Communication ouverte et transparente
Les prestataires de services de sécurité traitent chaque jour des données sensibles : plannings d’équipe, autorisations d’accès, enregistrements vidéo, données personnelles des employés des clients. Pourtant, beaucoup sous-estiment leur rôle de sous-traitant au sens du RGPD. Nous clarifions les droits, obligations et pièges typiques.
Pourquoi le traitement des commandes est particulièrement pertinent dans le secteur de la sécurité
Les prestataires de services de sécurité ont généralement accès à des données particulièrement sensibles :
| Type de données | Exemples |
|---|---|
| Données personnelles | Noms, adresses, dates de naissance des clients, visiteurs ou employés |
| Données d’accès | Qui a ouvert quelle porte et quand (y compris les horodatages) |
| Enregistrements vidéo | Images animées de personnes, souvent avec reconnaissance faciale |
| Rapports d’incidents | Descriptions détaillées d’incidents (également avec référence personnelle) |
| Plannings d’équipe | Heures de travail et lieux d’affectation du personnel de sécurité |
| Concepts de sécurité | Documents confidentiels sur les vulnérabilités des clients |
Le hic : Le prestataire de services de sécurité agit pour le compte de son client. Il est donc juridiquement sous-traitant – avec des obligations considérables.
La base juridique : Art. 28 RGPD
Le Règlement général sur la protection des données (RGPD) distingue clairement :
| Rôle | Définition | Exemple |
|---|---|---|
| Responsable du traitement | Décide des finalités et des moyens du traitement | Le client (par exemple, une entreprise qui fait surveiller son bâtiment) |
| Sous-traitant | Traite les données pour le compte du responsable du traitement | Le prestataire de services de sécurité |
Déclaration clé : Le prestataire de services de sécurité ne peut faire que ce que le client lui a contractuellement permis – et doit mettre en œuvre des mesures techniques et organisationnelles (MTO) strictes.
Les 7 obligations les plus importantes en tant que sous-traitant
1. Conclusion d’un contrat de sous-traitance (CT)
Ceci est obligatoire avant de commencer le traitement. Le CT doit régler :
- L’objet et la durée du traitement des données
- La nature et la finalité du traitement
- Le type de données personnelles et les catégories de personnes concernées
- Les obligations du sous-traitant (respect des instructions, MTO, obligations d’assistance)
Conseil pratique : De nombreux clients ont leurs propres modèles de CT. Examinez-les attentivement – en particulier les droits de responsabilité et de contrôle.
2. Respect des instructions
Vous ne pouvez agir que selon les instructions du client. Les traitements non autorisés (par exemple, conserver plus longtemps que convenu, transmettre des données à des tiers) sont interdits.
Exception : Les instructions légalement obligatoires (par exemple, la remise d’enregistrements vidéo à la police) sont autorisées mais doivent être documentées.
3. Mesures techniques et organisationnelles (MTO)
Vous devez prouver que vos systèmes et processus sont sécurisés. Il s’agit notamment de :
- Chiffrement des données vidéo et d’accès
- Contrôles d’accès (seuls les employés autorisés ont accès)
- Journalisation de tous les accès
- Sauvegardes régulières et possibilités de restauration
- Mises à jour de sécurité et gestion des correctifs
- Plan d’urgence en cas de violation de données
Conseil pratique : Documentez vos MTO par écrit – c’est votre meilleure défense en cas de litige.
4. Obligations d’assistance envers le client
Vous devez aider le client pour :
- Répondre aux demandes d’accès des personnes concernées (“Quelles données me concernant sont stockées ?”)
- Correction ou suppression des données
- Limitation du traitement
- Notification des violations de données aux autorités de contrôle
5. Obligation de signaler les violations de données
Si vous découvrez une violation de données (par exemple, système vidéo piraté, ordinateur portable professionnel perdu avec des données sensibles), vous devez :
- Informer immédiatement le client (pas de délai fixe, mais “sans retard injustifié”)
- Fournir toutes les informations connues sur la violation (portée, données concernées, mesures correctives)
- Aider le client à notifier l’autorité de contrôle
Attention : La dissimulation peut coûter cher – des amendes pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
6. Recours à des sous-traitants uniquement avec autorisation
Votre personnel de sécurité peut-il utiliser indépendamment des prestataires de services externes (par exemple, stockage cloud, techniciens de maintenance, personnel de nettoyage ayant accès à des zones sensibles) ?
- Uniquement avec l’autorisation écrite préalable du client
- Mêmes obligations contractuelles pour le sous-traitant (CT requis)
- Responsabilité reste à votre charge (vous êtes responsable envers le client des sous-traitants)
7. Suppression ou restitution de toutes les données après la fin du contrat
Après la fin du contrat, vous devez soit :
- Supprimer toutes les données personnelles (y compris les sauvegardes, les journaux, les e-mails) ou
- Les remettre au client (par exemple, sur un disque dur)
Une conservation “au cas où” n’est pas autorisée. Des exceptions s’appliquent uniquement s’il existe des obligations légales de conservation (par exemple, conservation commerciale des factures pendant 10 ans – mais sans contenu personnel).
