Table des matières de l'article :
Confier le développement, la maintenance ou l'administration d'un site web à un freelance non européen, qu'il soit indien, pakistanais (ou autre), trouvé sur une plateforme internationale comme Fiverr, peut sembler une option économique. Le devis est bas, le professionnel se dit disponible immédiatement et, en théorie du moins, la tâche paraît simple : résoudre un problème, installer une extension, modifier le thème, optimiser la base de données ou intervenir sur le serveur.
Le problème survient lorsque ce site n'est plus une simple vitrine, mais un système connecté à des bases de données, des commandes, des comptes clients, des tickets d'assistance, des documents, des données de santé, des informations financières ou des identifiants de connexion. Dès lors, vous ne vous contentez plus d'acheter quelques heures de programmation ; vous confiez à un prestataire externe l'accès à des données personnelles, à l'infrastructure et aux secrets de l'entreprise.
Lorsque l'employé travaille depuis l'Inde, le Pakistan ou un autre pays hors de l'Espace économique européen, les règles relatives aux transferts internationaux de données s'appliquent également . Les économies initiales doivent donc être mises en balance avec les coûts, les responsabilités et les risques que de nombreuses entreprises ne découvrent qu'après un incident.
Le problème ne réside pas dans la nationalité de l'entraîneur.
Il est important de clarifier un point d'emblée : il est erroné d'évaluer la compétence ou la fiabilité d'un professionnel en fonction de sa nationalité . L'Inde, le Pakistan et bien d'autres pays disposent de techniciens hautement qualifiés, d'entreprises bien structurées et de professionnels capables de fournir des services de grande qualité.
Le problème réside dans le modèle d'approvisionnement. Signer un contrat avec un fournisseur identifié, vérifié, assuré, organisé et capable de fournir des garanties techniques et juridiques est une chose. Confier la production à un profil trouvé sur une plateforme généraliste, choisi presque exclusivement pour son prix, et dont on ignore tout de la structure, des collaborateurs, de l'emplacement, des procédures de sécurité et de la chaîne de sous-traitance, en est une autre.
Le problème n’est donc pas celui de l’opposition entre « Italiens et étrangers ». Le véritable contraste réside entre une offre professionnelle encadrée et une externalisation improvisée sans garanties vérifiables.
Un serveur situé en Europe n'empêche pas le transfert de données
L'une des erreurs les plus fréquentes consiste à penser qu'il n'y a pas de transfert international car le serveur et la base de données restent physiquement en Europe.
En effet, lorsqu'une entreprise européenne met des données à la disposition d'une entité distincte opérant depuis un pays tiers, l'accès à distance peut relever du chapitre V du RGPD. Le travailleur indépendant n'a pas besoin de télécharger l'intégralité de la base de données sur son ordinateur. Il peut suffire qu'il dispose des capacités techniques nécessaires pour visualiser, consulter, copier, modifier ou extraire les informations.
L’accès via SSH, panneau d’hébergement, phpMyAdmin, WordPress, CRM, logiciel de billetterie ou bureau à distance peut donc impliquer un transfert de données vers un pays tiers.
L'utilisation d'un VPN européen ne change pas automatiquement cette conclusion. Le VPN protège le canal de communication et peut réduire certains risques techniques, mais l'utilisateur continue d'accéder aux données depuis un pays situé en dehors de l'Espace économique européen.
L'Inde et le Pakistan ne sont pas des pays soumis à une décision d'adéquation
Au 20 juillet 2026, ni l'Inde ni le Pakistan ne figurent parmi les pays pour lesquels la Commission européenne a adopté une décision d'adéquation générale au titre de l'article 45 du RGPD.
Cela signifie que les données personnelles ne peuvent pas être rendues accessibles à un prestataire situé dans ces pays aussi facilement qu'elles ne le sont à un prestataire situé en Italie, en Allemagne, en France ou dans un autre pays de l'Espace économique européen.
L’absence de décision d’adéquation n’interdit pas automatiquement la relation. Toutefois, elle oblige l’entreprise européenne à identifier un instrument juridique valable, à vérifier les conditions spécifiques du transfert et à prendre toute mesure complémentaire.
Dans la plupart des processus d'externalisation, les clauses contractuelles types européennes (CCT) sont utilisées. Dans le cas typique d'une entreprise européenne externalisant des services techniques auprès d'un prestataire indépendant non européen, le modèle de responsable du traitement et de sous-traitant peut s'appliquer.
