Maintenance informatique
et RGPD

Pas en ces termes : le règlement ne mentionne pas les contrats de maintenance. Ce qu'il exige, c'est de mettre en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données, et d'être en mesure de démontrer qu'elles sont appliquées de façon continue, pas seulement le jour où un document a été signé. En pratique, une bonne partie de ces mesures techniques relève de l'informatique : des sauvegardes qui fonctionnent et dont on vérifie qu'elles se restaurent, des systèmes à jour, des accès contrôlés et retirés quand quelqu'un quitte l'entreprise, et une capacité réelle à détecter un incident et à savoir quoi en faire. Rien de tout cela ne tient tout seul dans la durée : un système bien configuré aujourd'hui se dégrade si personne ne le vérifie ensuite. C'est pourquoi la maintenance informatique n'est pas un caprice technique ajouté à la conformité réglementaire : c'est la partie qui la maintient vivante mois après mois, au lieu d'en faire un papier signé une fois pour toutes.

Oui, et c'est ce que nous sommes le plus surpris de trouver non signé dans des entreprises dont la documentation RGPD est par ailleurs en ordre. Si votre prestataire informatique accède aux ordinateurs qui contiennent des données de clients, de patients ou de salariés — et pour assurer le support, il y accède, même ponctuellement —, il traite des données personnelles pour votre compte. Cela fait de lui un sous-traitant au sens du RGPD, et cette relation doit être encadrée par un contrat distinct du contrat de service : quelles données il peut manipuler, dans quel but, quelle confidentialité il impose à son personnel, quelles mesures de sécurité il applique, s'il peut sous-traiter à son tour et à quelles conditions, et ce que deviennent les données à la fin de la relation. Un prestataire sérieux le propose de lui-même, sans que vous ayez à le demander. Si le vôtre s'étonne quand vous lui parlez de ce contrat, cela en dit déjà long sur la façon dont il gère le reste de ses obligations envers vous.

Tout incident entraînant la destruction, la perte, l'altération ou l'accès non autorisé à des données personnelles constitue une violation : un ransomware qui chiffre le serveur, un ordinateur portable non chiffré volé, un e-mail contenant des données clients envoyé au mauvais destinataire, voire un salarié qui consulte des dossiers sans raison. Il n'est pas nécessaire qu'il y ait une intention, ni que les données sortent de l'entreprise. Lorsque l'incident présente un risque réel pour les droits des personnes concernées, il faut le notifier à l'autorité de contrôle dans les meilleurs délais et, à titre de référence, dans les 72 heures après en avoir pris connaissance. C'est un délai court pour improviser : mieux vaut l'avoir décidé à l'avance — qui évalue le risque, qui rédige la notification et qui prévient les personnes concernées si nécessaire. Le documenter, même si l'on ne notifie finalement pas parce que le risque est jugé faible, est également obligatoire : l'absence de registre est en soi un manquement.

C'en est une partie, et pas celle qui fait la différence en cas de réclamation ou de contrôle. Ce que presque aucune entreprise n'a documenté, c'est ce qui soutient le reste : qui a accès à quels systèmes et pourquoi, ce que l'on fait exactement le jour où quelqu'un quitte l'entreprise, à quelle fréquence on vérifie que les sauvegardes se restaurent vraiment, et pas seulement que la tâche s'est exécutée, et ce que l'on ferait dans les premières heures si une alerte de sécurité se déclenchait. Être conforme au RGPD, ce n'est pas avoir un antivirus et des sauvegardes installés, c'est pouvoir démontrer que les deux fonctionnent et qu'il y a une logique derrière qui accède à chaque donnée. C'est cette partie documentaire que l'on demande en premier s'il faut un jour rendre des comptes à l'autorité de contrôle, et c'est aussi celle que l'on oublie en premier, parce qu'elle ne pose aucun problème visible au quotidien, jusqu'au jour où elle en pose un d'un coup.

