Sous-traitant ou pas ? Ce que le RGPD impose vraiment au DBA

Beaucoup d'administrateurs de base de données entretiennent une distinction confortable : ils géreraient la structure technique, le moteur, les index, la performance, sans jamais « traiter » les données au sens juridique. Ces données appartiendraient au client, qui en serait le seul responsable. C'est une lecture rassurante, mais le RGPD ne raisonne pas ainsi.

Le règlement européen ne s'intéresse pas à vos intentions, ni au fait que vous regardiez ou non le contenu des tables. Il s'intéresse à une question simple : traitez-vous des données à caractère personnel pour le compte d'un autre ? Or administrer une base, c'est y accéder, la sauvegarder, la répliquer, la migrer, parfois en extraire des jeux pour des tests. Toutes ces opérations sont des « traitements » au sens de l'article 4 du RGPD, même si vous ne consultez jamais une seule ligne nominative.

La conséquence est sans appel : dès lors que vous opérez sur une base contenant des données personnelles pour le compte d'un client, vous êtes sous-traitant au sens de l'article 28 du RGPD. Et ce statut ne se choisit pas : il s'impose par la nature de votre activité.

Le statut de sous-traitant n'est pas une formalité administrative. Il déclenche un ensemble d'obligations qui vous incombent directement, et dont le manquement peut être sanctionné indépendamment de la faute du client responsable de traitement.

• Un contrat écrit. Vos relations avec le client doivent être encadrées par un acte juridique (contrat ou avenant DPA) précisant l'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données concernées.
• Des mesures de sécurité appropriées. Chiffrement, gestion fine des droits d'accès, cloisonnement des environnements, journalisation des accès : autant de mesures techniques dont vous devez démontrer la mise en œuvre.
• Une obligation de ne pas sous-traiter sans autorisation. Si vous confiez à votre tour une partie de la mission à un tiers (hébergeur, prestataire de réplication), vous devez l'accord du client et répercuter les mêmes obligations.
• L'assistance au responsable de traitement. Vous devez aider le client à répondre aux demandes d'exercice de droits et à notifier les violations.
• La restitution ou la destruction en fin de mission. À la fin du contrat, vous devez restituer ou détruire les données et les copies, sauvegardes comprises.

Chacune de ces obligations est un point de contrôle potentiel en cas de litige ou d'inspection. La plus oubliée des DBA est la dernière : les anciennes sauvegardes contenant des données personnelles qui dorment sur un volume après la fin d'une mission constituent un manquement caractérisé.

Le tournant majeur introduit par le RGPD, par rapport à l'ancienne loi Informatique et Libertés, est la responsabilité propre du sous-traitant. Avant 2018, le responsable de traitement assumait seul la quasi-totalité des sanctions. Désormais, le sous-traitant peut être directement visé.

Concrètement, cela signifie deux choses pour un administrateur de base de données :

1. Une sanction administrative de la CNIL. Si une violation de données révèle que vos mesures de sécurité étaient insuffisantes, l'autorité peut vous infliger une amende, indépendamment de toute action du client.
2. Une action civile des personnes concernées. Les individus dont les données ont fuité peuvent demander réparation directement au sous-traitant lorsque celui-ci n'a pas respecté ses obligations propres.

Le sous-traitant n'est plus l'exécutant invisible derrière le responsable de traitement. Il est devenu un acteur juridiquement exposé, qui répond de ses propres manquements à la sécurité.

Pour un freelance ou une petite structure, cette exposition peut être existentielle. Une amende, des frais de défense et des dommages-intérêts cumulés représentent un risque sans commune mesure avec le chiffre d'affaires d'une mission.

Le statut de sous-traitant suppose que vous agissiez sur instruction du client et pour ses finalités. Mais certains DBA franchissent, sans s'en rendre compte, une ligne qui les expose davantage. Dès lors que vous décidez vous-même de finalités ou de moyens essentiels d'un traitement, vous risquez d'être requalifié en responsable de traitement, ou au moins en responsable conjoint, avec une responsabilité bien plus lourde.

Quelques situations typiques font basculer un administrateur dans cette zone grise :

• réutiliser des données d'un client pour vos propres besoins (constituer un jeu de démonstration, alimenter un outil interne d'analyse) ;
• conserver des copies de bases au-delà de la mission pour « dépanner » d'autres clients ;
• décider seul de croiser ou enrichir des données sans instruction documentée du client.

Agir au-delà des instructions du responsable de traitement ne fait pas que créer un risque contractuel : cela peut vous faire changer de statut juridique, et donc d'échelle de responsabilité.

La règle de prudence est simple : restez strictement dans le cadre des instructions écrites du client, et n'utilisez jamais ses données à d'autres fins. C'est la frontière qui sépare le sous-traitant diligent du responsable exposé.

Une assurance RC Pro standard couvre la faute professionnelle et les dommages causés au client. Mais la mécanique d'une violation de données personnelles déborde ce cadre. Les postes spécifiques au RGPD sont d'une autre nature :

• les sanctions administratives et la défense devant la CNIL, lorsque le contrat permet leur prise en charge ;
• les frais de notification aux personnes concernées, qui peuvent être nombreuses et exiger une logistique coûteuse ;
• la gestion de crise, l'expertise forensic pour comprendre la fuite, et la communication ;
• la réponse à un ransomware qui chiffre une base et expose les données.

C'est précisément le rôle de l'assurance cyber : elle prend le relais là où la RC Pro classique s'arrête. Pour un administrateur de base de données qui manipule des données personnelles, et a fortiori des données sensibles (santé, données financières), l'option cyber n'est pas un luxe mais le pendant logique du statut de sous-traitant que le RGPD vous impose.

Vous retrouvez l'articulation complète des garanties adaptées à votre activité sur la page assurance administrateur de base de données.

Au-delà de l'assurance, votre conformité se construit dans le quotidien de vos missions. Voici les actions qui réduisent à la fois votre risque de sanction et la probabilité d'une violation.

1. Signez un DPA pour chaque client. N'intervenez jamais sur une base de production contenant des données personnelles sans accord de sous-traitance écrit. C'est votre première protection juridique.
2. Anonymisez ou pseudonymisez les jeux de test. Copier la production vers un environnement de recette sans masquage est l'une des causes les plus fréquentes de fuite involontaire.
3. Journalisez et restreignez les accès. Un accès administrateur partagé et non tracé est indéfendable en cas d'inspection. Préférez des comptes nominatifs et une journalisation activée.
4. Tenez un registre de vos traitements. En tant que sous-traitant, vous devez documenter les catégories de traitements réalisés pour chaque client.
5. Détruisez les sauvegardes en fin de mission. Planifiez la purge des copies et conservez la preuve de leur destruction.

Ces réflexes ne suppriment pas le risque résiduel d'une attaque ou d'une erreur, mais ils démontrent votre diligence et renforcent votre position si un sinistre survient malgré tout.