Instruction RGPD illicite : que répond le prestataire ?

Le sous-traitant doit informer immédiatement son client lorsqu’il estime qu’une instruction viole le droit de la protection des données. Il doit identifier l’opération contestée, expliquer la difficulté et organiser sa résolution avant exécution. Une confirmation « nous assumons le risque » ne transforme pas une instruction illicite en traitement autorisé.

La réponse dépend cependant du problème : identité du demandeur incertaine, information manquante, dépassement de mission ou violation identifiée. Ce guide fournit une méthode d’alerte et compare les mécanismes contractuels disponibles, sans prétendre qu’un désaccord impose toujours l’arrêt de tout le service.

Ce que l’article 28 impose au prestataire

L’Art. 28(3), dernier alinéa, du RGPD prévoit l’information immédiate du responsable lorsque, selon le sous-traitant, une instruction enfreint le règlement ou d’autres dispositions européennes ou nationales relatives aux données. L’Art. 28(3)(a) exige des instructions documentées, y compris pour les transferts internationaux. Le prestataire n’attend donc pas une décision de justice pour signaler une instruction qu’il considère illicite. Source : RGPD, Art. 28(3).

Il ne s’agit pas de certifier toute la conformité du client à chaque ticket. Il faut rendre exploitable le problème rencontré dans la prestation : données concernées, action demandée, règle affectée et éléments permettant de réexaminer la demande. Les exemples de clauses proposés par la CNIL reprennent l’alerte dans les obligations du sous-traitant ; ils nécessitent une adaptation au service.

L’instruction ne dispense pas le prestataire de ses obligations directes, notamment de sécurité. Les Art. 29 et 32(4) encadrent aussi les personnes travaillant sous son autorité. Une équipe technique ne devrait pas recevoir une consigne juridiquement bloquée et une consigne commerciale contradictoire sans mécanisme d’arbitrage. Notre guide du sous-traitant RGPD précise ce partage de responsabilités.

Classer la difficulté avant de rédiger l’alerte

Une question non résolue et une violation identifiée n’appellent pas exactement le même courrier. Cette grille propose une qualification de travail, à ajuster aux faits :

L’Art. 5(1)(c) exige des données limitées au nécessaire. Un export techniquement possible peut ainsi être excessif. À l’inverse, l’absence d’un nom dans un ticket n’établit pas, seule, que toute transmission à cet organisme serait interdite. Source : RGPD, Art. 5(1)(b) et (c).

Dossier fictif I-31 : des réclamations pour une formation

La société fictive Roche Mobilier utilise un outil de suivi fourni par Relais Support, sous-traitant pour cette activité. Elle lui demande d’exporter 64 dossiers de service après-vente vers un formateur. L’objectif annoncé est d’apprendre aux équipes à distinguer trois motifs de réclamation. Le fichier demandé contient aussi noms, adresses de livraison, coordonnées bancaires et pièces jointes libres.

Ces informations sont des hypothèses pédagogiques, pas le compte rendu d’un contrôle réel. Le contrat de l’exemple identifie un responsable client habilité à donner les instructions. Il prévoit de mettre en attente une opération contestée pendant son examen, sans interrompre les autres fonctions nécessaires du service.

Le support vérifie d’abord que la demande émane bien de cet interlocuteur. Le destinataire et son rôle restent à préciser. Mais une difficulté est déjà identifiable : pour apprendre à distinguer les motifs, les coordonnées bancaires et adresses exactes des clients ne sont pas nécessaires. Le prestataire n’attend pas toutes les réponses pour signaler ce point.

La fiche d’alerte est renseignée ainsi :

Le volume de 64 ne constitue pas un seuil juridique. Un seul dossier inutilement communiqué pourrait poser problème. Inversement, réduire l’export à dix dossiers réels ne répondrait pas nécessairement à l’objection sur leur contenu.

Un message d’alerte qui permet de décider

Voici une formulation originale adaptée à I-31, et non une clause imposée par le règlement :

Votre instruction I-31 prévoit l’envoi des dossiers SAV complets pour former les équipes à trois motifs de réclamation. Selon notre analyse, la transmission des coordonnées bancaires et adresses exactes n’est pas nécessaire à cet objectif et méconnaîtrait la minimisation prévue à l’Art. 5(1)(c).

Nous vous en informons immédiatement. L’export concerné est maintenu en attente conformément au circuit convenu ; les fonctions courantes du SAV restent disponibles. Merci de confirmer l’identité et la mission du destinataire, puis de revoir le périmètre. Nous proposons des exercices entièrement inventés portant sur les trois motifs, sans transfert des dossiers réels.

Le message distingue une objection motivée des informations encore manquantes. Il ne prétend pas qu’un contrat signé avec le formateur réglerait tout : le rôle, la base légale, la nécessité des données et l’information des personnes sont des questions distinctes.

