Clause de notification d'incident fournisseur

Définition

La clause de notification d'incident fournisseur est une disposition contractuelle précisant les obligations d'un prestataire vis-à-vis de son client en cas d'incident de sécurité affectant le service fourni ou les données qu'il traite pour le compte de ce dernier, encadrant notamment le délai maximal dans lequel le fournisseur doit informer son client, le contenu minimal attendu de cette notification, et les modalités de coopération attendues du fournisseur durant la gestion de l'incident, comme la mise à disposition d'informations techniques complémentaires ou l'accès à des journaux d'événements pertinents pour l'investigation. Cette clause revêt une importance particulière lorsque le client est lui-même soumis à des obligations réglementaires de notification à un délai contraint, comme les soixante-douze heures prévues par l'article 33 du RGPD pour les violations de données personnelles, un fournisseur informant trop tardivement son client de l'incident risquant de compromettre la capacité de ce dernier à respecter ses propres obligations légales. La négociation de cette clause se heurte fréquemment à une asymétrie de pouvoir entre un client de taille modeste et un grand fournisseur de services standardisés, ce dernier proposant généralement des conditions générales peu négociables prévoyant des délais de notification plus longs que ceux souhaités par le client, ce qui justifie une vigilance particulière lors de la sélection d'un fournisseur destiné à traiter des données ou des systèmes particulièrement sensibles pour l'organisation cliente.