Le prestataire qui gère le canal d'alerte est-il un sous-traitant au sens du RGPD ?
Réponse courte
Oui, dès lors qu'il traite les données pour le compte de l'entité et sur instruction de celle-ci, sans déterminer lui-même les finalités et les moyens essentiels du traitement. L'article 23 de la loi du 16 mai 2023 renvoyant l'ensemble du traitement au RGPD et à la loi du 1er août 2018, la qualification et ses conséquences contractuelles s'appliquent sans adaptation.
La loi luxembourgeoise ajoute cependant une obligation qui ne vient pas du droit des données. Son article 6 (4) permet expressément que le canal soit fourni en externe par un tiers, et précise que les mesures de sauvegarde et exigences de l'article 7 (1) s'appliquent également à ce tiers mandaté pour le compte d'une entité du secteur privé.
L'externalisation ne déplace donc ni les délais ni la responsabilité : l'accusé de réception dans les sept jours, le retour d'information dans les trois mois et le devoir de confidentialité de l'article 22 restent dus par l'entité, quel que soit l'opérateur du canal.
Définition
Le sous-traitant est, au sens du droit de la protection des données, celui qui traite des données à caractère personnel pour le compte du responsable du traitement, sans en fixer les finalités ni les moyens essentiels. Appliquée au dispositif d'alerte, cette définition vise la plateforme ou le cabinet qui réceptionne les signalements, les héberge et en assure éventuellement le premier examen.
La loi du 16 mai 2023 emploie un vocabulaire propre : elle parle de canal fourni en externe par un tiers, par opposition au canal géré en interne par une personne ou un service désigné. Les deux qualifications se superposent sans se confondre, et emportent des obligations distinctes.
Conditions d’exercice
Le critère décisif tient à l'autonomie décisionnelle : un prestataire qui choisirait lui-même les suites à donner aux signalements cesserait d'agir pour le compte de l'entité.
| Élément | Détail |
|---|---|
| Qualification RGPD | Traitement pour le compte de l'entité, sur instruction documentée, sans détermination des finalités ni des moyens essentiels |
| Fondement du renvoi | Tout traitement effectué en vertu de la loi obéit au RGPD et à la loi du 1er août 2018 (art. 23 (1)) |
| Autorisation d'externaliser | Le canal peut être géré en interne ou fourni en externe par un tiers, sans condition d'effectif (art. 6 (4)) |
| Obligations transposées | Les mesures de sauvegarde et exigences de l'art. 7 (1) s'appliquent au tiers mandaté (art. 6 (4)) |
| Accès à l'identité | Réservé aux membres du personnel autorisés compétents pour recevoir les signalements ou en assurer le suivi (art. 22 (1)) |
Modalités pratiques
Le contrat doit couvrir deux corps de règles à la fois, celles du droit des données et celles de l'article 7 (1), qui ne se recoupent qu'en partie.
| Aspect | Détail |
|---|---|
| Sécurité du canal | Conception et gestion garantissant la confidentialité de l'auteur et des tiers mentionnés, et empêchant l'accès du personnel non autorisé (art. 7 (1), 1°) |
| Délais opposables | Accusé de réception à sept jours et retour d'information à trois mois, dus par l'entité (art. 7 (1), 2° et 5°) |
| Impartialité | La personne ou le service assurant le suivi doit être impartial et compétent, y compris chez le prestataire (art. 7 (1), 3°) |
| Consignation des signalements oraux | Enregistrement ou transcription avec consentement de l'auteur, que celui-ci peut vérifier, rectifier et approuver (art. 23 (3) et (4)) |
| Données non pertinentes | Non collectées ou effacées sans retard injustifié si elles l'ont été accidentellement (art. 23 (2)) |
| Sanction | L'atteinte à la confidentialité et l'absence de procédure conforme figurent parmi les cinq manquements passibles de 1 500 à 250 000 euros (art. 18 (3) et (5)) |
Pratiques et recommandations
Un contrat de sous-traitance standard, calibré pour de l'hébergement, ne dit rien de l'impartialité du service qui assure le suivi ni du délai de sept jours. Ces deux exigences viennent de l'article 7 (1) et non du droit des données : elles doivent figurer explicitement dans le cahier des charges, faute de quoi l'entité découvre le manquement au moment où l'autorité compétente lui réclame ses traces.
Beaucoup de plateformes proposent un « triage » des alertes avant transmission au client. Cette prestation déplace le prestataire vers un rôle décisionnel qu'il n'a pas vocation à exercer, et surtout elle place hors de l'entité l'appréciation de ce qui mérite un suivi — alors que le retour d'information et la remédiation restent dus par elle.
L'externalisation de l'article 6 (4), ouverte à toutes les entités, ne se confond pas avec le partage de ressources de l'article 6 (3), réservé aux entités de 50 à 249 travailleurs : contrat de prestation d'un côté, mise en commun entre assujettis de l'autre.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 6 (3) de la loi du 16 mai 2023 | Partage de ressources entre entités privées de 50 à 249 travailleurs |
| Art. 6 (4) de la loi du 16 mai 2023 | Canal fourni par un tiers et application à ce tiers des exigences de l'article 7 (1) |
| Art. 7 (1), 1° à 5° de la loi du 16 mai 2023 | Sécurité du canal, accusé de réception, service impartial, suivi diligent et retour d'information |
| Art. 22 (1) de la loi du 16 mai 2023 | Divulgation de l'identité limitée aux membres du personnel autorisés |
| Art. 23 (1) de la loi du 16 mai 2023 | Renvoi au RGPD et à la loi du 1er août 2018 |
| Art. 23 (2) à (4) de la loi du 16 mai 2023 | Effacement des données non pertinentes et consignation des signalements oraux |
| Art. 18 (3) et (5) de la loi du 16 mai 2023 | Amende administrative de 1 500 à 250 000 euros |
Note
La qualification de sous-traitant règle le sort des données, non celui des obligations de la loi de 2023. L'entité reste débitrice des délais, du retour d'information et de la remédiation, même lorsque le canal est entièrement opéré par un prestataire.