Clause de mesures de sécurité : définition, rédaction et exemple

Exemple de rédaction commenté

L’exemple ci-dessous est un point de départ à adapter au niveau de risque réel. Chaque commentaire explique le rôle du paragraphe : c’est l’exigence qu’il pose qui compte, davantage que la formule.

Article X. Mesures de sécurité

X.1. La Partie réceptrice met en œuvre et maintient, pendant toute la durée du Contrat, des mesures techniques et organisationnelles appropriées pour protéger les informations et les données auxquelles elle accède contre la destruction, la perte, l’altération, la divulgation ou l’accès non autorisés, accidentels ou illicites. Ces mesures sont proportionnées à la nature des données et au niveau de risque.

X.2. Ces mesures comprennent au minimum : le chiffrement des données en transit et au repos ; une gestion des habilitations limitant l’accès aux seules personnes dont l’intervention est nécessaire ; l’authentification renforcée pour les accès aux systèmes sensibles ; la journalisation des accès et des opérations ; des sauvegardes régulières et testées ; et une procédure documentée de gestion des incidents de sécurité.

X.3. Le détail des mesures figure en Annexe [Sécurité]. Cette annexe peut être mise à jour pour tenir compte de l’évolution des risques et de l’état de l’art, sans jamais abaisser le niveau de protection défini au présent article.

X.4. La Partie réceptrice n’a recours à un sous-traitant pour le traitement des données qu’à la condition de lui imposer, par contrat, des obligations de sécurité au moins équivalentes. Elle demeure responsable envers la Partie émettrice des manquements de ses sous-traitants.

X.5. La Partie réceptrice informe la Partie émettrice de tout incident de sécurité affectant les informations ou données concernées, sans retard injustifié et au plus tard sous [48] heures après en avoir eu connaissance. Elle communique les mesures prises pour y remédier et en limiter les effets.

X.6. La Partie émettrice peut faire vérifier le respect des présentes obligations, au maximum [une] fois par an, moyennant un préavis raisonnable et dans des conditions préservant la continuité de l’activité de la Partie réceptrice.

Commentaire de X.1 : l’exigence est un standard, pas une liste figée. La formule « mesures appropriées et proportionnées au risque » reprend la logique de l’article 32 du RGPD. Elle évite deux écueils : une clause trop vague, qui n’oblige à rien de vérifiable, et une clause trop rigide, qui devient obsolète dès qu’une technologie évolue. Le standard s’apprécie dans le temps, au regard des données réellement en jeu.

Commentaire de X.2 : le socle minimal rend la clause opposable. Sans un plancher explicite, la partie réceptrice peut soutenir que ses mesures étaient appropriées « à son échelle ». Le socle nomme des mesures concrètes que le juge ou l’auditeur peut constater. Adaptez-le : le chiffrement au repos est essentiel pour un fichier de santé, moins pour un catalogue public.

Commentaire de X.3 : l’annexe absorbe l’évolution technique. Renvoyer le détail à une annexe évite de figer, dans le contrat, une version de logiciel ou un algorithme qui sera dépassé en deux ans. La clause verrouille l’essentiel : l’annexe peut monter le niveau, jamais le baisser.

Commentaire de X.4 : la chaîne de sous-traitance est le maillon oublié. L’ETI qui confie sa paie à un prestataire, lequel héberge chez un tiers, doit s’assurer que le niveau de sécurité ne se dégrade pas à chaque maillon. Sans stipulation, la responsabilité se dilue.

Commentaire de X.5 : le délai d’information conditionne la réaction. Un incident découvert trop tard ne se répare plus. Le délai contractuel doit être compatible avec les obligations légales de notification, notamment le délai de 72 heures de l’article 33 du RGPD lorsque des données personnelles sont concernées.

Ce que dit le droit

Pour les données personnelles, la sécurité est une obligation d’ordre public. L’article 32 du RGPD impose au responsable de traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées au risque, en tenant compte de l’état de l’art et des coûts. Il cite expressément la pseudonymisation, le chiffrement, la capacité à garantir confidentialité, intégrité, disponibilité et résilience, la restauration après incident, et une procédure de test régulier de l’efficacité des mesures. Cette obligation existe même sans clause : la clause ne fait que la préciser et l’articuler entre les parties.

Le contrat de sous-traitance doit reprendre ces exigences. L’article 28 du RGPD impose que le contrat liant le responsable de traitement à son sous-traitant prévoie la mise en œuvre des mesures de sécurité de l’article 32. Une clause de sous-traitance des données au sens de l’article 28 est donc le cadre naturel de la clause de sécurité dès que le prestataire traite des données personnelles pour le compte de son client.

