Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia - 355

de ces données selon les instructions du client. Le client va parfois
profiter d'une zone grise sur ce
sujet en se basant sur son intérêt
légitime alors que ce n'est pas
vraiment justifié et qu'une autre
base légale serait plus appropriée,
ou bien en utilisant comme base
légale le consentement alors que
celui-ci n'est pas recueilli conformément aux exigences du RGPD,
mettant ainsi à risque la start-up
qui traite la donnée comme
sous-traitant.
Enfin, sur la qualification des
parties, les start-up peuvent se voir
imposer une qualification avec
laquelle les juristes ne sont pas à
l'aise. Tout dépend du cœur de
métier de la start-up, mais souvent
les grands groupes vont faire appel
à une start-up pour un service ou
un produit qu'ils n'ont pas internalisé. La start-up en a fait son cœur
de métier et c'est cette expertise
qui est recherchée car elle permet
au client de gagner du temps.
Dans ce contexte, la qualification retenue pour les parties est
souvent celle de responsable de
traitement pour le client et celle
de sous-traitant pour la start-up,
c'est-à-dire
agissant
uniquement sur instructions du client.
Toutefois,
cette
qualification
n'est pas toujours aussi évidente,
notamment lorsque l'expertise
de la start-up la conduit à influer
fortement sur la définition de la
finalité et des moyens, prérogative réservée au responsable de
traitement.  Dans cette situation,
certains clients vont préférer
profiter du doute pour imposer la
qualification qui leur est la plus
favorable. En interne, au sein des
start-up, aucun collaborateur ne
veut perdre un gros client pour
ce motif et le juriste aura du mal à
négocier sur ce point. 

Acceptation du risque
par la start-up 
Le rapport de force déséquilibré implique également pour la
start-up d'accepter un niveau de
risque parfois élevé afin de parvenir

à signer un contrat. Il peut s'agir par
exemple, dans le cadre d'une forte
dépendance économique, d'une
situation selon laquelle le client ne
souhaite pas avoir une interprétation stricte du RGPD mais préfère
profiter d'une zone grise, ou ne
souhaite pas réaliser les actions de
conformité malgré les demandes de
la start-up, parce qu'il estime qu'une
éventuelle sanction n'aura pas de
conséquences trop importantes
pour lui. La start-up peut alors
rapidement se retrouver dans une
situation dans laquelle elle doit faire
un choix entre l'acceptation du
risque ou le refus du contrat avec les
difficultés financières qui peuvent
en découler comme le licenciement de salariés ou la fermeture
de l'entreprise.  Ce rapport de force
déséquilibré est en outre desservi
par des difficultés pratiques de
négociation.

Difficultés pratiques
de négociation
Modèle de contrat
imposé par le client
L'une des principales difficultés en
pratique de négociation est la base
de la négociation  : le modèle de
contrat est souvent celui du client
et est parfois inadapté à la start-up
voire non négociable.
Ainsi, lorsque les clients sont de
grands groupes, ils communiquent
habituellement leurs modèles de
contrats et/ou de clauses relatives à
la protection des données personnelles et les imposent comme base
de discussion aux start-up, voire
parfois sans possible négociation
et devant être signés en l'état par
la start-up afin de ne pas perdre
l'opportunité du contrat.
Dans la grande majorité des cas, le
client impose un modèle applicable
à tous ses partenaires commerciaux qui répond à des directives
internes du client pour sa mise
en conformité et peut prendre la
forme d'une annexe, d'une charte
ou d'une clause intégrée dans le
modèle de contrat commercial du
client ou à intégrer dans le modèle
EXPERTISES Octobre 2020

de contrat de la start-up. Toutefois,
le modèle imposé par le client
peut ne pas être adapté du tout au
contexte et à la structure d'une
start-up.
Il arrive par exemple que le client
impose comme structure contractuelle une charte de protection des
données personnelles de plusieurs
dizaines de pages, avec des obligations très peu adaptées à l'activité
de la start-up, en particulier des
exigences de sécurité impossibles
à mettre en place compte tenu des
moyens financiers et techniques
limités d'une start-up.

Exigence de clauses par
le client impossibles à
respecter
Les clauses exigées par le client
impossibles à respecter ou à mettre
en œuvre concernent en effet
fréquemment les aspects de sécurité. A titre d'exemple, on constate
souvent qu'une start-up, n'ayant
pas les moyens d'avoir un cloud
interne, va utiliser les services des
GAFA qui permettent d'avoir des
outils performants et des mesures
de sécurité déjà existantes.
Néanmoins, il n'est pas toujours
facile d'obtenir de ces entreprises
les informations exigées dans le
contrat par le client, telle que la
localisation exacte des données
ou certaines mesures de sécurité
mises en place. Et il est quasiment
impossible pour des start-up
de négocier des contrats de
sous-traitance avec ces géants
du numériques fournissant des
services
d'hébergement
des
données. Or, les clients des start-up
demandent de faire apparaître
des clauses particulières dans les
contrats de sous-traitance avec
ces entreprises, que les start-up ne
peuvent évidemment pas imposer
aux géants du numériques.
Dans ce contexte, le business prime
sur le juridique encore plus que dans
toute autre entreprise. La start-up va
plus facilement décider de se mettre
à risque pour survivre financièrement en signant le contrat.

355
Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2020 - N°461 - Le mensuel du droit de l'informatique et du multimédia
