Sous-traitant RGPD : pourquoi vous devez tenir votre registre

Vous n'êtes pas dispensé parce que vous n'êtes pas responsable de traitement

Beaucoup de dirigeants de PME qui travaillent exclusivement pour d'autres entreprises partent d'une idée simple : le registre des traitements est l'affaire du client, puisque c'est lui qui décide pourquoi les données sont collectées. Cette idée est fausse. Le RGPD distingue deux rôles, et chacun porte son propre registre : le responsable de traitement documente les finalités qu'il poursuit, le sous-traitant documente ce qu'il fait, concrètement, pour chacun de ses clients.

C'est là que se loge l'angle qui compte pour vous : votre registre n'est pas une formalité qui recopie celui de votre client. Il décrit le périmètre que vous, en tant qu'outil ou prestataire, avez le droit de lire et de traiter pour chaque donneur d'ordre. Un logiciel de comptabilité externalisée, un hébergeur, un centre d'appel, une agence qui gère des campagnes d'emailing pour ses clients : chacun a ce registre à tenir, séparément.

Ce que dit le texte

Le registre des activités de traitement de la CNIL rappelle que l'article 30.2 du RGPD impose au sous-traitant la tenue de son propre registre, distinct de celui du responsable de traitement. Le texte exact de l'article 30, dans son chapitre IV, liste ce que chaque registre doit contenir, et les deux listes ne se recoupent pas entièrement : le registre du sous-traitant porte sur les catégories de traitements effectués pour le compte de chaque client, pas sur les finalités de ces traitements.

Cette distinction a une conséquence pratique immédiate. Si vous êtes prestataire pour dix clients, vous n'avez pas dix registres à produire, mais un seul registre qui documente dix relations, avec pour chacune ce que vous êtes autorisé à lire. C'est exactement le moment où se joue votre conformité : pas lors d'un contrôle, mais au moment où vous décidez, pour chaque client, ce que votre équipe ou votre outil a le droit de consulter.

La dérogation des moins de 250 salariés, et pourquoi elle ne vous sauve presque jamais

L'article 30.5 prévoit une dérogation pour les organismes de moins de 250 salariés. Elle semble, au premier regard, dispenser une petite structure de registre. En pratique, la CNIL précise que cette dérogation tombe dès qu'une des trois conditions suivantes est remplie :

• le traitement n'est pas occasionnel,
• il présente un risque pour les droits et libertés des personnes concernées,
• il porte sur des données sensibles ou des données relatives à des condamnations et infractions.

À retenir

Pour savoir si la dérogation s'applique à votre activité, posez-vous une seule question : traitez-vous des données personnelles pour les mêmes clients de façon répétée, dans le cadre normal de votre prestation ? Si oui, la condition « non occasionnel » suffit à elle seule à écarter la dérogation, sans même avoir à examiner le risque ou la nature des données traitées.

Autrement dit, la taille de votre structure ne vous protège pas si votre activité consiste, par nature, à traiter des données pour le compte d'autrui de façon répétée. La dérogation vise des traitements ponctuels et sans enjeu, pas le cœur de métier d'un prestataire.

Ce que ce registre documente concrètement

Pour une PME prestataire, le registre du sous-traitant gagne à distinguer, pour chaque client : les catégories de données auxquelles vous accédez, les catégories de traitements que vous exécutez pour son compte, et les sous-traitants ultérieurs que vous mobilisez vous-même (hébergeur, outil de messagerie, prestataire de maintenance). La CCI Paris Ile-de-France souligne que ce registre reste votre outil de pilotage, même quand vous êtes par ailleurs responsable de traitement pour vos propres besoins internes, par exemple la paie de vos salariés : dans ce cas, les deux registres se tiennent séparément.

Un registre tenu avec sérieux n'est pas qu'une obligation déclarative. C'est le document où vous fixez, client par client, ce que votre outil a le droit de lire. C'est cette décision, prise en amont, qui évite ensuite de perdre du temps à reconstituer après coup qui avait accès à quoi.