Notre prestataire s'occupe de ça.

« Notre prestataire s’occupe de ça » est une phrase exacte, pourvu que l’on sache ce que « ça » recouvre : c’est écrit, dans un contrat que vous avez signé. Voici ce qu’en attendent l’ANSSI et la CNIL, et la troisième fiche du trousseau : les clés confiées.

Lundi, 14 h 20. Philippe, directeur administratif et financier, relit pour la troisième fois la réponse du prestataire. Ce matin, il lui a demandé de montrer, cette semaine, comment récupérer un fichier tel qu’il était trois jours plus tôt. La réponse est arrivée avant le déjeuner, rapide et aimable : bien volontiers ; la restauration n’étant pas comprise dans le forfait, elle sera facturée au temps passé, « conformément au contrat ». Le contrat d’infogérance dort dans le classeur des contrats, entre l’assurance des véhicules et l’entretien de l’ascenseur. Philippe l’ouvre à l’annexe « Périmètre ». Une page, précise comme un inventaire : sauvegarde quotidienne du serveur, mises à jour, supervision, assistance téléphonique aux heures ouvrées. Tout y est exact. Ce qui n’y figure pas se lit en creux. Pas un mot des ordinateurs portables, sur lesquels travaillent les commerciaux. Pas un mot de la messagerie, partie dans le nuage il y a deux ans. Et, tout en bas, en plus petit : « Restauration de données : facturée au temps passé, selon la grille tarifaire en vigueur. »

Mercredi dernier, nous vous demandions : « si votre prestataire devait tout restaurer demain, qui paierait les heures — et où est-ce écrit ? » Philippe tient la réponse. Vous paieriez, au temps passé ; c’est écrit au bas de l’annexe « Périmètre ». Et le mot « tout » n’y résisterait pas : ce que l’annexe ne nomme pas, personne ne s’est engagé à le restaurer, à aucun prix.

Ce qui se passe vraiment

« Notre prestataire s’occupe de ça. » La phrase est vraie, et c’est ce qui la rend si confortable. Votre prestataire s’occupe bien de quelque chose, et il le fait sans doute bien. Le mot qui travaille, c’est « ça ». Dans la bouche d’un dirigeant, « ça » veut dire l’informatique : tout ce qui a un écran, un câble ou un mot de passe. Dans le contrat, « ça » tient sur une page, et chaque ligne y a été pesée. Personne n’a menti. Le prestataire a vendu un forfait et l’a décrit ; vous l’avez acheté pour ne plus y penser. C’est la commodité, et elle est parfaitement légitime : déléguer, c’est précisément cesser de s’en occuper. Le malentendu commence lorsqu’on délègue aussi la question de savoir ce qui a été délégué. Car un contrat informatique range chaque chose dans l’une de trois cases, et on les lit rarement toutes. Ce qui est inclus : fait sans qu’on le demande, payé par le forfait. Ce qui est possible : fait à la demande, payé à part — c’est le « temps passé ». Et ce qui n’est pas prévu : ni fait, ni facturé, simplement absent, sans que rien ne le signale. Chez Philippe, la sauvegarde du serveur est dans la première case, la restauration dans la deuxième, la messagerie et les portables dans la troisième. La deuxième case se paie le jour venu. La troisième ne s’achète pas le jour même. Vous connaissez déjà cet exercice, dans l’autre sens. En septembre, nous parlions du questionnaire de votre client : un client plus grand que vous voulait savoir qui appeler chez vous un dimanche, comment vous le préviendriez d’un incident, et ce que vous feriez de ses données en fin de contrat. Vous étiez le prestataire. Ce sont exactement les questions à poser au vôtre — et il est probable que personne, chez vous, ne les lui a jamais posées. Mercredi dernier, nous laissions aussi une question en attente : où est la copie que la sauvegarde garde ailleurs, sur un autre site ou hors du réseau ? L’annexe de Philippe dit « sauvegarde quotidienne du serveur ». Elle ne dit ni où, ni combien de jours en arrière, ni qui détient l’accès. Ce n’est pas une faute : c’est une page qui décrit un service, pas une page qui promet un résultat. La bonne nouvelle est qu’il n’y a rien à rompre. Ni changer de prestataire, ni rouvrir une négociation, ni lire trente pages de conditions générales. Il suffit de savoir, pour chaque chose que vous lui avez confiée, dans quelle case elle se trouve, et qui, chez vous, en décide. Cela tient en une réponse écrite, et la fiche de la semaine la prépare.

