Geheimhaltungsvereinbarung (NDA)

Avant qu'un prestataire démonte vos serveurs ou consulte votre liste d'appareils, il apprend beaucoup de choses sur votre entreprise : sites, systèmes, volumes, parfois aussi projets. Un accord de confidentialité détermine ce qui reste confidentiel. Vous lirez ici ce que doit contenir un tel accord et en quoi il se distingue du contrat de sous-traitance de données (AVV).

Que régit un accord de confidentialité ?

D'autres appellations sont accord de discrétion, accord de confidentialité ou Confidentiality Agreement. Le sens est toujours le même : celui qui reçoit des informations confidentielles ne doit pas les transmettre à des tiers ni les utiliser à ses propres fins. Il existe des NDA unilatéraux, dans lesquels une seule partie divulgue des informations, et des NDA réciproques, lorsque les deux parties divulguent quelque chose.

Composant	Sommaire
Informations confidentielles	Ce qui est précisément protégé, par exemple listes d'appareils, plans de réseau, sites, prix
Objet	À quoi les informations peuvent être utilisées, par exemple pour l'offre et la réalisation de la mise au rebut
Exceptions	Informations déjà publiques ou connues légalement par ailleurs
Transmission	Qui obtient un accès en interne et si des sous-traitants peuvent être impliqués
Durée	Combien de temps l'obligation s'applique, souvent au-delà de la fin du contrat
Restitution et destruction	Ce qu'il advient des documents et fichiers après l'achèvement
Conséquences d'une violation	Par exemple des dommages et intérêts ou une pénalité contractuelle

Depuis 2019, la loi allemande sur la protection des secrets d'affaires (GeschGehG) ne protège une information en tant que secret d'affaires que si son détenteur prend des « mesures de confidentialité appropriées ». Les NDA font partie des mesures habituelles pour le prouver.

NDA, contrat de sous-traitance (AVV) et secret des données : la différence

Un NDA protège les informations de l'entreprise. Les données personnelles qu'un prestataire traite pour votre compte sont en revanche régies par le contrat de sous-traitance au titre de l'art. 28 du RGPD. Pour l'effacement des données sur des appareils mis au rebut, vous avez généralement besoin des deux. En outre, les entreprises engagent leurs collaborateurs en interne à la confidentialité, souvent sous la forme d'un engagement au respect du Secret des données. Pour les personnes tenues au secret professionnel, comme les médecins ou les avocats, s'applique en outre la protection pénale prévue par le § 203 StGB.

Points d'attention pour la mise au rebut informatique

• Définir l'objectif de façon étroite : Informations uniquement pour l'exécution de la commande.
• Encadrer les sous-traitants : Qui peut transporter, effacer ou éliminer les appareils ? Toute autre partie devrait elle aussi être liée.
• Impliquer les collaborateurs : Le prestataire devrait engager son personnel à la confidentialité de manière vérifiable.
• Associer à des preuves : Un NDA ne remplace pas l'effacement. Seul le certificat d'effacement par appareil prouve qu'il ne reste plus de données.

Les autres questions à poser à un prestataire figurent dans la liste de contrôle Choisir un prestataire ITAD. Cette entrée explique des termes et ne remplace pas un conseil juridique.

La confidentialité chez Second IT

Second IT travaille avec des accords de confidentialité (NDA) individuels. Tous les collaborateurs sont tenus au secret des données et sont formés régulièrement. Le traitement a lieu dans des zones à contrôle d'accès et sous vidéosurveillance, et Second IT est certifié selon ISO/IEC 27001. Les supports de données sont effacés avec Blancco ou détruits dans nos propres locaux selon la norme DIN 66399, dans chaque cas avec un certificat par appareil.

Questions fréquentes sur l'accord de confidentialité

Quelle est la différence entre un NDA et un accord de confidentialité ?

Il n'y en a pas. NDA signifie Non-Disclosure Agreement et est la désignation anglaise de l'accord de confidentialité. Un accord de discrétion désigne la même chose.

Un NDA remplace-t-il le contrat de sous-traitance de données (AVV) ?

Non. Le NDA protège les informations commerciales. Si un prestataire traite des données personnelles pour votre compte, l'art. 28 du RGPD exige un contrat de sous-traitance de données (AVV) au contenu défini. Les deux contrats se complètent.

Combien de temps un accord de confidentialité s'applique-t-il ?

Les parties en décident. Une durée qui dépasse la fin de la collaboration est habituelle, car les informations confidentielles restent dignes de protection par la suite.

Ai-je besoin d'un accord de confidentialité pour la mise au rebut informatique ?

Elle n'est pas obligatoire de façon générale. Elle est toutefois judicieuse, car un prestataire obtient un aperçu des sites, des systèmes et des volumes. La loi sur les secrets d'affaires exige en outre des mesures de confidentialité appropriées pour qu'une information soit considérée comme secret d'affaires.

Quelle est la différence entre un NDA unilatéral et un NDA réciproque ?

Avec un NDA unilatéral, une seule partie divulgue des informations confidentielles. Avec un NDA réciproque, les deux parties divulguent quelque chose. Lors de la mise au rebut informatique, c'est souvent le donneur d'ordre qui transmet des informations sur les appareils, les sites et les systèmes.