde d’un site marchand
Durée
Période et événements de fin
Durée du service puis restitution ou suppression
Données
Types de données traitées
Identité, coordonnées et commandes
Personnes
Catégories concernées
Clients, prospects ou salariés
Instructions
Support et modalités de mise à jour
Annexe technique ou portail sécurisé
Après la définition du périmètre, la solidité du contrat dépend des garanties opérationnelles promises par l’hébergeur. C’est là que les obligations quotidiennes prennent toute leur importance.
Obligations du sous-traitant et sécurité des données
Ces garanties concrètes prolongent la description du service en organisant la protection des données personnelles pendant toute son exécution. Le contrat doit permettre au client de vérifier les engagements, sans promettre une absence absolue de risque.
Encadrer la sécurité et les sous-traitants ultérieurs
Selon le RGPD, l’hébergeur doit prendre des mesures techniques et organisationnelles adaptées, aider le responsable du traitement et encadrer tout recours à un sous-traitant ultérieur. Le contrat peut préciser la procédure d’autorisation, l’information préalable et les modalités d’opposition.
Une chaîne d’hébergement peut inclure des services de sauvegarde ou de maintenance fournis par d’autres sociétés. Le client doit donc savoir quels prestataires interviennent, dans quelles conditions et où les données sont traitées, notamment si un transfert hors Espace économique européen est envisagé.
Mesures de sécurité à contractualiser :
- Authentification et gestion des droits d’accès
- Chiffrement des données en transit et, si approprié, au repos
- Sauvegardes, tests de restauration et continuité du service
- Journalisation des accès et gestion des vulnérabilités
- Confidentialité du personnel autorisé à intervenir
Organiser la notification des violations
Le contrat doit imposer à l’hébergeur d’alerter le client sans retard injustifié lorsqu’il découvre une violation de données. Cette notification doit fournir les informations disponibles pour permettre au responsable d’évaluer l’incident et de respecter ses propres obligations.
Une clause utile fixe un canal de contact accessible à toute heure, les éléments à transmettre et les mises à jour attendues. Selon le Comité européen de la protection des données, le sous-traitant doit assister le responsable du traitement pour ses obligations, y compris en matière de sécurité et de violations.
Dans le cas d’une PME fictive dont le site devient inaccessible après une intrusion, une alerte rapide permettrait de mobiliser ses équipes et de documenter les faits. Le contrat ne remplace pas le plan de réponse à incident, mais il peut éviter les hésitations sur les interlocuteurs.
Une fois la protection organisée pendant le service, il reste à prévoir ce qui se passe lorsque la relation contractuelle s’arrête ou qu’un litige survient.
Fin du contrat d’hébergement : restitution et suppression
La fin du service ne doit pas laisser les données dans une situation incertaine. Des règles de sortie précises protègent la continuité de l’activité et facilitent le changement d’hébergeur.
Prévoir la restitution des données personnelles
Selon l’article 28 du RGPD, à la fin de la prestation, le responsable du traitement choisit la restitution ou la suppression des données, sous réserve des obligations légales applicables. Le contrat doit préciser le format d’export, le délai de remise et le traitement des copies restantes.
Une clause limitée à la suppression immédiate peut être impraticable si l’entreprise doit d’abord transférer ses bases vers un autre service. Il est donc utile de définir une période de récupération, les frais éventuels et une confirmation écrite de suppression à son terme.
Modalités de sortie à vérifier :
- Format et délai d’export des données
- Disponibilité des journaux et documents associés
- Suppression des copies et sauvegardes résiduelles
- Assistance technique et tarification de la réversibilité
Contrôler les engagements et traiter les désaccords
Le contrat doit permettre au client d’obtenir les informations nécessaires pour démontrer le respect des obligations et prévoir des audits proportionnés. Il peut organiser les justificatifs, les délais de réponse et les mesures correctives lorsque des écarts sont constatés.
Le tableau suivant distingue les clauses de contrôle des stipulations de sortie, qui répondent à des risques différents. Une certification ou un rapport d’audit peut contribuer à l’évaluation, mais ne remplace pas l’examen des engagements contractuels.
Contrôles et sortie du service :
Clause
Question à régler
Élément vérifiable
Audit
Comment examiner les garanties annoncées ?
Rapport, justificatifs ou audit convenu
Incident
Qui alerte et avec quelles informations ?
Contact, canal et contenu de notification
Réversibilité
Comment transférer les données ?
Format, délai et assistance définis
Suppression
Comment confirmer l’effacement final ?
Attestation et traitement des sauvegardes
Litige
Comment traiter un désaccord ?
Procédure amiable et juridiction compétente
Avant signature, l’entreprise peut confronter chaque clause aux pratiques techniques réelles de l’hébergeur et faire relire les points sensibles. Cette vérification évite qu’un contrat promette une procédure que le prestataire ne sait pas appliquer.
Sources : Règlement (UE) 2016/679 du 27 avril 2016, notamment articles 28, 32 et 33 ; CNIL, Guide de la sécurité des données personnelles ; Comité européen de la protection des données, lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-traitant.
Comprendre son ordinateur comme un système, pas une boîte noire
Qu'il s'agisse de choisir un processeur, d'ajouter de la mémoire ou de sécuriser sa connexion réseau, chaque décision mérite d'être comprise plutôt que subie. Saisir les contraintes réelles de chaque composant permet d'en tirer des bénéfices concrets : performance, fiabilité et longévité de la machine.
Pour aller plus loin
- Vérifier l'adéquation entre vos usages réels et la configuration matérielle envisagée
- Comparer les technologies de stockage selon vitesse, fiabilité et coût
- Sécuriser l'accès et les sauvegardes de vos données sensibles
- Anticiper le refroidissement dès la conception d'une configuration
