Auftragsverarbeitungsvertrag (AVV)

Dès qu’un prestataire enlève des ordinateurs portables mis au rebut, efface des disques durs ou détruit des supports de données, il a accès à des données à caractère personnel de votre entreprise. Le RGPD exige dans ce cas un contrat écrit comportant un contenu minimal défini : le contrat de sous-traitance. Cette entrée du glossaire explique ce qu’il doit contenir, quand il est nécessaire lors de la mise au rebut du matériel informatique et quelles erreurs sont fréquentes en pratique.

Qu’est-ce qu’un contrat de sous-traitance ?

Le RGPD distingue deux rôles. Le responsable du traitement décide des finalités et des moyens du traitement des données, en règle générale votre entreprise. Le sous-traitant traite les données uniquement pour son compte et selon ses instructions, par exemple un centre de données, un bureau de paie ou un prestataire d’effacement de données.

Le contrat de sous-traitance, souvent abrégé en AV-Vertrag ou AVV en allemand, est la base juridique de cette collaboration. Il doit être conclu par écrit, un format électronique suffisant (art. 28, par. 9 du RGPD). La Commission européenne a en outre publié des clauses contractuelles types pour la sous-traitance, que les entreprises peuvent utiliser sans y être tenues.

Important : le contrat de sous-traitance ne transfère pas la responsabilité. Vous restez responsable des données et devez choisir le prestataire avec soin. Selon l’art. 28, par. 1 du RGPD, vous ne pouvez travailler qu’avec des sous-traitants qui, au moyen de Mesures techniques et organisationnelles (TOM) appropriées, présentent des garanties suffisantes.

Que dit l’art. 28 du RGPD ? Le contenu obligatoire

L’art. 28, par. 3 du RGPD énumère ce qu’un contrat de sous-traitance doit au minimum régler. Outre l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, il s’agit des obligations suivantes du sous-traitant :

Obligation (art. 28, par. 3)	Sommaire	Importance lors de la mise au rebut du matériel informatique
point a) – Respect des instructions	Traitement uniquement sur instruction documentée	C’est vous qui déterminez la méthode d’effacement ou de destruction applicable
point b) – Confidentialité	Les collaborateurs sont tenus à la confidentialité	Engagement du personnel qui transporte et traite les appareils
point c) – Sécurité	Mesures selon l’art. 32 du RGPD	Transport sécurisé, contrôle d’accès, stockage protégé
point d) – Sous-traitants ultérieurs	Uniquement dans les conditions des paragraphes 2 et 4	Si le transport ou la destruction est confié à des tiers
point e) – Droits des personnes concernées	Assistance pour les demandes des personnes concernées	Information indiquant si et quand un support de données a été effacé
point f) – Assistance	Aide pour les obligations des art. 32 à 36 du RGPD	Notification en cas de perte d’un appareil (violation de données)
point g) – Effacement ou restitution	Effacer ou restituer toutes les données au terme de la prestation	Cœur de la prestation : effacement ou destruction par support de données
point h) – Preuves et contrôles	Fournir des informations, permettre des contrôles	Certificats d’effacement et de destruction, rapports d’audit, contrôles sur site

Un contrat de sous-traitance qui se contente de renvoyer à la loi ne suffit pas. Les obligations doivent être adaptées à la prestation concrète, c’est-à-dire décrire par exemple comment les appareils sont emballés, transportés, effacés et documentés.

Quand la mise au rebut du matériel informatique constitue-t-elle une sous-traitance ?

Les autorités de contrôle qualifient en général l’effacement ou la destruction de supports de données par un prestataire externe de sous-traitance. Le prestataire a accès à des supports de données contenant des données à caractère personnel et agit pour votre compte. Cela vaut également lorsqu’il n’est pas censé consulter les données, mais se contente de les détruire.

Si les appareils sont vendus et passent en la propriété de l’acheteur, la situation est plus complexe. Tant que des données se trouvent encore sur les appareils, la protection de ces données jusqu’à leur effacement reste votre responsabilité. De nombreuses entreprises concluent donc aussi un contrat de sous-traitance en cas de rachat avec effacement, ou règlent l’effacement par contrat de manière équivalente. Clarifiez avec votre déléguée à la protection des données quelle formule convient au cas particulier. Cette entrée ne remplace pas un conseil juridique.

La manière de céder des supports de données de façon globalement conforme au droit est présentée dans notre guide Éliminer les supports de données en conformité avec le RGPD.

Erreurs typiques avec le contrat de sous-traitance

• Pas de contrat avant le premier enlèvement : Des appareils quittent l’entreprise avant la signature d’un contrat de sous-traitance.
• Modèle sans lien avec la prestation : Le contrat ne mentionne ni les types de supports de données, ni les méthodes d’effacement, ni le niveau de sécurité de la destruction.
• Sous-traitants ultérieurs inconnus : On ne sait pas si un transporteur ou une entreprise de destruction est impliqué. Plus d’informations à ce sujet sous Sous-traitant ultérieur.
• TOM comme annexe vide : L’annexe relative à l’art. 32 du RGPD est formulée en termes généraux et ne décrit aucune mesure de protection du transport et de l’accès.
• Pas de règle de justificatifs : Il n’est pas convenu qu’un certificat d’effacement ou de destruction soit fourni pour chaque numéro de série.
• Pas de contrôle : Le contrat autorise des contrôles, mais personne n’exerce ce droit ni ne consulte les certificats.