La nomination en tant que responsable du traitement des données n'est pas une formalité.
Lorsqu'un travailleur indépendant ou une entreprise étrangère traite des données pour le compte d'une entreprise européenne, il assume généralement le rôle de responsable du traitement . Cette relation est donc soumise à l'article 28 du RGPD.
Le contrat doit indiquer précisément :
- l’objet, la durée et les finalités du traitement ;
- les catégories de données et de personnes concernées ;
- les obligations de confidentialité du personnel autorisé ;
- les mesures techniques et organisationnelles appliquées ;
- procédures de gestion des incidents et des violations de données ;
- les conditions d’emploi d’autres collaborateurs ou sous-directeurs ;
- les méthodes de retour ou de suppression des données à la fin de l'exercice ;
- Les droits du propriétaire en matière de contrôle, de vérification et d'audit.
Un accord de confidentialité générique ne remplace pas la désignation d'un responsable. De même, une facture, une conversation par messagerie instantanée ou l'acceptation des conditions générales de la plateforme utilisée pour trouver le professionnel ne sauraient s'y substituer.
Il est important de savoir qui traite réellement les données . Le nom affiché sur le profil peut ne pas correspondre au donneur d'ordre, à la personne qui effectue le travail ou aux collaborateurs auxquels les identifiants sont transmis.
Les conditions d'utilisation de la plateforme ne remplacent pas les obligations du RGPD
Les plateformes comme Fiverr et autres places de marché peuvent être utiles pour trouver des compétences spécialisées, mais leur système d'évaluation ne constitue pas une vérification de conformité au RGPD. Un grand nombre d'avis positifs peut indiquer que de nombreux clients sont satisfaits du travail fourni, mais cela ne prouve pas que le prestataire dispose de procédures de sécurité, de continuité d'activité, de gestion des incidents, de contrôle d'accès et de suppression certifiée des données.
La plateforme pourrait également s'intégrer à la chaîne de traitement des données lors de l'envoi de captures d'écran, de fichiers de configuration, d'exportations de bases de données, de tickets, de documents ou d'identifiants. Il convient également de prendre en compte l'emplacement des systèmes de la plateforme et le rôle des éventuels fournisseurs.
La réputation commerciale ne constitue pas une garantie juridique ou technique. Une notation n'identifie pas nécessairement toutes les parties ayant accès aux données, n'octroie aucun droit d'audit et ne garantit pas la possibilité concrète d'obtenir assistance ou indemnisation en cas de violation.
Les formulaires SCC doivent être remplis et effectivement utilisés.
Les clauses contractuelles types ne sont pas un simple fichier PDF à archiver après y avoir inscrit le nom du fournisseur. Elles doivent être intégrées à la relation contractuelle et accompagnées d'annexes décrivant précisément le traitement des données.
Il convient d'indiquer les systèmes concernés, les catégories de données, les finalités de l'accès, les mesures de sécurité, la durée, les destinataires, les éventuels sous-traitants et la manière dont le fournisseur répondra aux demandes de l'entreprise européenne.
Les clauses contractuelles types (CCT) imposent également des obligations spécifiques au destinataire des données. Le fournisseur doit être en mesure de comprendre et de respecter ces obligations. La signature de clauses qui ne seront pas appliquées en pratique ne garantit pas la conformité du transfert de données.
C’est là l’un des points faibles des indépendants choisis uniquement sur la base du prix. Un professionnel peut être techniquement compétent, mais ne pas disposer de la structure juridique, des procédures documentées ou des capacités organisationnelles nécessaires pour respecter les engagements imposés par les clauses européennes.
Le contrat de vente standard et le contrat ne suffisent pas sans une évaluation du transfert.
Suite à l’arrêt Schrems II et aux recommandations du Comité européen de la protection des données, les entreprises exportatrices doivent évaluer si l’outil qu’elles utilisent garantit, dans leur cas particulier, un niveau de protection sensiblement équivalent à celui requis dans l’Union européenne.
Cette analyse est généralement appelée analyse d'impact sur les transferts (AIT). Elle doit prendre en compte la législation et les pratiques du pays destinataire, les pouvoirs d'accès potentiels des autorités, la nature des données, le secteur d'activité, les méthodes techniques de traitement et la capacité réelle du fournisseur à respecter les clauses.