Ce que dit le texte

Le premier texte de la semaine ne paraît pas au Journal officiel : c’est celui que vous avez signé. Aucune des deux sources qui suivent ne dit ce que votre forfait doit contenir. Elles disent ce qu’un contrat devrait vous permettre de savoir. L’ANSSI, sur l’infogérance. Son guide consacré à l’externalisation et à la sécurité des systèmes d’information, publié en décembre 2010 et toujours diffusé par l’agence, s’ouvre sur une phrase qui devrait rassurer : il convient « de ne pas opposer sécurité et externalisation » [1]. Recourir à un prestataire peut pallier l’absence de moyens internes, à condition qu’il s’engage sur la sécurité. Le même guide situe le risque là où Philippe vient de le trouver : dans des clauses contractuelles déficientes ou incomplètes [1]. Écrit pour les appels d’offres d’organisations plus grandes que la vôtre, il se lit très bien comme une liste de questions. Parmi les exigences types qu’il propose : un compte rendu de chaque sauvegarde indiquant si elle a réussi ; des tests de restauration chaque mois, avec un rapport remis au client ; un second exemplaire des sauvegardes dans des locaux physiquement séparés ; un contact technique et un contact décisionnel, nommés de part et d’autre ; et, dans le contrat, les conditions, les délais et les formats dans lesquels vos données vous seraient rendues [1]. La CNIL, sur la sous-traitance. Son guide de la sécurité des données personnelles, dont l’édition en vigueur date de mars 2024, consacre sa fiche n° 14 à la sous-traitance [2]. Elle demande un contrat qui fixe notamment la répartition des responsabilités, la restitution des données en fin de contrat, la gestion des incidents et la revue régulière des mesures de sécurité, ainsi que les moyens de vérifier ce que le prestataire promet, par un audit ou une visite. Parmi ce qu’il ne faut pas faire, elle range le fait d’« entamer la prestation de sous-traitance sans avoir signé un contrat » qui reprenne les exigences du RGPD [2]. Le règlement, vu de l’autre côté. Le 16 septembre, nous lisions l’article 28 du RGPD, applicable depuis le 25 mai 2018, du côté de celui qui travaille pour ses clients. Le voici du vôtre : dès que votre prestataire traite des données personnelles pour votre compte, son paragraphe 3 impose un contrat qui l’oblige notamment à prendre les mesures de sécurité de l’article 32, à vous rendre ou supprimer les données au terme de la prestation, et à vous donner de quoi vérifier, audits compris [2]. La différence de nature est le cœur du sujet. L’article 28 est une obligation légale, au contenu imposé, qui régit les données personnelles. Le périmètre — le serveur oui, les portables non, la restauration au temps passé — est une affaire commerciale qu’il ne règle pas. Un contrat peut être irréprochable au regard de l’article 28 et ne rien dire de qui paie une restauration. Ce qui n’est pas exigé. Aucune de ces sources ne demande de changer de prestataire, de renégocier le contrat, ni de tout faire entrer dans le forfait. L’ANSSI juge même le recours à un prestataire souhaitable lorsque les compétences manquent en interne [1]. Ce qu’elles attendent tient en un verbe : savoir ce qui est écrit, ce qui ne l’est pas, et ce que l’on fait de l’écart. Cela commence par une réponse écrite, pas par un avocat.

