Nearshoring au Portugal : RGPD et clients hors UE

Nearshoring · 4 min

Recruter une équipe au Portugal ne soumet pas automatiquement le client étranger au RGPD. Découvrez les obligations qui incombent au prestataire et comment encadrer les flux de données.

Nearshoring au Portugal : RGPD et clients hors UE

TL;DR

Faire appel à un prestataire au Portugal ne soumet pas, en soi, le client situé hors de l'UE au RGPD.
Lorsqu'il agit en tant que sous-traitant, le prestataire portugais doit respecter les obligations du RGPD qui lui sont applicables.
Le renvoi de données au client situé hors de l'Espace économique européen peut constituer un transfert international.
Les garanties requises dépendent de la destination, du destinataire et de l'existence d'une décision d'adéquation applicable.
Avant de démarrer le service, il importe de définir les rôles, de cartographier les données et les accès, et d'établir les responsabilités contractuelles.

Une équipe dans l'UE apporte aussi les règles de l'UE

Lorsqu'une entreprise des États-Unis, du Royaume-Uni ou de Suisse fait appel à des services de nearshoring au Portugal, l'évaluation ne doit pas se limiter au talent, aux coûts et au fuseau horaire. Il faut comprendre si l'équipe aura accès à des données personnelles et dans quelles conditions : informations sur les clients, les collaborateurs, les utilisateurs d'applications ou journaux techniques permettant d'identifier des personnes. Il est également nécessaire de définir le rôle de chaque entité. Si le client détermine les finalités et les moyens essentiels du traitement et que le prestataire traite les données pour son compte, ce dernier agira, en règle générale, en tant que sous-traitant. Cette qualification dépend des fonctions effectivement exercées, et non uniquement de la désignation utilisée dans le contrat. Clarifier ces aspects avant le début du projet facilite la définition des accès, des responsabilités et des mesures de sécurité.

Le règlement s'applique au traitement, pas à toute l'entreprise

Le RGPD définit son champ d'application territorial à l'article 3. Un prestataire établi au Portugal est soumis aux obligations qui lui sont applicables pour le traitement effectué dans le cadre des activités de son établissement, même si le responsable du traitement se trouve en dehors de l'Union européenne. Toutefois, recourir à ce prestataire ne soumet pas, en soi, le client étranger au règlement. Le Comité européen de la protection des données confirme cette distinction dans les Lignes directrices 3/2018, en prenant l'exemple d'une entreprise mexicaine qui engage un sous-traitant en Espagne. La situation du client doit être analysée de manière autonome : il peut être concerné si le traitement est lié aux activités d'un établissement dans l'UE ou, dans les conditions de l'article 3, paragraphe 2, s'il offre des biens ou des services à des personnes se trouvant dans l'Union ou s'il suit leur comportement. L'évaluation doit porter sur chaque traitement concret.

Le prestataire au Portugal assume des obligations propres

Lorsqu'il agit en tant que sous-traitant, le prestataire portugais est soumis à des obligations propres au titre du RGPD. Parmi celles-ci figurent l'encadrement contractuel prévu à l'article 28, l'adoption de mesures techniques et organisationnelles appropriées, le contrôle des sous-traitants ultérieurs et, le cas échéant, la tenue de registres des catégories d'activités de traitement effectuées. Il doit également informer le responsable du traitement, dans les meilleurs délais, dès qu'il a connaissance d'une violation de données à caractère personnel. Le contrat doit identifier l'objet et la durée du traitement, les catégories de données et de personnes concernées, les instructions documentées, les conditions d'accès et les responsabilités en matière de réponse aux incidents. Les obligations directement applicables au prestataire ne disparaissent pas du fait que le client étranger n'est pas soumis au RGPD. Au Portugal, la Comissão Nacional de Proteção de Dados (CNPD) est l'autorité nationale de contrôle.

Cartographier les flux de données avant de constituer l'équipe

Avant de constituer l'équipe, il convient de cartographier le parcours des données : qui les fournit, où elles sont hébergées, qui y accède, si elles sont copiées dans des systèmes de tickets, des dépôts de code ou des environnements de test, et à qui elles sont ensuite mises à disposition. Un point est particulièrement important : si un prestataire portugais renvoie des données personnelles au client situé hors de l'Espace économique européen, cette mise à disposition peut constituer un transfert international soumis au chapitre V du RGPD, même lorsque les données ont été initialement reçues de ce client. Le Comité européen de la protection des données clarifie cette situation dans les Lignes directrices 05/2021, à l'aide d'un exemple précis. L'accès à distance par des entités situées dans des pays tiers doit également être analysé, même sans téléchargement de fichiers. Cette cartographie permet d'anticiper les exigences contractuelles, les contrôles d'accès, les politiques de conservation des journaux et les conditions de recours à des sous-traitants.

Une condition à gérer, pas un obstacle

Un transfert international ne signifie pas que le projet soit irréalisable. Le mécanisme nécessaire varie selon la destination et le destinataire. Le Royaume-Uni et la Suisse bénéficient de décisions d'adéquation de la Commission européenne. Aux États-Unis, la décision associée à l'EU–US Data Privacy Framework couvre les organisations certifiées, dans son champ d'application. En l'absence de décision d'adéquation couvrant le transfert, il peut être nécessaire de recourir à des garanties appropriées, telles que les clauses contractuelles types, accompagnées des évaluations requises. Dans la relation entre un sous-traitant établi dans l'Espace économique européen et un responsable du traitement situé en dehors de cet espace, le module 4 des clauses contractuelles types peut être pertinent. Ces exigences doivent s'articuler avec la législation locale du client et avec d'éventuelles règles sectorielles, sans présumer que le recours à une équipe au Portugal résout, à lui seul, toutes les questions de conformité.

Clarifier les rôles avant le contrat réduit les reprises

Le meilleur moment pour traiter ces questions est avant la signature du contrat. Un processus de contractualisation solide commence par l'identification du responsable du traitement et du sous-traitant, puis passe par la classification des données et la documentation des accès, des localisations, des sous-traitants, des durées de conservation et des règles de suppression ou de restitution. Il doit également prévoir les mesures de sécurité, la notification des incidents, les responsabilités des parties et, si nécessaire, les mécanismes de transfert international. Dans les projets de support, de développement et d'exploitation continue, il importe d'éviter que des journaux techniques, des copies de diagnostic et des environnements de test créent des flux de données non prévus. L'objectif n'est pas d'ajouter de la bureaucratie de manière indiscriminée, mais d'établir un modèle opérationnel permettant de fournir le service avec sécurité et prévisibilité. Le cadre doit être confirmé au regard du cas concret et, si nécessaire, avec l'avis d'un conseil juridique spécialisé.