Pièges typiques dans le secteur de la sécurité
Piège 1 : Les accords verbaux ne suffisent pas
De nombreux prestataires de services de sécurité travaillent avec un client depuis des années – mais il n’y a pas de CT écrit. C’est illégal et peut entraîner des amendes élevées en cas d’inspection par l’autorité de contrôle.
Piège 2 : Vidéosurveillance sans concept de suppression
“Enregistrement continu pendant 30 jours – mieux vaut prévenir que guérir.” Pas vraiment. Le RGPD n’autorise le stockage que tant qu’il est nécessaire à la finalité. En cas de doute, vous devez convenir de délais plus courts ou d’un enregistrement déclenché par événement (uniquement en cas d’alarme).
Piège 3 : Absence de documentation des accès
Qui a accédé à quel enregistrement vidéo et quand ? Si vous ne le journalisez pas, vous ne pouvez pas prouver en cas de litige qu’aucun accès non autorisé n’a eu lieu.
Piège 4 : Téléphones personnels du personnel de sécurité
Un employé photographie un objet suspect avec son smartphone personnel et partage l’image via WhatsApp. Violation de données ! Les appareils personnels n’ont pas leur place dans le traitement des commandes.
Piège 5 : Situation d’instruction floue
Le client demande “juste rapidement” la suppression de tous les enregistrements d’un jour spécifique. A-t-il le droit ? Oui, mais seulement si le CT le prévoit. Et vous devez documenter l’instruction.
Vos droits en tant que sous-traitant
Pas seulement des obligations – vous avez également des droits importants :
| Droit | Signification |
|---|---|
| Rémunération liée aux instructions | Vous pouvez facturer séparément les efforts supplémentaires (par exemple, demandes d’information complexes) si rien d’autre n’est convenu. |
| Limitation de responsabilité | Vous n’êtes responsable que des dommages causés par votre violation d’obligation – pas des risques généraux du client. |
| Résiliation en cas de violation d’instruction | Si le client donne des instructions illégales (par exemple, “Surveillez aussi les toilettes”), vous pouvez refuser l’instruction et, dans les cas extrêmes, résilier le contrat. |
| Preuve des MTO | Vous pouvez démontrer au client que vos mesures de sécurité sont adéquates (par exemple, par des certifications telles que ISO 27001). |
Rédaction du contrat : Ce qui doit absolument figurer dans le CT
Un contrat de sous-traitance professionnel pour les prestataires de services de sécurité devrait contenir au moins :
- Description précise des données traitées (par exemple, “Enregistrements vidéo des caméras 1 à 10, données d’accès de l’entrée principale”)
- Délais de conservation pour chaque catégorie de données
- Droit d’instruction du client (y compris les procédures pour les instructions)
- Catalogue MTO (technique et organisationnel) en annexe
- Droits de contrôle du client (par exemple, droit d’audit annuel)
- Règles relatives aux sous-traitants (réserve d’approbation, CT pour les sous-traitants)
- Obligations de notification en cas de violation de données
- Obligations de suppression et de restitution après la fin du contrat
- Clauses de responsabilité (qui est responsable de quoi)
- Pénalité contractuelle en cas de violation d’obligation (facultatif, mais recommandé)
Liste de contrôle pour les prestataires de services de sécurité
Vérifiez régulièrement si vous remplissez les points suivants :
- Un CT écrit est-il en place avec chaque client ?
- Le CT est-il à jour (en particulier les MTO) ?
- Avez-vous documenté vos MTO et pouvez-vous les prouver ?
- Les accès aux données personnelles sont-ils journalisés ?
- Existe-t-il une procédure pour les violations de données (voie de signalement interne, modèles pour les notifications aux clients) ?
- Vos employés sont-ils régulièrement formés à la protection des données ?
- Vos employés utilisent-ils des appareils professionnels (pas de smartphones personnels) ?
- Les données sont-elles vraiment supprimées après la fin du contrat (pas seulement “oubliées”) ?
- Avez-vous nommé un délégué à la protection des données (si légalement requis) ?
Conclusion : Le traitement des commandes comme avantage concurrentiel
De nombreux prestataires de services de sécurité considèrent les obligations du RGPD comme une bureaucratie ennuyeuse. Pourtant, le traitement des commandes conforme à la loi est un véritable critère de qualité :
- Les clients se sentent en sécurité lorsque vous traitez leurs données de manière professionnelle
- Un CT bien rédigé évite les litiges ultérieurs
- De bonnes MTO réduisent le risque de violations de données (et donc les risques de responsabilité)
Investissez dans les conseils juridiques, la documentation et la formation des employés. Les coûts sont faibles par rapport à une amende ou à une perte de confiance.
Vous avez des questions sur le traitement des commandes ou avez besoin d’aide pour la rédaction des contrats ? Nous vous conseillons de manière discrète, pratique et avec de nombreuses années d’expérience dans le secteur de la sécurité.
Remarque : Cet article ne remplace pas un avis juridique. La situation juridique peut évoluer, et les contrats individuels doivent être examinés par un avocat spécialisé en droit de la protection des données.