Fournisseurs de cloud critiques : ce que l’entreprise doit encore, même si la donnée est hébergée ailleurs

01Ce qu’exige la norme

Res­pon­sable du trai­te­ment et sous-trai­tant. La loi fédé­rale sur la pro­tec­tion des don­nées per­son­nelles déte­nues par les par­ti­cu­liers (Ley Fede­ral de Pro­tec­ción de Datos Per­so­nales en Pose­sión de los Par­ti­cu­lares), publiée au Jour­nal offi­ciel de la Fédé­ra­tion (DOF) le 20 mars 2025, dis­tingue le res­pon­sable du trai­te­ment (res­pon­sable), qui décide du trai­te­ment, du sous-trai­tant (per­sona encar­gada), qui traite des don­nées per­son­nelles pour le compte du res­pon­sable (article 2, frac­tion XII). La remise des don­nées au sous-trai­tant n’est pas un trans­fert : la loi défi­nit le trans­fert comme la com­mu­ni­ca­tion à une per­sonne autre que la per­sonne concer­née (titu­lar), le res­pon­sable ou le sous-trai­tant (article 2, frac­tion XX). C’est pour­quoi le four­nis­seur de cloud qui se borne à héber­ger et à trai­ter les don­nées sur ins­truc­tion de votre entre­prise n’a pas besoin du consen­te­ment de la per­sonne concer­née pour les rece­voir, mais n’assume pas non plus devant l’auto­rité les obli­ga­tions du res­pon­sable.

Ce que votre entre­prise doit garan­tir. Le res­pon­sable doit éta­blir et main­te­nir des mesures de sécu­rité admi­nis­tra­tives, tech­niques et phy­siques, et ne peut adop­ter des mesures infé­rieures à celles qu’il applique à ses propres infor­ma­tions ; il doit tenir compte du risque, des consé­quences pour les per­sonnes concer­nées, de la sen­si­bi­lité des don­nées et de l’évo­lu­tion tech­no­lo­gique (article 18). Il doit mettre en place des contrôles pour que toutes les per­sonnes qui inter­viennent dans le trai­te­ment res­pectent la confi­den­tia­lité, y com­pris après la fin de la rela­tion (article 20). Et en cas de vio­la­tion qui affecte de manière signi­fi­ca­tive les droits patri­mo­niaux ou moraux des per­sonnes concer­nées, il doit les en infor­mer immé­dia­te­ment (article 19).

Ce que la loi ne détaille plus. La loi de 2025 est brève en matière de sous-trai­tants. Elle ne fixe pas elle-même le contenu du contrat avec le four­nis­seur, ni un délai pour que celui-ci aver­tisse le res­pon­sable d’un inci­dent. Les obli­ga­tions du res­pon­sable res­tent entières et doivent être construites par contrat, car la seule façon de res­pec­ter les articles 18, 19 et 20 avec des infor­ma­tions héber­gées par un tiers est que ce tiers s’oblige aux mêmes exi­gences. Les clauses décrites ci-des­sous relèvent donc de la bonne pra­tique contrac­tuelle issue de ces obli­ga­tions ; ce ne sont pas des exi­gences lit­té­rales de la loi.

Lorsque le four­nis­seur cesse d’être sous-trai­tant. Le four­nis­seur est sous-trai­tant tant qu’il traite les don­nées pour le compte de votre entre­prise. S’il les uti­lise à ses propres fins, par exemple pour éta­blir des sta­tis­tiques com­mer­ciales ou entraî­ner des modèles, cette com­mu­ni­ca­tion peut cesser d’être une sous-trai­tance et deve­nir un trans­fert. Dans ce cas, votre entre­prise doit lui com­mu­ni­quer l’avis de confi­den­tia­lité (aviso de pri­va­ci­dad) et les fina­li­tés, et le des­ti­na­taire assume les obli­ga­tions du res­pon­sable (article 35). Trans­fé­rer des don­nées en dehors des cas auto­ri­sés ou sans le consen­te­ment exprès requis consti­tue une infrac­tion de la caté­go­rie la plus grave (article 58, frac­tions XII et XIII).

L’indem­ni­sa­tion vise les deux. Les per­sonnes concer­nées qui subissent un dom­mage du fait du non-res­pect de la loi par le res­pon­sable ou par le sous-trai­tant peuvent récla­mer l’indem­ni­sa­tion due (article 53).