Webmaster et RGPD : pourquoi vous êtes sous-traitant sans le savoir

Pendant longtemps, le prestataire qui maintenait un site se considérait comme un simple exécutant technique : il intervenait sur l'outil, les données étaient l'affaire du client. Le Règlement général sur la protection des données a mis fin à cette commodité. Il a créé deux rôles, et le webmaster tombe presque toujours dans le second.

• Le responsable de traitement : celui qui décide pourquoi et comment des données personnelles sont collectées. C'est votre client, propriétaire du site, qui décide de récolter des emails, des comptes clients, des commandes.
• Le sous-traitant : celui qui traite ces données pour le compte du responsable. Dès que vous accédez à la base, que vous administrez le serveur, que vous exportez des données pour une migration ou une sauvegarde, vous traitez ces données pour le compte de votre client.

Autrement dit, vous n'avez pas besoin d'exploiter les données pour votre propre compte pour être sous-traitant. Le simple fait d'y avoir accès dans le cadre de votre maintenance suffit à vous faire entrer dans le périmètre du RGPD, avec des obligations propres.

Un webmaster qui détient les accès d'administration d'un site marchand est, aux yeux du RGPD, un sous-traitant de données à part entière, qu'il en ait conscience ou non.

Ce basculement n'est pas théorique : il déclenche des obligations contractuelles et de sécurité dont l'absence est elle-même une faute.

Le RGPD ne se contente pas de vous qualifier de sous-traitant : il exige que votre relation avec le client soit encadrée par un contrat écrit, ou un acte juridique équivalent, dont le contenu est précisément listé par l'article 28. Dans la pratique du métier, ce document — souvent appelé accord de traitement des données ou DPA — est l'un des plus négligés.

Ce contrat doit notamment préciser :

• L'objet, la durée et la finalité du traitement que vous réalisez pour le client.
• Les catégories de données concernées (clients, prospects, données de paiement, etc.) et de personnes.
• L'interdiction d'utiliser ces données à d'autres fins que celles convenues, et de les transmettre sans instruction.
• Vos obligations de confidentialité et celles des personnes que vous faites intervenir.
• Les mesures de sécurité que vous vous engagez à mettre en œuvre.
• Le sort des données en fin de contrat : restitution ou suppression.
• L'encadrement de la sous-traitance ultérieure : si vous confiez l'hébergement ou une partie de la maintenance à un autre prestataire, le client doit être informé et donner son accord.

Ce dernier point mérite l'attention : si vous hébergez les sites chez un tiers, ce tiers devient lui-même votre sous-traitant, et la chaîne de responsabilité doit être documentée de bout en bout. Travailler sans ce contrat, c'est exposer à la fois votre client et vous-même, et se priver du document qui répartit les rôles le jour d'un incident.

Le deuxième pilier des obligations du webmaster sous-traitant est l'article 32, qui impose des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Le texte ne fournit pas une liste fermée, mais il cite des références qui parlent directement au quotidien d'un mainteneur de sites.

On retrouve ici, sous une forme juridique, les bonnes pratiques que tout professionnel sérieux applique déjà. La différence introduite par le RGPD est que ces pratiques ne sont plus seulement recommandées : leur absence peut constituer un manquement reproché au sous-traitant. Un site laissé sans mise à jour de sécurité pendant des mois, exploité ensuite par une faille connue, illustre exactement ce que l'article 32 cherche à prévenir.

C'est le jour d'une violation de données que le statut de sous-traitant prend tout son poids. Avant le RGPD, un prestataire technique pouvait souvent se retrancher derrière son client. Aujourd'hui, le règlement prévoit que la responsabilité du sous-traitant peut être engagée directement lorsqu'il n'a pas respecté les obligations qui lui incombent en propre, ou qu'il a agi en dehors des instructions du responsable de traitement.

Concrètement, après une fuite — base clients exfiltrée, formulaire détourné, accès administrateur compromis — plusieurs mécanismes peuvent se cumuler :

• L'obligation de notification : votre client, responsable de traitement, doit en principe notifier la violation à l'autorité de contrôle, souvent dans un délai très court. En tant que sous-traitant, vous devez l'informer sans délai injustifié dès que vous avez connaissance de la violation. Tarder à signaler est en soi un manquement.
• La recherche de votre responsabilité : si l'enquête montre que la fuite a été rendue possible par un défaut de sécurité relevant de votre périmètre (mise à jour non faite, accès mal protégé), votre part de responsabilité peut être retenue.
• Les sanctions et les actions des personnes concernées : le RGPD prévoit des sanctions administratives lourdes et ouvre aux personnes dont les données ont fuité un droit à réparation.

Cette responsabilité propre est précisément ce que couvre une garantie Cyber bien construite : prise en charge de la gestion de crise, des frais de notification, de l'expertise technique pour qualifier et endiguer la fuite, et des conséquences financières pouvant être mises à votre charge. Les contours de ces situations pour le métier sont détaillés sur la fiche webmaster / maintenance de sites.

Bonne nouvelle : se mettre à niveau sur ce volet ne demande pas de devenir spécialiste du droit des données. Il s'agit surtout de formaliser ce qu'un professionnel rigoureux fait déjà, et de tracer ses pratiques.

Sur le plan contractuel

• Faites signer à chaque client un accord de traitement des données conforme à l'article 28, distinct ou intégré à votre contrat de maintenance.
• Listez vos sous-traitants ultérieurs (hébergeur, service de sauvegarde, CDN) et faites-les valider par le client.
• Prévoyez clairement le sort des données et la restitution des accès en fin de mission.

Sur le plan de la sécurité

• Tenez à jour vos mesures de sécurité : comptes nominatifs, authentification renforcée, chiffrement des accès, application des correctifs de sécurité.
• Documentez vos sauvegardes et leur restauration : c'est à la fois une exigence de l'article 32 et votre meilleure protection.
• Préparez une conduite à tenir en cas de violation : qui prévenir, dans quel ordre, dans quel délai.

Ce socle — un contrat propre, des mesures documentées, une procédure d'incident — vous fait passer du sous-traitant exposé au sous-traitant en règle. Couplé à une assurance Cyber et à votre RC Professionnelle, il transforme une obligation subie en argument commercial : peu de webmasters savent présenter cette rigueur, et c'est ce que recherchent les clients qui manipulent des données sensibles.