Externaliser son administratif dans le canton de Vaud : qui est responsable des données ?

Externaliser sa gestion administrative permet de gagner du temps, de réduire certaines charges et de se concentrer sur son activité principale. Mais dès qu’une entreprise ou une organisation confie à un prestataire externe des données concernant ses clients, collaborateurs, fournisseurs ou partenaires, une question essentielle se pose :

Que devient la responsabilité en matière de protection des données ?

Dans le canton de Vaud, la réponse mérite une attention particulière...

📌Premièrement, externaliser ne signifie pas transférer la responsabilité

La législation vaudoise sur la protection des données personnelles (LPrD) prévoit qu’un traitement de données peut être confié à un tiers, sous certaines conditions.

Le responsable du traitement doit notamment être lui-même autorisé à traiter les données concernées, et l’externalisation doit être prévue par la loi ou par un contrat. Il faut également vérifier qu’aucune obligation de confidentialité ou de secret ne s’y oppose.

Autrement dit, faire appel à une fiduciaire, un secrétariat externalisé, une société de gestion administrative ou un prestataire informatique ne signifie pas que l’entreprise qui lui confie les données se décharge de ses obligations.

Le choix du prestataire et le cadre contractuel deviennent donc des éléments essentiels.

🔐 Que devrait prévoir une relation d’externalisation ?

Avant de transmettre des données personnelles à un prestataire externe, plusieurs points méritent d’être vérifiés :

➡️ Quelles données sont réellement nécessaires ?

➡️ À quelles fins seront-elles utilisées ?

➡️ Où seront-elles stockées et traitées ?

➡️ Qui pourra y accéder ?

➡️ Le prestataire fait-il lui-même appel à d’autres sous-traitants ?

➡️ Quelles mesures de sécurité sont mises en place ?

➡️ Que se passe-t-il en cas de perte, de fuite ou de violation de données ?

➡️ Que deviennent les données à la fin du mandat ?

L’Autorité vaudoise de protection des données met d’ailleurs à disposition une check-list spécifique pour les contrats de sous-traitance informatique, qui rappelle notamment que le responsable du traitement reste responsable du respect de la LPrD vis-à-vis de la personne concernée.

⚖️ Une évolution législative à suivre

Le sujet prend encore davantage d’importance avec la révision de la LPrD mise en consultation par le Conseil d’État en 2026.

Le projet prévoit notamment de renforcer les obligations des responsables du traitement. Concernant la sous-traitance, il précise que le responsable demeure responsable de la sécurité des données traitées par son sous-traitant et prévoit notamment un encadrement de la sous-traitance en cascade.

Le Conseil d’État a également rappelé en juin 2026 que les communes doivent veiller au respect de la LPrD y compris lorsqu’elles confient des prestations à des tiers.

💡 Le véritable enjeu de l’externalisation

L’externalisation administrative ne devrait donc pas être envisagée uniquement sous l’angle du coût ou du gain de temps.

Elle doit aussi être pensée sous l’angle de la gouvernance des données.

Chez CARSAN Conseil, nous ne nous contentons pas d’exécuter des tâches administratives : nous expliquons comment les données sont traitées, protégées, conservées et, le cas échéant, supprimées.

Externaliser, oui. Mais externaliser de manière maîtrisée.