Agence web et sous-traitance : le contrat de l'article 28, et le jour où vous devenez responsable

Beaucoup d'agences web se pensent en dehors du RGPD : elles ne vendent pas de données, elles livrent un site. Le règlement ne raisonne pas comme ça. Il regarde qui traite des données pour le compte de qui. Dès que vous hébergez un site, que vous avez un accès administrateur, que vous récupérez une base pour une migration ou que vous maintenez un formulaire de contact, vous traitez des données personnelles pour le compte de votre client. Vous êtes sous-traitant, et cela emporte des obligations qui vous sont propres.

Ce n'est pas une question de taille ni de volume. Un développeur indépendant qui garde les identifiants d'un back-office est dans la même situation qu'une agence de trente personnes. Ce qui change, ce sont les moyens de le prouver.

Le contrat n'est pas une formalité de fin de mission

L'article 28.3 pose que le traitement par un sous-traitant est régi par un contrat, ou un autre acte juridique, qui lie le sous-traitant à l'égard du responsable du traitement. Ce n'est donc pas une clause à glisser dans les conditions générales au moment de la facture : c'est le cadre qui doit exister avant que vous ne touchiez la première donnée.

Le même article énumère ce que ce contrat doit prévoir : l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable de traitement. Cette dernière mention est celle qu'on oublie le plus souvent, parce qu'un contrat rédigé du point de vue du prestataire décrit ses engagements à lui et s'arrête là.

Un contrat de sous-traitance qui ne dit ni combien de temps vous gardez les données, ni ce que vous en faites à la fin de la mission, laisse la question la plus concrète sans réponse — et c'est précisément celle qu'on vous posera.

Confier le travail à un tiers ne déplace pas le risque

Une agence travaille rarement seule : un hébergeur, un prestataire d'infogérance, un développeur freelance sur une mission ponctuelle. Chacun d'eux devient un sous-traitant ultérieur, et l'article 28.2 est explicite : le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Autrement dit, ce n'est pas votre décision seule.

L'article 28.4 va plus loin, et c'est le point que les agences découvrent trop tard. Les mêmes obligations de protection des données doivent être imposées par contrat à ce tiers ; et lorsque cet autre sous-traitant ne remplit pas ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.

La conséquence pratique est simple : sous-traiter n'externalise pas le risque, cela l'ajoute. Devant votre client, vous répondez de votre hébergeur comme de vous-même. C'est une raison suffisante pour savoir, à tout moment, qui intervient réellement sur les données que vous détenez.

La ligne qui vous fait changer de camp

L'article 28.10 est la disposition la moins citée et la plus lourde de conséquences. Il prévoit que si, en violation du règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement.

Traduit dans le quotidien d'une agence : tant que vous agissez sur instruction du client, vous restez sous-traitant. Le jour où vous décidez seul d'ajouter un outil de mesure d'audience, d'installer un pixel publicitaire, de brancher un service tiers, ou de réutiliser les données d'un client pour votre propre usage, vous ne rendez plus un service — vous décidez d'un traitement. Pour ce traitement-là, vous devenez responsable, avec l'information des personnes, la base légale et le registre qui vont avec.

C'est un basculement silencieux. Personne ne vous notifie que vous avez changé de statut : il se constate après coup, quand on cherche qui a décidé quoi.

Ce dont vous n'êtes pas responsable

L'inverse mérite d'être dit, parce que la littérature sur le sujet est souvent anxiogène. L'article 82.2 borne la responsabilité du sous-traitant : il n'est tenu pour responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations du règlement qui incombent spécifiquement aux sous-traitants, ou s'il a agi en dehors des instructions licites du responsable du traitement, ou contrairement à celles-ci.

Vous ne répondez donc pas des choix de votre client. Vous répondez de vos obligations propres et du respect de ses instructions. Ce qui donne toute sa valeur à une chose très concrète : être capable de montrer quelles étaient les instructions, et que vous les avez suivies.

Ce qu'une agence peut faire cette semaine

• Listez vos clients pour lesquels vous détenez un accès, un hébergement ou une base — c'est votre périmètre de sous-traitance réel, souvent plus large que la liste des contrats signés.
• Vérifiez qu'un contrat de sous-traitance existe pour chacun, et qu'il nomme la durée de conservation et le sort des données en fin de mission.
• Écrivez la liste de vos propres prestataires intervenant sur ces données, et assurez-vous que vos clients l'ont autorisée par écrit.
• Repérez les traitements que vous avez décidés seul : outils de mesure, pixels, services tiers ajoutés sans demande explicite. Ce sont vos candidats à la requalification.
• Conservez la trace écrite des instructions reçues — un e-mail daté vaut mieux qu'un souvenir partagé.

Rien de tout cela ne demande un juriste à demeure. Cela demande de savoir, sans hésiter, qui détient quelles données, sur instruction de qui, et pour combien de temps. C'est exactement ce qu'on vous demandera de montrer.