Support hors UE : cartographier les accès à distance

Les données sont hébergées en France. Pourtant, le fournisseur propose de confier le diagnostic à une autre société, depuis un pays situé hors de l’Espace économique européen. Le serveur ne change pas d’adresse ; des personnes supplémentaires peuvent consulter son contenu. C’est ce circuit qu’il faut examiner avant d’ouvrir les droits.

Pour le DPO et le responsable informatique, la bonne question est précise : quelle entité pourra voir quelles données, depuis quel pays et pour quelle opération ? Une fiche renseignée sur ces quatre points permet d’arbitrer un ticket. La formule « support international conforme au RGPD » ne le permet pas.

Distinguer trois situations avant de chercher des clauses

Le CEPD retient trois critères cumulatifs : un exportateur soumis au RGPD pour le traitement, une mise à disposition à un autre responsable ou sous-traitant, et un importateur dans un pays tiers ou une organisation internationale. L’accès distant peut suffire, sans téléchargement. Un salarié qui travaille pour la même personne morale depuis l’étranger ne crée pas, à lui seul, un transfert entre deux acteurs. Une filiale reste en revanche une entité distincte. CEPD, lignes directrices 05/2021, version finale, § 7, 20–23 et exemples 8 et 11.

Appliquez cette distinction à la relation juridique, pas à la nationalité du technicien :

Le tableau ne dispense pas d’étudier les risques d’un traitement à l’étranger. Il évite de rechercher un contrat de transfert pour le mauvais acteur, ou d’oublier un destinataire parce que le premier interlocuteur parle français.

Reconstituer le parcours du ticket, pas seulement la connexion

Prenez un incident représentatif et demandez au fournisseur de décrire sa prise en charge. Le formulaire initial peut déjà contenir une adresse professionnelle, un nom de client ou une capture du dossier. Une escalade peut ensuite ajouter un export, un enregistrement d’écran ou une copie de journaux.

Suivez cinq opérations : réception, diagnostic, escalade, correction et clôture. À chacune, associez la raison sociale de l’intervenant, les pays d’accès, les données visibles, les copies possibles et leur devenir. Distinguez une réponse confirmée d’une information encore inconnue. « Groupe international » ne remplit pas la colonne « entité » ; « selon disponibilité » ne remplit pas la colonne « pays ».

Les journaux ne sont pas nécessairement anonymes : un identifiant de compte, une adresse IP ou une référence de dossier peuvent permettre de retrouver une personne. Réduire un export aux seules colonnes techniques peut être utile sans faire disparaître son caractère personnel. Décrivez les champs réellement conservés.

Ne supposez pas non plus que toutes les utilisations du fournisseur relèvent du même rôle. La fourniture du service, l’amélioration du produit et certains usages de sécurité doivent être qualifiés selon leurs finalités et leurs moyens propres. CNIL, qualifications des acteurs du cloud, 28 mai 2026. Une autorisation de dépannage ne vaut donc pas accord indistinct pour toute réutilisation du ticket.

Examiner séparément le prestataire et le transfert

Lorsqu’une autre société intervient comme sous-traitant ultérieur, l’Art. 28(2) exige une autorisation écrite préalable, spécifique ou générale. Avec une autorisation générale, le fournisseur doit informer des ajouts ou remplacements prévus et permettre des objections. L’Art. 28(4) impose de transmettre les obligations pertinentes au sous-traitant ultérieur. Ces exigences se cumulent avec celles du chapitre V. RGPD, Art. 28(2)–(4).

Le dossier doit ensuite désigner le mécanisme applicable au flux : adéquation couvrant effectivement le destinataire et les données, garanties appropriées ou dérogation répondant à ses conditions particulières. Le contrat commercial du client avec le fournisseur ne rend pas automatiquement nécessaire le transfert au sens de l’Art. 49(1)(b). Un besoin récurrent de support ne transforme pas les dérogations en autorisation générale. RGPD, Art. 44, 45(1), 46(1) et 49(1).

Pour un transfert fondé sur l’Art. 46, l’analyse d’impact du transfert examine notamment si les garanties fonctionnent compte tenu de la législation et des pratiques du pays concerné. Elle précède le transfert. L’exportateur la réalise avec l’aide de l’importateur ; une adéquation effectivement applicable n’appelle pas cette même analyse. CNIL, guide AITD, sections 1.2 et 2.1–2.3.

Le guide des transferts de données hors UE détaille ces mécanismes. Le modèle d’analyse d’impact du transfert sert à documenter le flux identifié ; il ne remplace ni la lecture des garanties ni l’étude du contexte local.

Une fiche renseignée pour décider d’une escalade

Voici un exemple entièrement fictif. La société française Atelier Delta utilise le logiciel de planification d’Éditeur Rivage, établi en France. Un décalage de colonnes empêche de lire certains rendez-vous. Le premier niveau de support propose une escalade vers une société juridiquement distincte située hors EEE. Son identité et son pays exact ne figurent pas dans le ticket.

