En quoi consistent ces avenants ?
Depuis l’entrée en vigueur du RGPD (25 mai 2018), les différents opérateurs et entreprises doivent se mettre en conformité : voir notes FNA sur le site et guide pratique CNIL (joint).
Chaque entreprise amenée à utiliser et stocker les données personnelles de ses clients doit désormais recenser l’ensemble de ses fichiers et s’assurer de leur conformité avec le RGPD. Il faut recenser l’ensemble des traitements de données personnelles, informer les personnes sur leurs droits, sécuriser les données personnelles conservées au sein de l’entreprise.
La CNIL a publié sur son site internet des conseils aux entreprises sous le titre « RGPD : par où commencer » : https://www.cnil.fr/fr/rgpd-par-ou-commencer
Il s’agit d’un plan d’action en 4 étapes, assez concret. Ce qui est conseillé dans un premier temps, c’est de déterminer les différentes données collectées de l’entreprise, ce qui permettra de constituer un registre de traitement de données. Ce plan d’action en 4 étapes se trouve également dans le Guide BPI/CNIL pour les TPE et PME qui a été envoyé avec la note juridique 03-18.
Pourquoi les assurances imposent elles ces obligations à leurs prestataires ?
Les assisteurs et les partenaires commerciaux, doivent s’assurer que les données des clients qui sont transmises à leurs prestataires entreprises de dépannage, sont correctement utilisées et protégées. En effet, les assistances sont responsables juridiquement de toutes ces données. Afin d’être en conformité avec le RGPD, les assistances doivent non seulement sécuriser à leur niveau l’ensemble des données personnelles qu’elles collectent, mais elles sont également responsables solidairement avec les prestataires à qui elles transmettent ces données.
Les assistances imposent donc aux prestataires avec lesquels elles travaillent, et c’est leur droit, un certain nombre d’obligations concernant la protection de ces données personnelles.
Pourquoi ces obligations sont-elles si contraignantes ?
Ces obligations sont contraignantes parce que le RGPD est contraignant. Les assistances doivent respecter les dispositions relatives au RGPD et s’assurer auprès de leurs prestataires qu’ils respectent le RGPD et se mettent en conformité avec lui. De manière plus globale, nous ferons face dans les mois et les années à venir, à de nombreuses demandes de mise en conformité de la part de partenaires commerciaux et de prestataires. Il est donc urgent et important que les entreprises soient sensibilisées au RGPD.
Conseils aux entreprises
- Si ce n’est déjà fait, prendre connaissance des notes FNA sur le RGPD. Elles se trouvent dans la base documentaire, rubrique Juridique > Vie de l’entreprise > Gérer son activité (dossier spécial RGPD)
- Prendre connaissance des obligations prévues dans le cadre de cet avenant. Ces obligations sont en effet contraignantes pour le professionnel et s’inscrivent dans le cadre du RGPD. Cela implique qu’il faut véritablement engager une procédure de mise en conformité au sein de l’entreprise. Cette obligation de mise en conformité avec le RGPD ne se situe pas au seul niveau de l’assisteur, c’est une obligation générale soumise à sanction de la CNIL en cas de contrôle (sanction de la CNIL = à 4 % du chiffre d’affaires).
Une attention particulière à apporter à certains points probablement présents dans ces avenants
Pour s’assurer de la mise en conformité de son prestataire avec le RGPD, les assisteurs peuvent imposer les obligations suivantes :
- Une formation des salariés de l’entreprise sur la réglementation applicable en matière de protection des données. Elles peuvent se réserver la possibilité de demander un certificat de formation des employés du prestataire. Le CFPA devrait prochainement proposer aux entreprises et à leurs salariés une action de formation sur 1 journée.
- Obligation de destruction des données personnelles à la fin de la durée légale de conservation
- Prendre des mesures techniques et organisationnelles au sein de l’entreprise pour protéger et sécuriser ces données
- Les assisteurs peuvent se réserver la possibilité de réaliser un audit ou des inspections auprès du prestataire, afin de vérifier la conformité de son établissement au RGPD
- Si le prestataire a recours à de la sous-traitance pour le traitement des données personnelles, il doit en informer l’assisteur et obtenir son autorisation. Le sous-traitant doit lui-même respecter le protocole et le prestataire engage sa responsabilité si le sous-traitant ne le respecte pas. Il s’agit ici de la sous-traitance concernant le traitement des données personnelles. Attention : si le dépanneur sous-traite son activité de dépannage à un collègue, il va lui transmettre les données personnelles des clients de l’assiteur et est donc responsable de l’utilisation que va en faire son sous-traitant.
– Le prestataire doit prendre toutes les mesures de sécurité nécessaires en interne, pour protéger les données personnelles des clients transmises par l’assistance. Il doit pouvoir fournir des garanties à l’assistance concernant les mesures de sécurité qui ont été prises. Ces mesures devraient être détaillées dans les avenants. Ces mesures de sécurité sont conformes aux préconisations de la CNIL.
- Les asisteurs peuvent se réserver la possibilité de faire des tests d’intrusion une fois par an chez le prestataire. Si ces tests révèlent des vulnérabilités dans la protection des données, les prestataires doivent apporter des correctifs.
- Interdiction pour le prestataire d’utiliser à des fins commerciales les données des clients transmises par l’assisteur (ne peut pas les exploiter pour son propre compte). Interdiction de vendre ces données.
- En cas de violation de données (ex : hacker, vol d’ordinateur, vol de données en ligne avec demande de rançon, …) : le prestataire doit en informer l’assiteur dans les 24 h (à noter que la CNIL doit également en être informée). Il doit communiquer à l’assisteur toute information concernant cette violation de données et doit indemniser l’assisteur des dommages subis.
- Les assisteurs pourraient effectuer un audit sur la sécurité des données personnelles auprès du prestataire, une fois par an. La question de l’audit pourrait constituer une condition essentielle de la poursuite de la relation commerciale entre l’assisteur et le prestataire.
- En cas de rupture de la relation commerciale entre l’assisteur et le prestataire (quelle que soit la cause), le prestataire doit supprimer toutes les données des clients et fournir à l’assisteur, un certificat de destruction
- Annexes très importante sur la sécurité des systèmes d’information: ces annexes décrivent les exigences minimales de sécurité que le prestataire doit mettre en œuvre au sein de l’entreprise pour sécuriser les données et répondre aux exigences du RGPD et de la relation commerciale avec l’assisteur. A lire attentivement.
Attention : il est indispensable que le prestataire prenne connaissance de l’ensemble de l’avenant qui lui est proposé avant de le signer car ceci l’engage. A terme, seuls les prestataires engageant une démarche de mise en conformité avec le RGPD pourront maintenir leurs agréments.
Conclusion
Les obligations qui découlent du RGPD peuvent paraître à juste titre contraignantes. Elles n’en concernent pas moins toutes les entreprises. L’argument qui consisterait à dire que nos entreprises sont trop petites pour être réellement concernées par le RGPD ne tient pas et ceux qui s’en affranchiraient, pourraient faire les frais de cette négligence à moyen terme.