La Méthode : L’Ours, la Voiture et l’Accident

Un mot sur le nom. On dit L’Ours, la Voiture et l’Accident parce que c’est ainsi qu’on le retient ; on l’applique dans l’autre sens, parce que c’est ainsi qu’il fonctionne. La Voiture d’abord — on ne priorise pas ce que l’on ne connaît pas. L’Ours ensuite. L’Accident, lui, ne se pratique pas : il arrive.

La Voiture

Pour conduire, vous n’avez pas besoin d’être ingénieur automobile ou garagiste. Mais pour la conduire, il vous faut une formation, un permis, être en bonne santé, une voiture en bon état, et quelques informations à propos de votre destination. Cela suffit à aller de A à B sans difficulté. La Voiture embarque deux étapes : Connaître vos dix principaux risques — pour vous, votre entreprise, votre système d’information, vos équipes et vos tiers. Ici, le premier risque n’est pas que votre prestataire travaille mal. C’est qu’il fasse exactement ce qui est écrit, et que ce ne soit pas ce que vous pensiez avoir acheté. Le deuxième est plus prosaïque : découvrir le prix d’une restauration le jour où elle est urgente, c’est-à-dire le seul jour où l’on ne négocie plus.

Savoir ce que vous avez. On ne protège pas ce que l’on ne connaît pas. Sur ce sujet, il ne s’agit pas de connaître les outils de votre prestataire, mais ce que vous lui avez confié : le serveur et ses copies, la messagerie, les ordinateurs, les comptes d’administration, l’identifiant de la page de sauvegarde. Chacune de ces choses est une clé remise. La question n’est pas de savoir s’il la garde bien, mais si le contrat dit qu’il la garde.

L’Ours

Si un ours vous poursuit, vous n’avez pas besoin de courir vite. Vous avez besoin de ne pas être le dernier. L’Ours embarque deux étapes :

Prioriser. Tout n’a pas la même importance et tout ne mérite pas la même protection. Ici, un contrat ne se relit pas en entier. Trois pages suffisent : l’annexe qui dit ce qui est inclus, la grille qui dit ce que coûte le reste, et la clause qui dit comment vos données vous reviennent si vous partez. Et puisqu’il est question d’ours : personne ne vous demande le meilleur contrat de la région. Il suffit de ne pas être le client qui découvre la grille tarifaire pendant la panne.

Réduire. Si vous ne l’utilisez pas, ou si vous ne savez pas ce que c’est, vous n’en avez probablement pas besoin. Ici, réduire, c’est diminuer le nombre de choses confiées dont aucun document ne parle. Chacune peut sortir de cette zone grise par deux portes : entrer au périmètre, ou en être exclue par écrit, en connaissance de cause. Un « non » écrit vaut mieux qu’un « on s’en occupe » dont personne ne connaît le contour. Et l’option souscrite un jour, que plus personne n’utilise, peut sortir du contrat comme de la facture.

L’Accident

L’accident n’embarque pas d’étape. L’accident, c’est de la réaction. Pour cela, on s’y prépare avant. On s’y est préparé avant, sans le savoir, en sachant ce que l’on avait et en sachant ce qui comptait.

Lundi, 14 h 20, est un accident sans dégât : rien n’est cassé, une page a seulement été lue. Le même paragraphe, découvert un jour de restauration avec un client qui attend, ne laisse plus qu’une décision : signer le devis. L’autre réponse se prépare un lundi ordinaire, celui-ci : une ligne par clé confiée, en face ce que le contrat dit et ce qu’il tait, et un prénom, chez vous, pour décider. C’est ce que la fiche de la semaine vous fait écrire.

L’outil de la semaine

Le Trousseau — n° 3 : les clés confiées

Troisième fiche du trousseau. La première listait les clés à rendre, la deuxième les doubles ; celle-ci liste les clés que vous avez remises à quelqu’un d’autre, et ce que le contrat en dit. Elle se suffit à elle-même ; une seule ligne de son mode d’emploi renvoie à la fiche de mercredi dernier.