Exemple pratique : mise au rebut de 300 ordinateurs de bureau

Un exemple simplifié montre comment le contrat de sous-traitance agit dans le déroulement. Une entreprise remplace 300 ordinateurs de bureau et charge un prestataire de l’enlèvement, de l’effacement et de la valorisation.

1. L’informatique établit une Liste d’inventaire avec numéros de série. La protection des données examine les TOM du prestataire et conclut le contrat de sous-traitance.
2. Le contrat de sous-traitance prévoit : transport scellé, effacement de chaque support de données avec un certificat par numéro de série, destruction des supports impossibles à effacer, information sur les sous-traitants ultérieurs employés.
3. Lors de l’enlèvement, un procès-verbal de prise en charge est signé. À partir de là, s’applique la Chaîne de traçabilité.
4. Une fois la prestation terminée, le prestataire fournit les justificatifs. L’informatique les rapproche de la liste d’inventaire et les archive à titre de documentation.

Ainsi, lors d’un contrôle, l’entreprise peut montrer qu’elle a satisfait à son Obligation de rendre compte obligation de rendre compte.

Sur quoi Second IT s’appuie en matière de protection des données et de justificatifs

Second IT met en œuvre les mesures qui sont typiquement décrites dans un contrat de sous-traitance et son annexe TOM. L’enlèvement s’effectue avec sa propre logistique sécurisée : trajets directs sans stockage intermédiaire, surveillance GPS, scellés inviolables et transport assuré. À la réception des marchandises, tous les appareils sont contrôlés quant à la présence de supports de stockage et enregistrés par numéro de série. Les zones de traitement sont protégées par un contrôle d’accès et une vidéosurveillance. Les collaborateurs sont tenus au secret des données ; des accords de confidentialité (NDA) sont possibles.

L’effacement est réalisé avec Blancco, avec un certificat d’effacement signé numériquement pour chaque appareil. Les supports de données impossibles à effacer sont détruits en interne selon DIN 66399, certifiés pour le niveau de sécurité H-5. Les rapports d’audit sont disponibles dans le portail client. Second IT est certifiée ISO/IEC 27001. Plus d’informations sur Sécurité des données chez Second IT.

Distinction avec les termes voisins

la TOM décrivent les mesures de protection concrètes et constituent le plus souvent une annexe du contrat de sous-traitance. Un Accord de confidentialité (NDA) protège les secrets d’affaires de manière générale, mais ne satisfait pas au contenu obligatoire de l’art. 28 du RGPD. En cas de responsabilité conjointe au titre de l’art. 26 du RGPD, deux responsables du traitement déterminent conjointement les finalités et les moyens. Ce n’est normalement pas le cas d’un prestataire d’effacement ou de destruction.

Attention, risque de confusion : en droit de l’environnement, l’abréviation « AVV » désigne aussi l’ordonnance sur la liste des déchets (Abfallverzeichnis-Verordnung), dont proviennent les Code déchet sont issus. Elle n’a rien à voir avec la protection des données. Vous lirez les points d’attention globaux lors du choix d’un prestataire dans Choisir un prestataire ITAD.

Questions fréquentes sur le contrat de sous-traitance

Ai-je besoin d’un contrat de sous-traitance si un prestataire ne fait que détruire des disques durs ?

En règle générale, oui. Même celui qui se contente de détruire des supports de données a accès à des données à caractère personnel et agit pour votre compte. Les autorités de contrôle qualifient donc le plus souvent la destruction externe de supports de données de sous-traitance. En cas de doute, validez la qualification avec votre déléguée à la protection des données.

Un contrat de sous-traitance doit-il être signé sur papier ?

Non. L’art. 28, par. 9 du RGPD exige la forme écrite, mais admet expressément un format électronique. L’essentiel est que le contrat soit documenté et conclu avant le début du traitement.

Que se passe-t-il en l’absence de contrat de sous-traitance ?

Il manque alors une obligation prévue à l’art. 28 du RGPD. Les violations de cette obligation peuvent être sanctionnées par une amende selon l’art. 83, par. 4 du RGPD. De plus, en cas de problème, vous n’avez pas de base contractuelle pour exiger des justificatifs et des mesures du prestataire.

Le prestataire peut-il faire appel à d’autres entreprises ?

Uniquement avec votre autorisation écrite préalable, soit au cas par cas, soit de manière générale. En cas d’autorisation générale, il doit vous informer des changements afin que vous puissiez vous y opposer. Les mêmes obligations en matière de protection des données s’appliquent aux sous-traitants ultérieurs impliqués que celles auxquelles il est lui-même soumis.

Quel rapport y a-t-il entre l’ordonnance sur la liste des déchets et le contrat de sous-traitance ?

Rien, hormis l’abréviation. En protection des données, AVV désigne le contrat de sous-traitance au titre de l’art. 28 du RGPD. En droit des déchets, AVV signifie ordonnance sur la liste des déchets (Abfallverzeichnis-Verordnung), qui fixe les types de déchets et les codes déchets.