Responsabilité du dirigeant : données personnelles et cybersécurité
Confier son informatique à un prestataire ne transfère pas automatiquement les obligations de l’entreprise. Selon les traitements, elle reste responsable de traitement et le prestataire peut agir comme sous-traitant, avec ses propres obligations. La faute séparable des fonctions concerne la responsabilité civile personnelle du dirigeant envers les tiers ; d’autres régimes, notamment pénaux, peuvent s’appliquer selon les faits. Un incident ne suffit pas, à lui seul, à établir une faute personnelle.
Trois niveaux à ne pas confondre
| Niveau | Qui est exposé | Dans quel cas |
|---|---|---|
| Sanction administrative | L’entreprise | Manquement aux obligations de protection des données constaté par l’autorité de contrôle |
| Responsabilité civile | L’entreprise, parfois le dirigeant | Préjudice causé à un tiers — client, salarié, partenaire |
| Responsabilité pénale | La personne physique et, le cas échéant, la personne morale | Infractions caractérisées, en nombre limité et sous conditions strictes |
Les montants de sanction administrative parfois cités — un pourcentage du chiffre d’affaires mondial — sont des plafonds légaux : la CNIL fixe le montant selon la gravité, le nombre de personnes concernées, la taille et la situation financière de l’organisme. Les décisions publiées concernant de petites structures se situent à des ordres de grandeur sans commune mesure. Citer le plafond comme s’il était l’attendu relève de l’argument de vente, pas de l’information.
Ce qui aggrave, ce qui protège
Ce que sanctionne l’autorité, ce n’est pas la survenue d’un incident : c’est le manquement à une obligation — mesures de sécurité insuffisantes, absence de contrat, notification tardive — et la manière d’y avoir réagi, que le règlement compte explicitement parmi les critères de l’amende.
C’est la raison pour laquelle nous consignons par écrit les recommandations de sécurité qu’un client décide d’écarter. Ce n’est pas un réflexe défensif : c’est ce qui permet de montrer, en cas de contrôle, que la décision a été prise en connaissance de cause.
Le partage avec votre prestataire
Le règlement européen distingue le responsable de traitement — vous, qui décidez des finalités et des moyens — et le sous-traitant — votre prestataire, qui agit sur instruction. Cette répartition n’est pas négociable et ne se transfère pas par contrat.
Ce que le contrat doit faire, en revanche, c’est encadrer le sous-traitant : un accord de traitement conforme à l’article 28, précisant les mesures de sécurité, les sous-traitants ultérieurs, la coopération en cas de violation, et le sort des données en fin de contrat. Un prestataire qui n’en propose pas vous laisse en manquement.
Un accord de traitement signé, la liste de ses propres sous-traitants, et l’engagement de vous informer sans délai en cas de violation. Ces trois éléments se demandent, et s’obtiennent.
Sources et références
Ce que cet article affirme et qui ne vient pas de notre pratique vient d'ici. Chaque référence porte son éditeur et sa date.
Relier le sujet à votre entreprise.
Un article donne des repères généraux. Pour décider quoi faire sur votre parc, nous partons de vos outils, de vos contraintes et de vos priorités.
Parler de ma situation