Une ligne par chose que vous avez confiée à votre prestataire. Cinq colonnes. Remplissez-la contrat ouvert, avec la personne qui l’a signé ou qui reçoit les factures. Comptez une heure.

Au-dessus du tableau, écrivez une fois : le nom du prestataire, la date du contrat et de sa dernière annexe, et la date à laquelle vous avez rempli la fiche.

Comment la remplir. Ce que nous lui confions — une chose, nommée comme on la nomme dans la maison : un serveur, une sauvegarde, un accès, un service. Pas seulement ce qui figure au contrat : aussi ce que vous croyez lui avoir confié. C’est entre les deux que se trouvent les surprises. Ce que le contrat dit — les mots du contrat, entre guillemets, avec la page ou l’annexe. Jamais de mémoire, jamais résumé. Pour les lignes de sauvegarde, reprenez la colonne « Où est le double » du Trousseau n° 2 et confrontez-la au texte : le « Je ne sais pas » de la semaine dernière trouve ici sa réponse, ou sa question. Ce qu’il ne dit pas — ce que vous auriez besoin de savoir le jour où quelque chose manque : où, combien de jours, à quel prix, dans quel délai, et comment vos données vous reviendraient si vous partiez. La CNIL demande que le contrat règle cette restitution [2] ; l’ANSSI, qu’il en décrive les conditions, les délais et les formats [1]. Qui décide chez nous — un prénom, comme toujours dans cette série. C’est la personne qui dit oui à une intervention facturée, avant qu’elle commence. Qui appeler chez lui — deux noms plutôt qu’un : un contact technique et un contact décisionnel, comme le propose l’ANSSI [1]. Le premier sait faire ; le second peut dire oui. La règle. La troisième colonne ne reste pas chez vous. Envoyez-la telle quelle à votre prestataire et demandez une réponse écrite, ligne par ligne. Ce qu’il confirme par écrit passe dans la deuxième colonne ; ce qu’il refuse passe dans la vôtre, avec une décision : l’ajouter au contrat, ou vivre sans en connaissance de cause. Cinq minutes, lundi matin Trois gestes. Seul, sans budget, sans réunion. Trouvez l’annexe. Celle qui dit ce qui est inclus, quel que soit son titre : périmètre, description des services, conditions particulières. Lisez-la une fois, crayon en main, et entourez ce qui n’y est pas. Cherchez trois expressions. « Temps passé », « hors forfait », « restitution » ou « réversibilité ». Notez la page de chacune sur la première ligne de la fiche. Leur absence est aussi une réponse.

Écrivez au prestataire. Une phrase suffit : « Pouvez-vous nous indiquer par écrit ce que notre contrat ne couvre pas, et ce que coûterait une restauration complète ? » La réponse ne vous engage à rien. Elle vous apprendra tout.

Mercredi prochain

Mercredi prochain, octobre se referme, et nous changeons de point de vue : non plus ce que vous avez confié, mais ce que l’on voit de chez vous depuis le trottoir d’en face.

Une question d’ici là : qu’est-ce qu’un inconnu peut apprendre de votre entreprise sans jamais en franchir la porte ?

Références

1. ANSSI, « Externalisation et sécurité des systèmes d’information : un guide pour maîtriser les risques », publié le 3 décembre 2010 ; Externalisation des systèmes d’information — Maîtriser les risques de l’infogérance, décembre 2010 — introduction, § 2.1.4 (restitution des données), annexe 2 (sauvegardes et restauration), annexe 3 (contacts technique et décisionnel).
2. CNIL, guide de la sécurité des données personnelles, édition de mars 2024, fiche n° 14 « Gérer la sous-traitance », 14 mars 2024. CNIL, « Guide de la sécurité des données personnelles : suivi des modifications entre les différentes versions », 26 mars 2024. Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), JOUE L 119 du 4.5.2016, applicable depuis le 25 mai 2018, art. 28, § 3 — texte reproduit par la CNIL, chapitre IV ; ELI.

Situation arrêtée au 21 octobre 2026.