Au-delà des données personnelles, le régime est supplétif. Pour les informations qui ne sont pas des données personnelles, secrets industriels, données financières, savoir-faire, aucun texte n’impose de niveau de sécurité déterminé. Les parties fixent librement l’exigence. La liberté a une contrepartie : ce que le contrat n’exige pas n’est pas dû, et le silence profite à la partie la moins diligente.

La sécurité conditionne aussi la protection du secret des affaires. Les articles L. 151-1 et suivants du Code de commerce ne protègent l’information que si elle fait l’objet de mesures de protection raisonnables. Les mesures de sécurité contractuelles sont l’une de ces mesures : les stipuler et les appliquer contribue à ouvrir l’accès à ce régime, qui permet d’agir même contre des tiers non liés par le contrat. Une clause de confidentialité et une clause de sécurité se renforcent ainsi mutuellement.

La nature de l’obligation détermine la charge de la preuve. Une obligation de moyens oblige la partie réceptrice à déployer des mesures appropriées, la victime devant prouver la défaillance. Une obligation de résultat la rendrait responsable du seul fait de l’incident. La rédaction courante retient une obligation de moyens renforcée. [À VÉRIFIER JURISTE : la qualification retenue par la jurisprudence pour les obligations de sécurité informatique, et son incidence sur la charge de la preuve, méritent d’être précisées et référencées.]

En cas de manquement, la clause sert de mesure de référence. Le juge compare les mesures promises aux mesures effectivement mises en place. Une clause pénale, prévue à l’article 1231-5 du Code civil, peut fixer à l’avance le montant dû, le juge conservant le pouvoir de modérer une pénalité manifestement excessive. [À VÉRIFIER JURISTE : l’articulation entre la responsabilité contractuelle pour manquement à la clause et les sanctions administratives prononcées par la CNIL au titre de l’article 32 du RGPD.]

Les erreurs fréquentes

Se contenter d’une formule générale. Une clause qui promet des « mesures de sécurité conformes aux usages » n’oblige à presque rien de vérifiable. Sans socle minimal, chaque partie défendra sa propre idée de l’usage le jour du litige.

Confondre confidentialité et sécurité. Interdire la divulgation ne dit pas comment l’information est gardée. Un partenaire peut respecter scrupuleusement le secret et stocker vos données sur un serveur ouvert. Les deux obligations sont distinctes et doivent coexister.

Figer les mesures dans le corps du contrat. Nommer une technologie précise, une version de logiciel ou un référentiel daté condamne la clause à l’obsolescence. Le renvoi à une annexe évolutive, avec un plancher intangible, protège mieux dans la durée.

Négliger la chaîne de sous-traitance. La sécurité vaut ce que vaut son maillon le plus faible. Sans obligation de répercuter le niveau de protection sur les sous-traitants ultérieurs, la clause s’arrête au premier prestataire.

Oublier le délai d’information en cas d’incident. Une obligation de sécurité sans obligation d’alerte rapide laisse la partie émettrice découvrir la faille trop tard pour agir, et parfois hors des délais légaux de notification. Une clause RGPD de protection des données précise utilement ces obligations de notification.

Négociation : position client contre position prestataire

Ce que défend le client. Un socle de mesures détaillé et non négociable, une obligation de répercussion sur les sous-traitants, un délai d’information court en cas d’incident, un droit d’audit effectif, et un maintien du niveau de sécurité pendant toute la durée du contrat comme après, tant que le prestataire détient des données. Il cherche à rendre l’obligation constatable, pas seulement affirmée.

Ce que défend le prestataire. Une obligation de moyens clairement qualifiée, un renvoi à ses mesures standard décrites en annexe, un droit d’audit encadré, préavis, fréquence limitée, prise en charge des coûts, et un délai d’information réaliste, aligné sur ses procédures internes de détection. Il refuse une obligation de résultat qui le rendrait garant de l’impossible.

Où se situe l’équilibre. Presque toujours sur le niveau du socle et sur le droit d’audit. Un point de convergence utile consiste à indexer l’exigence sur la sensibilité réelle des données : mesures renforcées pour un noyau limité, données de santé, données bancaires, identifiants, et socle standard pour le reste. Le prestataire accepte plus volontiers une contrainte forte sur un périmètre étroit qu’une contrainte élevée sur l’ensemble. La durée des obligations mérite d’être calée sur celle de la détention des données, dans le prolongement d’une clause de durée de confidentialité.