La responsable informatique rédige cette fiche avant toute ouverture :

Cette décision ne signifie pas que le support est dépourvu de toute donnée personnelle. L’adresse professionnelle de la responsable figure dans les échanges. Le circuit initial de ce contact relève du dispositif contractuel examiné avec Éditeur Rivage ; toute réorientation du ticket reste à qualifier. La suppression des noms de clients ne suffit pas à déclarer l’ensemble du service anonyme.

Dans le scénario, Éditeur Rivage reproduit le problème avec le jeu fictif et fournit une correction d’affichage. Atelier Delta la vérifie sur ce jeu, puis contrôle localement le planning réel avec son personnel habilité. Aucun accès aux dossiers clients n’est finalement nécessaire pour l’équipe étrangère. La fiche se clôt sur ce résultat, sans présenter l’escalade proposée comme juridiquement approuvée.

Si le fournisseur n’arrive pas à reproduire l’erreur, la décision reste différente : préparer un échantillon réduit, identifier les intervenants et compléter l’analyse avant l’accès. L’absence de réponse sur le pays ne se résout pas en cochant « faible risque ». Le diagnostic peut continuer sur le périmètre déjà autorisé.

Encadrer un accès réel lorsqu’il est justifié

Lorsque l’examen permet l’intervention, l’autorisation doit correspondre au besoin démontré. Un problème sur trois dossiers n’exige pas nécessairement un rôle administrateur sur tous les clients. Précisez la fonction ouverte, le périmètre consultable, la personne qui déclenche l’accès et celle qui vérifie sa fermeture.

Les mesures de sécurité de l’Art. 32 sont adaptées au risque : compte nominatif, authentification appropriée, droits limités, session maîtrisée et journalisation utile peuvent participer au dispositif. Le chiffrement du stockage ne protège pas contre la lecture par un opérateur auquel l’application restitue les informations en clair. Une promesse d’absence de téléchargement ne traite pas non plus les captures ou les copies manuelles.

Préparez une consigne exploitable, par exemple : « Intervention liée au ticket S-57, consultation des dossiers expressément sélectionnés ; aucun export global ; interruption et demande complémentaire si le diagnostic nécessite un autre périmètre. » Ce texte est une proposition opérationnelle à adapter, pas une clause suffisante de conformité.

Le contrat de sous-traitance doit articuler les instructions, la confidentialité, l’assistance et les informations permettant le contrôle. L’Art. 28(3)(a) vise expressément les instructions relatives aux transferts. Évitez que le technicien reçoive une permission plus large dans l’outil que celle décrite dans le contrat ou le ticket.

Fermer la session et suivre les changements

À la clôture, rapprochez ce qui était autorisé de ce qui a été réalisé : intervenant, périmètre, horaires, éventuel export et résultat. Vérifiez la révocation effective du compte ou des droits temporaires. La fermeture du ticket commercial ne démontre pas cette révocation.

Demandez aussi le sort des copies de diagnostic, pièces jointes et journaux. Une durée doit répondre à leur finalité et aux obligations applicables ; elle ne se déduit pas automatiquement de la durée d’abonnement. Conservez la preuve utile de l’intervention sans recopier tout le dossier client dans le journal de contrôle.

Si un accès dépasse le périmètre autorisé, retirez les droits excessifs et examinez les faits. Une violation de données doit être documentée et évaluée au regard des Art. 33 et 34 ; toutes les anomalies contractuelles n’impliquent pas automatiquement une notification. RGPD, Art. 32(2), 33 et 34.

Enfin, une organisation de support peut changer : nouvelle filiale, prestataire d’astreinte ou outil de tickets. Prévoyez qui reçoit ces annonces et réexamine les flux concernés. Une disponibilité permanente suppose une procédure d’autorisation utilisable hors des heures ouvrées ; elle ne justifie pas, par elle-même, un accès permanent à toutes les données.

Ce qu’il faut retenir

• L’adresse du serveur ne décrit pas tous les accès de support.
• Identifiez les entités, les pays et les copies, y compris dans les tickets.
• Sous-traitance, transfert et sécurité nécessitent des vérifications distinctes et cohérentes.
• Réduisez d’abord le besoin de données réelles, puis documentez l’autorisation et la fermeture.

FAQ

Une simple lecture à distance peut-elle être un transfert ?

Oui, lorsque les critères sont réunis. La mise à disposition à un importateur distinct dans un pays tiers ne nécessite pas la création d’un fichier téléchargé. Examinez également les outils utilisés pendant cette lecture.

Le déplacement d’un salarié à l’étranger impose-t-il des clauses de transfert ?

Pas de ce seul fait s’il agit pour la même personne morale. Les risques de l’accès restent à traiter. Si des données sont ensuite communiquées à un autre acteur, ce nouveau flux doit être qualifié séparément.

Peut-on accepter un pays de support encore inconnu ?

On ne peut pas conclure sérieusement sur l’encadrement d’un transfert sans connaître son périmètre. Maintenez les accès concernés fermés, demandez les informations manquantes et poursuivez seulement les opérations dont les conditions sont déjà établies.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.