Contrat-type de sous-traitance de traitements de données

Adaptation du modèle de contrat-type élaboré par le Conseil de l’Europe, la Commission des communautés européennes et la Chambre de commerce internationale (1992) et du modèle proposé par l'Union européenne.

Ce modèle a pour seule ambition de rappeler les points essentiels devant figurer dans un contrat de sous-traitance. Il doit évidemment être adapté au cas d'espèce. Il ne traite que l'aspect relatif à la protection des données personnelles.

Voir aussi Check-list pour l'élaboration d'une convention de traitement de données personnelles par un sous-traitant

Contrat type de sous-traitance de traitements de données personnelles

entre

[Nom de l'ENTITÉ CONCERNÉE], [adresse]

(ci-après le mandant)

et

[Nom du SOUS-TRAITANT], [adresse]

 (ci-après le sous-traitant)

Considérant que le mandant souhaite recourir aux services du sous-traitant afin d’opérer le traitement de données personnelles pour son compte, cette relation de sous-traitance est notamment soumise au respect de la CPDT-JUNE.

Les parties s’engagent aussi au respect des obligations énumérées ci-après.

[définir certains termes si cela est jugé nécessaire].

Dans le cadre de l'exécution de ce contrat, le sous-traitant doit traiter les données personnelles dans le respect de celui-ci, de la CPDT-JUNE, des règles relatives au secret de fonction et des instructions du mandant.

Le sous-traitant ne doit pas effectuer d'autres traitements que ceux confiés et doit être en mesure de garantir la sécurité des données personnelles.

L’objet du contrat est [à établir].

La durée du traitement prévue au contrat est [à établir].

Le sous-traitant fera usage des données personnelles, y compris les données pseudonymisées ou anonymisées, pour les finalités suivantes, à l'exclusion de toutes autres, à savoir : [les énumérer].

Les données personnelles traitées seront :

[énumérer les données personnelles traitées par catégories].

Les traitements des données personnelles seront :

[énumérer les traitements]

Le mandant veille notamment à ce que ne soient pas effectués des traitements autres que ceux qu’il a confiés au sous-traitant.

Le mandant déclare et garantit au sous-traitant que les données personnelles sont transférées licitement au sous-traitant et que, conformément au droit interne, elles :

1. ont été obtenues et traitées loyalement et licitement;

2. ne font pas l’objet d’une obligation de les garder secrètes interdisant la concession;

3. ont été enregistrées pour des finalités déterminées et légitimes et ne sont pas employées de manière incompatible avec ces finalités;

4. sont adéquates, pertinentes et non excessives par rapport aux finalités pour lesquelles elles seront concédées;

5. sont exactes et à jour;

6. ont fait l’objet d’une information à la personne concernée lorsque la loi l'exige;

7. bénéficient d'une autorisation de conservation pour une durée de [à établir].

Sans que cette énumération soit limitative, le sous-traitant s'engage en particulier à respecter les obligations suivantes :

1. Disposer des compétences techniques (IT, sécurité, infrastructure…) et juridiques pour appréhender l’ensemble des obligations qui sont imposées par la CPDT-JUNE et qui lui seront transmises par le mandant.

2. Disposer en permanence des ressources suffisantes pour garantir les obligations du présent contrat.

3. Transmettre l’ensemble des éléments probatoires nécessaires à la vérification du chiffre précédant.

4. Ne pas traiter les données personnelles de manière contraire au présent contrat.

5. Respecter en tout point les principes de  protection des données personnelles et autres règles de la CPDT-JUNE.

6. Se soumettre aux règles du secret de fonction.

7. Ne traiter que les données personnelles énumérées à la lettre E du présent contrat.

8. N'effectuer que les traitements et respecter les finalités énumérées respectivement aux lettres D et E du présent contrat.

9. Effectuer les traitements de données personnelles exclusivement en Suisse (sauf si exceptions légales réalisées et que les conditions de l'art. 27 CPDT-JUNE sont remplies) et désigner précisément le lieu. Tout changement doit être annoncé dans le délai convenu sous lettre J.

10. Désigner une personne de contact pour toutes les questions relatives à la protection des données personnelles.

11. S'assurer que les données personnelles sont protégées contre un emploi abusif en prenant des mesures organisationnelles et techniques appropriées. Veiller à l'intégrité, à la disponibilité et à la confidentialité des données personnelles. Les mesures seront plus élevées s'il s'agit de données personnelles sensibles ou de profils de la personnalité. Un concept de sécurité des données personnelles doit être fourni (par ex. chiffrage, codage, mot de passe supplémentaire en cas de transmission par informatique, etc.). [Compléter l'annexe 2].

12. Réévaluer périodiquement si les mesures organisationnelles et techniques prises sont toujours adéquates et effectuer régulièrement les mises à jour nécessaires.

13. Ne pas sous-traiter à son tour les données personnelles sans l'accord exprès du mandant. Le mandant devra avoir au moins 2 mois de réflexion avant de devoir se déterminer. [Si des sous-traités ultérieurs sont déjà prévus, l'annexe 1 doit être complétée]. Le mandant recevra tous les détails nécessaires pour donner un consentement suffisamment éclairé.