Les obligations sont les mêmes quelle que soit la taille ; ce qui change, c'est la manière proportionnée de les respecter, pas le fait de devoir les respecter. Une très petite entreprise n'a pas besoin de la même structure qu'une entreprise de cent salariés, mais elle a besoin des mêmes garanties de fond : des données protégées, la capacité de le démontrer et un minimum de contrôle sur qui accède à quoi. Une nuance est souvent oubliée : la taille de l'entreprise ne dit rien de la sensibilité des données qu'elle traite. Un cabinet de deux personnes ou une petite clinique traitent des données de santé ou financières plus délicates que bien des grandes entreprises qui ne gèrent que des commandes et des factures. Si vous avez un doute sur le niveau d'exigence qui vous correspond exactement compte tenu de votre activité, c'est une question pour un spécialiste de la protection des données ; ce qui dépend de l'informatique — sauvegardes, accès, chiffrement — s'applique de la même façon quelle que soit votre taille.

Le délai d'intervention, c'est le temps que met quelqu'un à prendre en charge votre signalement : décrocher, ouvrir le ticket, confirmer que le problème est à l'étude. Le délai de résolution, c'est le temps qu'il faut pour que le problème soit réellement réglé, ce qui peut être bien plus long s'il faut commander une pièce, restaurer une grosse sauvegarde ou se coordonner avec un tiers. Presque tous les contrats de maintenance s'engagent par écrit sur le premier, avec des chiffres clairs, et laissent le second à un vague « dans les meilleurs délais » qui n'engage à rien de précis. La différence compte parce que c'est celle que vous subissez réellement : qu'on vous réponde en quinze minutes ne sert pas à grand-chose si le système est toujours en panne six heures après cet appel. Avant de signer, demandez explicitement lequel des deux est garanti, avec quel chiffre, et ce qui se passe s'il n'est pas respecté. Si l'on ne vous parle que du délai d'intervention, on vous vend probablement moins que ce qu'il paraît à première vue.

Pour une très petite entreprise avec peu d'infrastructure et peu de risque, cela peut se justifier, surtout au début. Le problème apparaît avec le temps : les heures ponctuelles se commandent quand quelque chose est déjà tombé en panne, si bien qu'elles servent toujours à éteindre l'incendie du moment et jamais au préventif, qui est justement ce qui empêche l'incendie de se déclarer. Vérifier les sauvegardes, contrôler les mises à jour, revoir les accès ou tenir à jour la documentation RGPD ne déclenche aucun appel urgent : dans un modèle à l'heure, cela a tendance à ne jamais se faire, faute d'occasion. Si vous choisissez malgré tout la facturation à l'heure, il est judicieux de réserver explicitement un volume fixe par an pour la maintenance préventive, plutôt que d'attendre qu'il reste du budget. Dès que l'entreprise grandit ou traite des données plus sensibles, un forfait qui inclut ce travail préventif revient généralement moins cher que les heures dépensées à réagir trop tard.

Cela doit être prévu par écrit dans le contrat, pas improvisé le jour où vous décidez de changer de prestataire. Le contrat doit prévoir au moins trois choses : la restitution ou la suppression des données auxquelles le prestataire sortant a eu accès, la remise des identifiants, mots de passe et de la documentation technique du système, et la confirmation de qui est le véritable titulaire des noms de domaine, des licences et des comptes cloud souscrits. Ce dernier point est plus fréquent qu'on ne le croit : il n'est pas rare de trouver des noms de domaine ou des licences de messagerie enregistrés au nom du prestataire et non de l'entreprise, ce qui transforme un changement simple en un long blocage. C'est aussi le moment où l'on découvre les contrats mal rédigés, voire inexistants : si rien n'a jamais été signé, il n'y a rien sur quoi s'appuyer pour exiger cette restitution. Mieux vaut donc relire cette clause avant d'en avoir besoin, pas quand on en a besoin en urgence.