RGPD : La gestion et la conservation par le cabinet des dossiers du collaborateur libéral relève de la sous-traitance

Lorsque le collaborateur utilise, dans le cadre de la gestion de ses dossiers personnels, les moyens de traitement mis à sa disposition par le cabinet, ce dernier est sous-traitant du premier.

Le collaborateur libéral, responsable de traitement pour ses dossiers personnels, se trouve donc, pour ce qui concerne la gestion desdits dossiers, dans une relation de sous-traitance avec le cabinet qui l’emploie au sens de l’article 28 du Règlement général sur la protection des données.

/ ! \ Attention : la Commission nationale de l’informatique et des libertés (CNIL) distingue deux situations :

• Les moyens sont développés et gérés par le cabinet : leur mise à disposition s’analyse comme de la sous-traitance ;
• Le cabinet a recours à un prestataire pour ses outils informatiques : il n’y a pas de traitement de données par le cabinet pour le compte du collaborateur.

Si les moyens informatiques du cabinet ont été développés intégralement par lui, il doit être considéré comme sous-traitant. A contrario, si le cabinet utilise des moyens informatiques qu’il n’a pas lui-même développé (Microsoft, Google ou autre prestataire), il n’est pas dans une situation de sous-traitance.

En conséquence, dès lors que les moyens informatiques sont ceux développés et gérés par le cabinet lui-même, leur mise à disposition peut s’analyser comme de la sous-traitance. Le collaborateur peut trouver intérêt à utiliser ou non les moyens informatiques mis à sa disposition, il se conçoit qu’il puisse ne pas souhaiter que les logiciels du cabinet traitent ses dossiers.

• La conservation des dossiers papier du collaborateur libéral par le cabinet est soumise au même régime. Dès lors que le collaborateur conserve dans les locaux du cabinet des dossiers papier, une relation de sous-traitance s’instaure.

La qualification de sous-traitant pour le cabinet entraîne des obligations en application du RGPD

La relation de sous-traitance emporte des effets :

• Le cabinet, en tant que sous-traitant, devrait assurer un niveau de sécurité suffisant au regard de la nature des données collectées pour le responsable de traitement (article 32 du RGPD) ;
• Le collaborateur libéral, en tant que responsable de traitement, devrait vérifier que le cabinet sous-traitant présente toutes les garanties de sécurité, si besoin par une demande et une analyse de tout document de conformité de ce dernier. Le collaborateur pourrait en effet vouloir s’assurer de l’effectivité des garanties de sécurité des outils du cabinet et, à cette fin, solliciter des audits.

En conséquence, le cabinet, agissant sur instruction du collaborateur libéral pour la gestion de ses dossiers, aurait l’obligation de :

• vérifier la sécurité de ladite gestion ;
• et, le cas échéant, se remettre à niveau.

La clause de sous-traitance permet de sécuriser la relation au regard des exigences du RGPD

Une clause de sous-traitance de données à caractère personnel, annexée au contrat de collaboration libérale, est donc utile pour sécuriser la relation en fonction de la situation. Elle est de nature à permettre aux contractants de se conformer au RGPD, étant précisé que ses dispositions sont invocables même en l’absence d’une telle clause.

Pour accompagner les cabinets dans la sécurisation de la relation, la commission Collaboration du CNB propose aux avocats :

• une clause-type (insérée à l’article 23 du contrat-type de collaboration libérale) à décliner suivant la situation

• un contrat type de sous-traitance de données à caractère personnelle