Il n'existe pas de solution universelle. L'accès ponctuel à un environnement de test contenant des données synthétiques présente un risque différent de l'administration continue d'un portail de santé gérant des milliers de dossiers patients.
Lorsque la protection contractuelle est insuffisante, des mesures techniques et organisationnelles complémentaires doivent être envisagées . Si ces mesures n'offrent pas un niveau de protection adéquat, le transfert ne doit pas être autorisé.
Les données dites sensibles exigent une prudence encore plus grande.
Dans le langage courant, on parle souvent de « données sensibles ». Le RGPD utilise le terme « catégories particulières de données personnelles », qui comprend, entre autres, les données relatives à la santé, les données génétiques ou biométriques, l'origine ethnique, les opinions politiques, les convictions religieuses, l'appartenance syndicale, la vie sexuelle et l'orientation sexuelle.
Le site web d'un établissement de santé, d'un psychologue, d'un laboratoire, d'un syndicat ou d'une organisation politique peut donc traiter d'informations particulièrement sensibles.
D'autres données, telles que les adresses, les commandes, les factures, les courriels, les billets, les adresses IP et les informations de paiement, ne relèvent pas nécessairement de l'article 9, mais demeurent des données personnelles. Les identifiants, les clés privées, les jetons d'API et les mots de passe nécessitent également un niveau de protection élevé, car ils peuvent donner accès à l'ensemble des systèmes de l'entreprise.
Lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, une analyse d'impact relative à la protection des données (AIPD) doit être réalisée . Le traitement à grande échelle de catégories particulières de données est l'un des cas expressément visés à l'article 35 du RGPD.
L'accès administratif implique des obligations supplémentaires en Italie
Lorsque l’employé se voit accorder des privilèges d’administrateur de serveur, de base de données, de réseau ou d’application, la réglementation italienne relative aux administrateurs système doit également être prise en compte.
La personne concernée doit être identifiée par son nom et ses fonctions doivent être précisément définies. En cas de services externalisés, le responsable du traitement ou le sous-traitant doit conserver les informations d'identification des personnes qui réalisent effectivement ces activités.
Les performances des administrateurs doivent faire l'objet d'un audit au moins une fois par an. Les accès logiques doivent être consignés dans des journaux complets, exhaustifs et vérifiables, conservés pendant au moins six mois.
Attribuer un mot de passe d'administrateur partagé à un utilisateur inconnu rend difficile, voire impossible, de reconstituer le parcours de l'auteur d'une action. En cas de suppression de données, d'installation d'un logiciel malveillant ou d'exportation de la base de données, l'entreprise risque de ne pas disposer des informations nécessaires pour comprendre ce qui s'est passé.
Les mesures techniques minimales pour l'accès externe
L'accès direct et sans restriction à la production devrait être le dernier recours, et non le point de départ. Une configuration raisonnable devrait privilégier :
- un environnement de test contenant des données anonymes, pseudonymisées ou synthétiques ;
- comptes nominatifs avec des privilèges minimaux et une durée limitée ;
- authentification multifactorielle, VPN et systèmes hôtes bastion ;
- journalisation des sessions et des accès administratifs ;
- séparation entre le code, la base de données, la sauvegarde et les secrets de l'application ;
- révocation immédiate des permis dès la fin de l'activité ;
- procédures formelles pour les incidents, les exportations et les transferts de fichiers.
Dans la mesure du possible, le technicien doit travailler sur le code sans accéder aux données. Un bug de mise en page, une modification CSS ou une mise à jour de fonction PHP ne nécessitent généralement pas la consultation des données client.
Le principe doit être simple : aucune donnée personnelle ne doit être accessible simplement parce qu’elle pourrait être utile . L’accès doit être nécessaire, proportionné et documenté.
Le véritable coût du travail indépendant à bas prix
Le taux horaire ne représente qu'une partie du coût. Le recours légitime à un fournisseur hors UE peut nécessiter des vérifications préalables, des contrats, des clauses contractuelles types, des analyses d'impact technique, des audits techniques, un suivi, un enregistrement des données, une gestion de compte, une supervision des sous-traitants et un accompagnement juridique.
Si tout cela n'est pas fait, le coût ne disparaît pas. Il devient simplement un risque.