14. Obtenir l'engagement du/des sous-traitant(s) ultérieur(s) qui respectera(ont) le présent contrat.

15. S'assurer et garantir périodiquement [à définir] que le sous-traitant ultérieur respecte la CPDT-JUNE et le présent contrat.

16. Fournir, sur demande, au mandant les copies de tout contrat passé avec le sous-traitant ultérieur en lien avec le traitement des données personnelles pour le compte du mandant.

17. Limiter l’accès aux données personnelles aux seules personnes qui doivent y avoir accès. Le sous-traitant s’assure que ces personnes respectent les obligations prévues par le présent contrat.

18. Établir une liste désignant par leur fonction les personnes concernées par le traitement, qui sera annexée au présent contrat [annexe 3].

19. Faire signer au personnel un engagement à respecter la protection des données personnelles (voir charte).

20. Informer immédiatement le mandant s’il n’est plus en mesure de respecter la convention, si n’importe quel accès accidentel, non autorisé ou non convenu a eu lieu.

21. Permettre au mandant, dans la mesure du possible, de chiffrer les données personnelles autant que faire se peut.

22. Si les données personnelles sont chiffrées, permettre que la clef de chiffrement soit détenue par le mandant ou un autre sous-traitant que celui qui est partie au contrat. [si un sous-traitant gère la clef, le contrat doit inclure des règles strictes sur l’interdiction de transmettre la clé à l’étranger et obtenir l'engagement que personne ne cherchera à tenter de déchiffrer les données personnelles.]

23. S'interdire de traiter des données personnelles révélant l'origine raciale, les opinions politiques ou les convictions religieuses ou autres, ainsi que toutes données personnelles concernant la santé ou la vie sexuelle ou le casier judiciaire, à moins que ce traitement ne soit régi par les garanties qui auraient été appliquées en vertu du droit interne du mandant.

24. Exploiter les données personnelles exclusivement pour les traitements énumérés à la lettre E et ne communiquer les données personnelles, gratuitement ou contre paiement, à aucune autre personne morale ou physique, sauf en cas d'obligation prévue par son droit interne et mentionnée expressément.

25. Garantir aux personnes concernées le droit d'accès à leurs données personnelles ainsi que le droit de rectification et d'effacement de celles-ci dans les mêmes conditions qu'en vertu de la CPDT-JUNE.

26. Permettre au mandant de répondre aux demandes formulées par les personnes dont les données personnelles sont sous-traitées et à fournir, dans les plus brefs délais, au mandant toutes les informations et données personnelles nécessaires pour répondre à leurs demandes. Il s’agit notamment du droit d’accès à ses propres données personnelles, du droit de destruction de données personnelles illicites, du droit de modification des données personnelles, etc.

27. Rectifier, effacer et mettre à jour immédiatement les données personnelles, dès réception des instructions du mandant à cet effet.

28. Coopérer entièrement et sans délai avec l’autorité de surveillance de la CPDT-JUNE afin que celle-ci puisse s'assurer du respect de toutes les obligations en lien avec le traitement des données personnelles, que ce soit envers la personne concernée ou tout tiers.

29. Coopérer entièrement et sans délai avec le mandant afin que celui-ci puisse respecter toutes ses obligations en lien avec le traitement des données personnelles, que ce soit envers la personne concernée ou tout tiers.

30. Communiquer immédiatement au mandant toute requête qu’il recevrait en lien avec le traitement des données personnelles, que cette requête émane de la personne concernée ou d’un tiers, et attendre les instructions du mandant en lien avec de telles requêtes avant d’y donner suite.

31. Informer immédiatement et préalablement le mandant si d’autres traitements de données personnelles sont absolument nécessaires au regard de la loi, y compris une obligation de transférer des données personnelles à des tiers.

32. Donner suffisamment de temps au mandant pour s'opposer aux autres traitements de données du chiffre précédant et à limiter au maximum les données personnelles traitées.

33. Fournir une assistance raisonnable au mandant en lien avec toute analyse d’impact relative à la protection des données personnelles qui serait requise, ainsi que pour toute autre requête en lien avec la CPDT-JUNE.

34. Se soumettre aux mêmes contrôles que ceux auxquels est soumis le mandant, notamment ceux du PPDT. Si nécessaire (notamment si les contrôles du sous-traitant ne couvrent pas tous les points et qu’ils se limitent, p. ex., aux aspects sécuritaires), des contrôles du mandant lui-même ou du PPDT  ou de tiers qu'ils mandateraient doivent être possibles.

35. Effectuer les audits selon les modalités suivantes : [à établir].

36. Préciser si les audits concernent également les sous-traitants en cascade, les fréquences de contrôle, s'ils peuvent avoir lieu sans avis préalable et qui doit supporter les coûts. Il est aussi possible d'exiger un rapport annuel écrit du sous-traitant confirmant qu'il n'a effectué que les traitements de données personnelles qui avaient été prévus contractuellement.

