Dans
l’hôtellerie-restauration,
la
relation
contractuelle
avec
les
éditeurs
de
logiciels
doit
être
traitée
comme
un
point
de
conformité
prioritaire
RGPD,
car
les
établissements
centralisent
des
volumes
élevés
de
données
clients,
salariés,
paiements
et
parfois
des
données
sensibles
ou
à
forte
criticité,
avec
une
exposition
cyber
renforcée.
Le
contrat
avec
l’éditeur
doit
donc
être
structuré
comme
une
vraie
relation
de
sous-traitance
au
sens
de
l’article
28
du
RGPD,
et
non
comme
une
simple
commande
logicielle.
Un
rôle
souvent
sous-estimé
dans
la
chaîne
contractuelle
Garant
de
la
conformité
au
RGPD,
le
Délégué
à
la
protection
des
données
(DPO)
se
retrouve
souvent
au
cœur
d’une
équation
impossible :
concilier
la
rigueur
juridique
du
traitement
des
données
avec
les
pratiques
commerciales
des
éditeurs
de
logiciels
et
les
contraintes
des
métiers.
Entre
avenants
ignorés,
négociations
stériles
et
transferts
de
données
nébuleux,
la
réalité
du
terrain
s’éloigne
souvent
des
principes
affichés.
L’avenant
“clauses
types” :
un
exercice
d’équilibriste
Lorsqu’un
contrat
existe
déjà,
la
mise
à
jour
au
moyen
d’un
avenant
intégrant
les
clauses
types
(art.
28
du
RGPD
ou
Clauses
types
contractuelles
–
CCT
de
la
Commission
Européenne
notamment
pour
des
données
transférées
hors
de
l’UE)
semble
être
une
solution
simple.
En
théorie,
un
simple
ajustement.
En
pratique,
un
parcours
du
combattant :
délais
de
validation
interminables,
interlocuteurs
multiples
et
parfois
un
refus
pur
et
simple.
De
nombreux
éditeurs
n’ont
ni
la
flexibilité
ni
la
culture
contractuelle
nécessaire
pour
adapter
leurs
modèles
à
la
réglementation
européenne.
Les
nouveaux
contrats :
des
clauses
imposées,
sans
réelle
négociation
Lors
de
nouveaux
projets,
la
situation
n’est
guère
meilleure.
La
plupart
des
éditeurs
SaaS
imposent
leurs
propres
conditions
générales
ou
« Data
Processing
Addendums »
standardisés,
sans
marge
de
négociation.
Leur
politique
de
confidentialité,
souvent
disponible
en
ligne
mais
non
annexée
au
contrat,
devient
un
document
d’adhésion.
Le
responsable
du
traitement
signe
alors
un
contrat
où
les
clauses
essentielles
–
sécurité,
sous-traitance,
transferts
–
échappent
à
toute
discussion.
La
conséquence
pour
le
responsable
de
traitement
est
alors
un
risque
de
non-conformité,
sachant
qu’il
reste
responsable
aux
yeux
de
la
CNIL
même
en
cas
de
défaillance
du
sous-traitant.
En
effet,
dans
le
secteur
de
l’hôtellerie-restauration,
il
est
particulièrement
utile
d’auditer
les
éditeurs
de
PMS,
POS,
réservation
en
ligne,
CRM,
Wi-Fi
captif,
paiement
et
fidélisation,
car
ce
sont
souvent
eux
qui
concentrent
les
risques
juridiques
et
techniques.
L’établissement
ne
peut
pas
se
décharger
sur
ses
prestataires :
il
reste
responsable
de
la
conformité
globale
du
traitement.
Hébergement
des
données :
une
souveraineté
parfois
illusoire
Même
lorsque
les
données
sont
officiellement
hébergées
dans
l’Union
européenne,
la
distinction
entre
résidence
et
souveraineté
des
données
devient
cruciale.
Certains
prestataires
affichent
un
hébergement
en
Europe,
mais
restent
soumis
à
des
législations
extra-européennes
(notamment
américaines)
qui
peuvent
fragiliser
la
protection
juridique
offerte
par
le
RGPD.
Ces
situations
mettent
le
DPO
dans
une
position
délicate :
comment
garantir
la
conformité
lorsqu’une
juridiction
étrangère
peut,
en
pratique,
avoir
accès
aux
données ?
Et
la
sous-traitance
ultérieure…
Il
faut
aussi
encadrer
strictement
le
recours
à
des
sous-traitants
ultérieurs
par
l’éditeur,
avec
autorisation
écrite
préalable
ou
mécanisme
d’autorisation
conforme,
ainsi
qu’une
obligation
d’information
sur
tout
changement
de
prestataire.
Une
saisine
tardive
et
une
responsabilité
partagée…
difficile
à
tracer
Trop
souvent,
le
DPO
est
saisi
à
la
dernière
minute,
une
fois
le
contrat
déjà
négocié
—
voire
prêt
à
être
signé.
Impossible
alors
de
corriger
les
non-conformités
sans
bloquer
le
processus.
Cette
intervention
tardive
illustre
un
manque
structurel
de
coordination
interne :
achats,
métiers,
juridique
et
DPO
ne
travaillent
pas
toujours
de
concert.
Résultat :
des
zones
floues
sur
les
responsabilités
respectives
de
chacun
dans
la
gestion
des
données,
et
une
gouvernance
contractuelle
qui
peine
à
se
stabiliser.
Par
ailleurs,
les
DPO
passent
un
temps
considérable
à
traquer
les
politiques
de
confidentialité
des
sous-traitants,
souvent
enfouies
dans
les
sites
web,
mal
référencées,
ou
rédigées
dans
un
jargon
juridique
inaccessible.
Ce
travail
de
recherche
et
d’analyse
reste
laborieux
et
chronophage.
Enfin,
une
fois
l’analyse
réalisée,
les
DPO
transmettent
leurs
éventuelles
réserves
et
recommandations
aux
métiers
et
dans
nombre
de
cas,
ces
alertes
sont
ignorées
ou
minimisées,
notamment
pour
des
raisons
économiques
et
opérationnelles.
Le
DPO
devient
alors
le
« méchant »
qui
bloque
les
projets,
alors
qu’il
est
simplement
garant
de
la
conformité
et
de
la
protection
des
données.
Vers
une
maturité
contractuelle
collective
Faire
du
DPO
un
acteur
à
part
entière
du
processus
contractuel,
avant
toute
signature,
est
devenu
une
nécessité.
La
conformité
ne
doit
pas
être
un
frein,
mais
un
socle
de
confiance.
Acculturation
interne,
transparence
sur
les
politiques
de
sous-traitance,
clauses
évolutives
adaptées
aux
risques :
autant
de
leviers
pour
éviter
que
le
contrat,
censé
protéger
les
parties,
ne
devienne
le
principal
maillon
faible
de
la
protection
des
données.
|
|
Article fourni gracieusement par Patricia Giuli, Fondateur de Travel Singularity, Rebyū Déléguée à la protection des données depuis plus de huit ans, Patricia Giuli a construit son expérience dans les secteurs public, hôtelier et culturel au service de la conformité RGPD, de l’analyse des risques et de la sensibilisation des équipes. Son parcours, marqué par des responsabilités de direction et de formation, lui confère une approche à la fois rigoureuse, opérationnelle et pédagogique. |
