RGPD et secrétariat externalisé : ce qu'il faut vérifier

Externaliser son secrétariat, c’est confier à un prestataire externe des données souvent sensibles : coordonnées de clients, dossiers médicaux, courriers confidentiels, comptes rendus de réunion. Cette délégation est tout à fait légale — à condition de respecter un certain nombre d’obligations imposées par le RGPD. Voici ce que vous devez vérifier avant de signer avec un prestataire.

Pourquoi le RGPD s’applique à votre secrétariat externalisé ?

Un contrat de sous-traitance est-il prévu ?

Le RGPD impose un contrat écrit entre le responsable du traitement (vous) et le sous-traitant (votre prestataire). Ce contrat doit préciser la nature des données traitées, la finalité du traitement, les obligations de sécurité et les conditions de restitution ou suppression des données en fin de contrat. Sans ce document, vous êtes en infraction.

Le prestataire applique-t-il des mesures de sécurité concrètes ?

Chiffrement des fichiers, accès restreint aux données, politique de mot de passe, destruction sécurisée des documents : le RGPD exige des mesures techniques et organisationnelles adaptées au niveau de risque. Demandez à votre prestataire de vous décrire concrètement ses pratiques — un prestataire sérieux doit pouvoir répondre précisément.

Existe-t-il une procédure en cas de violation de données ?

En cas de fuite ou d’accès non autorisé à des données personnelles, le RGPD impose une notification à la CNIL dans les 72 heures. Votre prestataire doit vous alerter immédiatement s’il détecte un incident. Vérifiez que cette obligation est bien inscrite dans le contrat de sous-traitance.

Le personnel a-t-il signé un accord de confidentialité ?

Les personnes qui accèdent à vos données — transcripteurs, secrétaires, superviseurs — doivent être liées par une obligation de confidentialité. Demandez si votre prestataire fait signer des clauses de confidentialité à ses collaborateurs, et si ces engagements sont formalisés par écrit.

Quelle est la politique de conservation des données ?

Le RGPD interdit de conserver des données personnelles au-delà de la durée nécessaire au traitement. Votre prestataire doit être en mesure de vous indiquer combien de temps il conserve vos fichiers après livraison, et comment il procède à leur suppression ou restitution.

Ce que garantit Assistance Virtuelle en matière de RGPD

Depuis 2007, nous traitons des données confidentielles pour des médecins, avocats, notaires, huissiers et entreprises dans toute la francophonie. Nos engagements : contrat de sous-traitance fourni à chaque client, équipes liées par des accords de confidentialité, hébergement européen, et destruction sécurisée des fichiers après livraison. Nous pouvons répondre à toutes vos questions de conformité avant même la signature d’un contrat.

Vous souhaitez déléguer votre secrétariat en toute conformité RGPD ?

Demandez un essai gratuit

Consulter nos tarifs

La CNIL précise les obligations applicables en matière de protection des données personnelles.

Si cette problématique vous concerne, consultez notre confidentialité et RGPD.

Votre position juridique : responsable de traitement

Le point de départ est souvent mal compris, et il détermine tout le reste. Lorsque vous confiez des tâches administratives à un prestataire, vous restez responsable de traitement au sens du règlement européen. Le prestataire agit comme sous-traitant : il traite les données pour votre compte et selon vos instructions.

La conséquence est directe. En cas de manquement, c’est vous que l’autorité de contrôle interroge en premier, et il vous appartient de démontrer que vous avez choisi un sous-traitant présentant des garanties suffisantes. Cette obligation de vérification pèse sur vous, pas sur lui.

Les six points à vérifier avant de signer

Point	Ce que vous devez obtenir	Où le vérifier
Encadrement contractuel	Stipulations conformes à l’article 28 : objet, durée, catégories de données, obligations	Contrat ou annexe dédiée, pas une simple mention commerciale
Localisation des données	Pays de traitement et d’hébergement nommés	Clause écrite, pas une réponse orale
Transferts hors UE	Absence de transfert, ou garanties documentées	Clause de transfert, mécanisme invoqué
Sous-traitants ultérieurs	Liste accessible et information préalable en cas de changement	Annexe au contrat
Durée de conservation	Durée chiffrée et modalités de suppression	Clause écrite, vérifiable en pratique
Engagement des personnes	Confidentialité signée individuellement, pas seulement au niveau de la société	Modèle d’engagement communicable

Le principe qui simplifie la plupart des situations

Une distinction pratique permet d’écarter beaucoup de difficultés : le prestataire travaille-t-il dans votre environnement, ou récupère-t-il les données dans le sien ?

Dans le premier cas, les données ne quittent pas les outils que vous maîtrisez. Vous ouvrez un accès nominatif, aux droits limités, révocable à tout moment, et la question de l’hébergement par le prestataire ne se pose pas. Dans le second, elle devient centrale, avec tout ce qu’elle implique en matière de localisation, de durée et de suppression.

C’est le mode de fonctionnement que nous privilégions, décrit sur notre page confidentialité, RGPD et sécurité des données. Il réduit le périmètre du risque plutôt que de chercher à le couvrir contractuellement après coup.

Ce que vous devez pouvoir montrer en cas de contrôle

Le contrat encadrant la sous-traitance, avec ses annexes
La trace de votre démarche de vérification avant de choisir le prestataire
La mention de ce traitement dans votre registre
La liste des accès ouverts et la date de leur dernière revue

La CNIL publie des exemples de clauses et un guide du sous-traitant qui permettent de constituer ce dossier sans expertise juridique particulière. Pour les données de santé, les exigences sont renforcées et détaillées dans notre article dédié au RGPD appliqué aux données médicales.

Questions fréquentes

Qui est responsable en cas de fuite de données ?

Vous restez responsable de traitement et devez démontrer avoir choisi un sous-traitant offrant des garanties suffisantes. Le sous-traitant engage sa propre responsabilité s’il a manqué à ses obligations ou agi hors de vos instructions.

Un engagement de confidentialité de la société suffit-il ?

Il vaut mieux exiger un engagement signé individuellement par les personnes qui accèdent réellement aux données. C’est plus simple à démontrer en cas de contrôle et cela correspond à l’obligation faite au sous-traitant d’astreindre ses intervenants à la confidentialité.

Faut-il inscrire ce traitement au registre ?

Oui. Le recours à un secrétariat externalisé constitue un traitement de données personnelles qui doit figurer dans votre registre, avec sa finalité, ses catégories de données et sa durée de conservation.