37. S'engage à remettre au mandant ou au PPDT tous les rapports de contrôle en lien avec les traitements prévus sous lettre E.

38. Respecter l'obligation d'annonce des violations de sécurité au sens de l'art. 23c CPDT-JUNE.

39. Respecter la durée de conservation convenue et effacer les données personnelles si le mandant le demande.

40. Respecter toutes les instructions du mandant relatives aux traitements de données personnelles confiés. [à établir].
    Des instructions doivent être données personnelles en matière de conservation, destruction et archivage des données personnelles aussi bien informatiques que sur papier.

41. Annoncer s'il devient insolvable.

42. Choisir le personnel chargé du traitement avec soin.

43. Former son personnel interne en donnant les instructions suffisantes et nécessaires afin que son organisation soit en mesure de respecter l’ensemble des obligations imposées dans le présent contrat.

1. Le sous-traitant est responsable du respect du présent contrat.

2. Le sous-traitant devra indemniser entièrement le mandant pour toute perte, coût, dommage ou préjudice, quelle qu’en soit la forme.

3. L’autorisation donnée par le mandant en lien avec un ou plusieurs sous-traitants ultérieurs ne libérera pas le sous-traitant de sa responsabilité conformément à la présente clause, responsabilité qui n’en sera pas non plus tempérée.

4. Tout préjudice et tout dommage subi par le mandant inclura tous frais et tous coûts (y compris juridiques) qui découlent directement ou indirectement de la violation de ses obligations par le sous-traitant et/ou de tout sous-traitant ultérieur, y compris notamment tous coûts nécessaires pour répondre ou contester une réclamation ou prétention de la personne concernée ou de tout tiers.

5. Le mandant restera en tout temps libre de déterminer, à son seul choix, si et comment répondre et/ou contester une prétention et/ou une responsabilité issue ou liée au traitement des données personnelles par le sous-traitant ou tout sous-traitant ultérieur. 
   [Possibilité de prévoir en lieu et place des deux présents paragraphes une clause pénale forfaitaire (éventuellement par violation)].

6. Le sous-traitant s'engage à indemniser [à établir] le mandant pour tout manquement à ses obligations résultant du contrat ou pour toute faute ou toute négligence manifeste liée à l'exécution du contrat.

1. Les conflits sont soumis au droit ordinaire.

1. [fixer la durée du contrat].

2. Tant que le sous-traitant traite les données personnelles faisant l'objet du présent contrat, il sera soumis aux obligations prévues par ce dernier.

3. Au cas où le sous-traitant (et/ou tout sous-traitant ultérieur) n'exécute pas, totalement ou partiellement une obligation légale ou du présent contrat, le mandant peut le résilier immédiatement de plein droit.

4. Si le chiffre précédant se réalise, le mandant peut suspendre tout transfert de données personnelles et/ou tout traitement

5. Toute modification doit être annoncée préalablement dans un délai de [à établir] et permet la résiliation du contrat par le mandant.

6. S'il s'avère que le sous-traitant est acheté par un tiers, fait l'objet d'une procédure de faillite, fait preuve de mauvaise foi dans l'exécution du contrat ou refuse de respecter notamment la décision des arbitres, le mandant se réserve le droit de résilier le contrat.

7. La résiliation s'effectue par lettre recommandée avec avis de réception, ou par tout autre moyen équivalent, sans préjudice d'une éventuelle demande de dommages et intérêts.

8. Au moment de la résiliation du contrat, le sous-traitant doit retourner immédiatement toutes les données personnelles concernées par l’accord puis détruire intégralement toutes les copies et certifier expressément qu’il l’a fait.

9. La restitution des données personnelles devra se faire dans un format standard et exploitable.

10. Le sous-traitant doit se soumettre aux contrôles du mandant et du PPDT pour vérifier que lui, ou ses sous-traitants ne détiennent plus aucune données personnelles relatives au présent contrat.

11. Si le sous-traitant, ou ses sous-traitants, n'exécute pas, totalement ou partiellement, une obligation légale ou du contrat, il s'engage à verser un dédommagement ? [à établir].

1. Le présent contrat est soumis au droit suisse.

2. En cas de litige sur l'interprétation ou l'exécution de la présente convention, les parties s'efforceront de le régler à l'amiable avant d'entreprendre toute autre action.

3. À défaut de règlement à l'amiable, celui-ci pourra être porté devant la juridiction compétente; le for juridique est à [à établir].

ANNEXE 1 : LISTE DES SOUS-TRAITANTS ULTÉRIEURS

ANNEXE 2 : MESURES TECHNIQUES ET ORGANISATIONNELLES, Y COMPRIS LES MESURES TECHNIQUES ET ORGANISATIONNELLES VISANT À GARANTIR LA SÉCURITÉ DES DONNÉES

ANNEXE 3 : LISTE DES PERSONNES CONCERNÉES PAR LES TRAITEMENTS DE DONNÉES PERSONNELLES, DÉSIGNÉES PAR LEUR FONCTION