Un incident peut entraîner une interruption de service, une perte de données, la restauration de sauvegardes, une analyse forensique, des communications avec les clients, des notifications à l'autorité de protection des données, des litiges contractuels et une atteinte à la réputation. Dans certains cas, l'entreprise peut être tenue de notifier l'autorité de contrôle d'une violation de données dans les 72 heures suivant sa découverte.
Outre les conséquences opérationnelles, il existe également des conséquences financières et juridiques. Pour les violations les plus graves, le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou, pour les entreprises, jusqu'à 4 % du chiffre d'affaires mondial annuel de l'exercice précédent, le montant le plus élevé étant retenu.
La responsabilité n'est pas transférée avec les identifiants. Le responsable du traitement des données en Europe doit sélectionner des sous-traitants qui offrent des garanties suffisantes et sont en mesure de démontrer les contrôles effectués. Le sous-traitant a également ses propres obligations, mais l'entreprise contractante ne peut se dédouaner en prétendant ignorer où ou par qui les données étaient traitées.
Quand un fournisseur non membre de l'UE peut être utilisé légitimement
L'externalisation internationale n'est pas interdite. Elle peut constituer une option valable lorsque le fournisseur possède des compétences spécialisées, une identité vérifiable, une structure organisationnelle, des procédures de sécurité, des contrats adéquats et la capacité de respecter les obligations contractées.
Avant d'attribuer le contrat, l'entreprise devrait au moins vérifier :
- l’identité et le siège social de l’entité contractuelle ;
- qui effectuera physiquement les travaux et de quels pays ;
- la présence éventuelle de sous-processeurs ;
- mesures de sécurité et procédures de gestion des incidents ;
- volonté de signer la nomination, la SCC et les annexes techniques ;
- la possibilité d'effectuer des vérifications et d'obtenir des documents ;
- les méthodes de suppression des données et de révocation des accès.
Si le professionnel refuse de s'identifier, de mentionner ses collaborateurs, utilise des comptes partagés ou demande à recevoir la base de données par messagerie instantanée, le prix bas ne doit pas être considéré comme un avantage, mais comme un signe de risque.
Les systèmes professionnels ne s'achètent pas simplement en choisissant le prix le plus bas.
Le site web d'une entreprise n'est pas un simple ensemble de pages. Il fait partie intégrante de son infrastructure informatique. Il peut contenir des données personnelles, des secrets commerciaux, des identifiants, des intégrations avec des systèmes de gestion, des passerelles de paiement et des services externes.
C’est pourquoi la maintenance du système doit être confiée à un partenaire identifiable et contractuellement responsable, capable de documenter les interventions réalisées. La proximité géographique ne garantit pas automatiquement la qualité, mais une relation avec un fournisseur italien ou européen peut simplifier les questions de juridiction applicable, la gestion contractuelle, les audits et le traitement des données au sein de l’Espace économique européen.
La bonne approche ne consiste pas à choisir le technicien le plus proche ou le moins cher. Il s'agit de choisir le fournisseur qui offre expertise, continuité, traçabilité et garanties vérifiables.
conclusion
Confier un site web contenant des données personnelles à un travailleur indépendant situé en Inde, au Pakistan ou dans un autre pays hors EEE peut être légitime, mais cela ne doit pas être considéré comme un simple achat en ligne ponctuel.
L’entreprise européenne doit identifier l’entité qui aura accès aux données, définir son rôle, réglementer la relation conformément à l’article 28, identifier une base valable pour le transfert, préparer les clauses contractuelles types (CCT) le cas échéant, évaluer le contexte du pays tiers et adopter des mesures techniques proportionnées.
Avant tout, ils doivent éviter l'erreur de confondre prix bas et faible risque . Dans les domaines de l'hébergement et des systèmes, les professionnels n'interviennent pas uniquement sur le plan graphique : ils peuvent être amenés à lire, modifier, exporter ou supprimer les données de l'entreprise.
Avant de céder les accès administratifs, les bases de données et les identifiants, il convient donc de demander non seulement combien coûtera le travail, mais aussi qui sera responsable en cas de problème, quels contrôles seront disponibles et où les données seront effectivement stockées.
Pour les entreprises qui gèrent des sites web, des sites de commerce électronique, des applications et des bases de données contenant des données personnelles, travailler avec un partenaire de systèmes structurés comme Managed Server Srl leur permet d'aborder le projet en commençant par l'infrastructure, la sécurité, le suivi des accès et une délimitation claire des responsabilités, plutôt que d'intervenir seulement après que le problème soit déjà survenu.
