MediSuivi : chaîne de sous-traitance, accès depuis les États-Unis et nouveau prestataire indien

1. Cartographie des flux - le critère est l'accès, pas la localisation du disque. Le chapitre V s'applique à toute mise à disposition de données à un importateur établi hors UE, y compris en accès à distance (lignes directrices CEPD 05/2021). Trois flux distincts :

• Hébergement à Paris par la filiale irlandaise : exportateur et importateur sont tous deux dans l'UE, il n'y a pas de transfert. Point à vérifier tout de même : que la filiale irlandaise soit réellement décisionnaire et que la maison mère américaine n'ait pas d'accès discrétionnaire aux infrastructures.
• Support de niveau 2 depuis Austin : transfert vers les États-Unis. Réflexe : vérifier d'abord si l'importateur figure sur la liste du Data Privacy Framework (décision d'adéquation du 10 juillet 2023) et si le périmètre certifié couvre les données concernées. Sinon, CCT 2021 (module adapté) + analyse d'impact des transferts + mesures supplémentaires.
• Support de niveau 1 en Inde : pas de décision d'adéquation. CCT 2021 module 3 (sous-traitant à sous-traitant), puisque MediSuivi est lui-même sous-traitant de ses 340 clients. Une analyse des transferts est requise avant tout accès.

2. Vérifications préalables propres à la chaîne de sous-traitance. MediSuivi doit obtenir l'autorisation écrite des responsables de traitement pour ce sous-traitant ultérieur (art. 28-2), avec information préalable permettant l'opposition : le client hospitalier qui demande des garanties exerce un droit légitime, et l'absence de réponse est en soi un risque contractuel et réglementaire.

3. Points bloquants factuels. Compte administrateur partagé, absence de MFA, absence de journalisation nominative : ce sont des manquements à l'art. 32 autant que des facteurs aggravant l'analyse de transfert. Signer l'avenant en l'état revient à documenter soi-même son propre défaut d'accountability.

Le point de départ : les CCT ne lient pas les autorités publiques. Depuis Schrems II (C-311/18), une clause contractuelle ne peut pas rendre contraignante, pour un État tiers, l'obligation de ne pas ordonner la communication de données. Les CCT encadrent la relation entre les deux parties, pas la puissance publique américaine.

L'analyse des transferts doit être factuelle. Le CLOUD Act de 2018 permet à une autorité américaine d'ordonner à un fournisseur américain - ou à une entité sous contrôle américain - la communication de données se trouvant sous son « possession, custody or control », quel que soit le lieu de stockage. Le FISA 702 vise, lui, les fournisseurs certifiés. Il faut donc examiner : la nationalité et le contrôle capitalistique de l'importateur, le volume et la nature des données accessibles au support, l'existence de rapports de transparence, l'historique de demandes, et la capacité concrète du prestataire à résister à une demande.

Mesures attendues, par ordre de robustesse.

1. Techniques : chiffrement dont les clés sont détenues par MediSuivi ou par le client, hors de portée de l'importateur ; pseudonymisation des dossiers visibles par le support ; cloisonnement pour que l'équipe d'Austin ne voie que des tickets techniques sans données de santé.
2. Organisationnelles : support de niveau 1 et 2 rapatrié dans l'UE si possible ; accès nominatifs, MFA, moindre privilège, journalisation exportable, politique de réponse aux réquisitions et obligation de notifier toute demande.
3. Contractuelles : instructions documentées, droit d'audit, notification d'accès gouvernemental, engagement de contester les demandes manifestement excessives.

Vérité inconfortable à assumer devant le client : si l'importateur doit déchiffrer les données pour assurer le support, aucune mesure ne neutralise totalement le risque. La conclusion honnête peut être de changer de localisation du support, et non de signer une clause de plus.

Les dérogations de l'article 49 ne sont pas un mode de fonctionnement normal. Elles doivent être interprétées de manière restrictive et ne visent que des transferts occasionnels et non répétitifs (lignes directrices CEPD 2/2018 ; considérant 111). Un support de niveau 1 exercé en continu, sur des dizaines de milliers de dossiers, n'a rien d'occasionnel : le raisonnement ne tient pas.

Examen des dérogations envisageables, une par une.

• Art. 49-1-b (nécessité contractuelle) : réservé à des transferts ponctuels liés à l'exécution d'un contrat conclu dans l'intérêt de la personne ; inapplicable à un flux structurel.
• Art. 49-1-f (contrat entre personnes concernées et responsables) : hors sujet ici.
• Art. 49-1-h (données de santé, raisons impérieuses d'intérêt public) : la dérogation spécifique aux données de santé suppose une base légale et des garanties appropriées ; un contrat de support informatique n'est pas un motif d'intérêt public.
• Art. 49-1-g (constatation, exercice ou défense de droits en justice) : non pertinent.

Ce qu'il faut faire à la place. CCT 2021 module 3 + analyse des transferts + mesures supplémentaires, avec un calendrier réaliste : l'analyse et la négociation prennent quelques semaines, la mise en sécurité du compte partagé quelques jours.

Le vrai risque n'est pas seulement l'article 44. Le compte administrateur partagé sans MFA constitue déjà une violation de l'art. 32 et de l'obligation de confidentialité de l'art. 28-3-b. En cas de contrôle, la CNIL pourra relever le transfert irrégulier (art. 83-5 : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial) et l'insuffisance de sécurité (art. 83-4 : 10 M€ ou 2 %). Signer l'avenant sans corrective revient à ajouter un manquement documenté à un manquement existant.