Conservez l’instruction originale et sa version corrigée. Le prestataire ne remplace pas silencieusement les pièces par un autre fichier, même pour « rendre service » : le responsable doit savoir quelle opération sera réellement effectuée. L’Art. 28(3)(a) impose de documenter cette instruction ; les responsabilités contractuelles sont détaillées dans notre analyse de l’article 28.

Suspension et résiliation : lire la bonne clause

Le RGPD prévoit l’alerte, mais ne fournit pas une procédure universelle de suspension commerciale pour chaque désaccord. Les clauses types de la décision 2021/915 offrent un mécanisme précis lorsqu’elles régissent la relation. Elles ne sont pas automatiquement incorporées à tous les contrats.

La clause 7.1(b) reprend l’information immédiate sur l’instruction contraire au droit. La clause 10(c) ouvre au sous-traitant la possibilité de résilier la partie du contrat concernant le traitement lorsque le responsable insiste malgré cette information. Ce mécanisme est distinct de la clause 10(a), dans laquelle le responsable peut demander la suspension lorsque le sous-traitant manque aux clauses. Source : décision 2021/915, clauses 7.1 et 10.

Le mois mentionné à la clause 10(b)(1) concerne un cas de résiliation par le responsable après une suspension qu’il a demandée. Ce n’est ni un délai général pour envoyer l’alerte, ni une période autorisant à exécuter l’instruction litigieuse.

Dans un autre contrat, examinez ses dispositions de désaccord, continuité et sortie, ainsi que le droit applicable. Si les clauses types sont utilisées, une clause supplémentaire ne doit pas les contredire. La clause 2(b) le précise. Organisez des mesures proportionnées : mise en attente de l’export, maintien de la sécurité et escalade vers les personnes capables de trancher.

Clore l’alerte sur une décision vérifiable

Dans I-31, le client retire finalement la demande d’export. Il valide la création de six exercices inventés : deux pour chaque motif, rédigés à partir des descriptions générales de ces motifs, sans consulter ni copier les dossiers. Les comptes professionnels du formateur et des participants restent, eux, à encadrer ; inventer les exercices ne rend pas tout le dispositif anonyme.

La clôture mentionne l’instruction remplacée, le nouveau livrable et l’absence de transmission prévue des 64 dossiers. Le responsable technique vérifie que la tâche d’export initiale ne peut plus partir. Une réponse juridique favorable ne suffit pas si une exécution programmée demeure active.

Si le client maintient l’export intégral sans résoudre l’objection, l’alerte reste ouverte. La direction du prestataire examine la suite contractuelle ; le support ne transforme pas l’insistance en autorisation. La relation peut devoir prendre fin selon les mécanismes applicables, mais la résiliation ne permet pas d’abandonner les données sans protection. La clause 10(d) des clauses types organise leur retour ou suppression et maintient les garanties jusqu’à cette opération.

Traiter séparément l’incident et la preuve

Une instruction contestée encore inexécutée n’est pas, à elle seule, une notification de violation à la CNIL. Si des données ont déjà été divulguées sans autorisation, ou si un autre événement de sécurité est découvert, examinez en revanche le régime des violations. Le sous-traitant informe le responsable dans les meilleurs délais après en avoir pris connaissance ; le délai de 72 heures applicable au responsable n’est pas un délai d’attente accordé au prestataire. Source : RGPD, Art. 33(1) et (2), 34(1).

Le dossier de preuve conserve les références nécessaires, les motifs et la décision, plutôt qu’une copie intégrale des 64 dossiers. Si les catégories d’opérations réellement réalisées évoluent, actualisez aussi le registre des activités de sous-traitance, conformément à l’Art. 30(2).

Enfin, un prestataire qui détermine lui-même finalités et moyens en violation du règlement peut être considéré comme responsable pour ce traitement selon l’Art. 28(10). Donner l’alerte ne lui permet donc pas de décider ensuite d’une réutilisation propre non justifiée.

Ce qu’il faut retenir

• Alertez immédiatement sur la règle et l’opération précises qui posent problème.
• Distinguez information manquante, changement de mission et violation identifiée.
• Organisez l’attente et la sortie selon le contrat applicable, sans délai universel inventé.
• Clôturez sur une instruction licite et une situation technique effectivement vérifiée.

FAQ

Une obligation légale peut-elle imposer une autre opération ?

L’Art. 28(3)(a) prévoit cette possibilité pour le droit de l’Union ou de l’État membre auquel le prestataire est soumis. Celui-ci informe normalement le responsable avant le traitement, sauf interdiction légale pour des motifs importants d’intérêt public. Une préférence commerciale ne constitue pas cette exception.

Faut-il envoyer les données au DPO pour expliquer l’alerte ?

Pas systématiquement. Décrivez le traitement et transmettez les seuls éléments nécessaires à l’analyse, avec un accès approprié. Multiplier les copies complètes peut créer le risque que l’alerte cherchait à éviter.

Une clause « le client assume tout » suffit-elle ?

Non. Elle ne neutralise ni les obligations légales du prestataire ni les droits des personnes. Il faut traiter l’objection de fond, même lorsque le client accepte les conséquences commerciales.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.