2 June 20268 min de lecture
Quelque part entre la liste restreinte et le contrat, une décision d’externalisation rencontre généralement un juriste, et la première question est de savoir si le fournisseur est dans l’Union européenne. C’est une question sensée qui appelle une vraie réponse, et on la traite comme un choix binaire alors qu’elle relève plutôt d’un coût.
Rien de ce qui suit n’est un conseil juridique, et l’avis de votre délégué à la protection des données prime sur tout ce que l’on peut lire sur le site d’un fournisseur. Ce qui suit décrit ce qui change structurellement quand on franchit la frontière, pour que la conversation avec lui soit plus courte.
Ce que rester dans l’EEE vous apporte réellement
Trois choses, et elles sont réelles.
- Le transfert de données personnelles vers le fournisseur n’est pas un transfert international : le chapitre V du RGPD ne s’applique donc pas et il n’y a aucun mécanisme de transfert à mettre en place
- La contractualisation, la facturation et la TVA s’inscrivent dans un cadre que vos fonctions financière et juridique maîtrisent déjà, généralement dans votre propre devise
- Le fournisseur relève du même régulateur : vos clients et votre propre fonction conformité ont donc moins à être convaincus
Pour une organisation qui vend au secteur public, à la santé, à la finance ou à tout secteur soumis à des engagements de localisation des données dans ses propres contrats clients, cela peut clore l’analyse, et c’est très bien ainsi. Si vous avez promis à un client que ses données restent dans l’EEE, aucune comparaison de coûts ne prime sur cette promesse.
Ce qui se passe réellement quand on franchit la frontière
Pour un fournisseur situé hors de l’EEE dans un pays sans décision d’adéquation, et la plupart des destinations d’externalisation sont dans ce cas, les transferts reposent sur les clauses contractuelles types. En pratique, c’est un ensemble : les CCT elles-mêmes, une analyse d’impact du transfert examinant l’environnement juridique du pays de destination, et un accord de traitement des données précisant ce qui est traité, par qui, où et pendant combien de temps, ainsi que les mesures techniques et organisationnelles.
Cela n’a rien d’exotique. C’est la même paperasse que des milliers d’entreprises européennes remplissent pour des fournisseurs en Inde, chez les voisins du Royaume-Uni, dans les Balkans, en Afrique du Nord et au Moyen-Orient. C’est un chantier avec un début et une fin, qui se compte typiquement en semaines plutôt qu’en mois, et qui se fait une fois par fournisseur et non une fois par projet.
L’erreur est de s’y prendre trop tard. Si le dispositif de transfert est encore à l’état de projet quand la mission doit commencer, la mission commence quand même, de façon informelle, et c’est exactement la situation que vous vouliez éviter.
Réduisez la question des données avant de la rendre plus difficile
Le geste le plus efficace n’est pas un meilleur contrat, c’est d’organiser le travail pour que moins de données personnelles sortent au départ. La plupart des travaux d’ingénierie n’ont pas besoin de données personnelles de production, et une grande part de la difficulté de conformité vient de dispositifs où elles en utilisent par habitude.
- Des données synthétiques ou pseudonymisées dans les environnements de développement et de test par défaut, avec une procédure d’exception documentée
- Les systèmes de production accessibles via votre propre environnement hébergé dans l’Union européenne plutôt que copiés sur les machines du fournisseur
- Des personnes nommées disposant d’accès journalisés et limités dans le temps, plutôt qu’une autorisation permanente accordée à une équipe
- Un outillage de support configuré pour masquer les champs que l’agent n’a pas besoin de voir
Bien fait, cela transforme une grosse discussion sur les transferts en une petite, et cela améliore aussi votre position vis-à-vis des fournisseurs européens. C’est la rare mesure de conformité qui mérite d’être prise pour des raisons purement techniques.
Le droit du travail joue dans l’autre sens
La frontière de l’Union européenne vous aide sur les données et vous dessert sur la souplesse, et il faut dire les deux. Recruter un salarié dans un État membre, c’est appliquer le droit du travail de ce pays : préavis, indemnités de rupture, comités d’entreprise dans certaines juridictions, et une procédure sérieuse si le poste s’avère être une erreur. Cette protection est voulue et globalement bonne, et c’est aussi pourquoi un recrutement permanent est un engagement plus lourd qu’une mission.
Il existe une option intermédiaire que l’on oublie : recruter via un employeur de référence à l’intérieur de l’Union européenne vous donne la position européenne sur les données et le contrat tout en externalisant la mécanique de l’emploi. C’est plus cher par personne qu’un fournisseur hors Union, et c’est la bonne réponse plus souvent que la place qu’elle occupe dans les discussions ne le laisse penser.
La comparaison que l’on évite en général
La vraie question est rarement « Union européenne ou hors Union ». C’est de savoir si le travail de conformité additionné au tarif du fournisseur ressort en dessous du coût de l’option européenne, sachant que cette option est une chose réelle que vous pourriez acheter.
Menez-la comme un calcul de coût total de possession plutôt que comme une comparaison de tarifs. Du côté hors Union européenne, ajoutez le dispositif de transfert, l’éventuelle relecture juridique externe, et le temps interne pour le faire passer dans votre propre gouvernance. Du côté européen, ajoutez le tarif plus élevé, et ajoutez le temps de recrutement si l’alternative est une embauche permanente plutôt qu’un fournisseur. Comparez ensuite les totaux sur la durée de la mission, car le coût de conformité est largement fixe et l’écart de tarif ne l’est pas : la réponse change donc avec la durée.
Un coût ponctuel et une économie récurrente n’ont pas leur place dans la même colonne d’un tableur.
Que faire de tout cela
Tranchez d’abord la question des données, pour elle-même, avant de regarder le moindre tarif. Si la localisation dans l’EEE est une exigence ferme, votre liste se limite aux fournisseurs de l’Union ou à un employeur de référence, et tout le reste est du bruit. Si ce n’est pas le cas, traitez le dispositif de transfert comme une ligne budgétaire avec un coût réel et un calendrier réel, lancez-le tôt, puis choisissez sur les critères qui varient au quotidien : les heures de chevauchement, la profondeur dans la discipline dont vous avez besoin, et la capacité du prestataire à répondre précisément à une question difficile.