Modèle de cahier des charges, outil QSE (ou QHSE)

Un cahier des charges n'est pas un texte réglementaire

Aucune loi n'impose de rédiger un cahier des charges pour acheter un outil QSE. En revanche, le contrat que vous signerez engage votre responsabilité. Voici les exigences à trancher avant de choisir.

RGPD : vous restez responsable

L'éditeur qui héberge vos formulaires terrain agit en principe comme sous-traitant, puisqu'il traite ces données pour votre compte et sur vos instructions. L'article 28 du RGPD impose alors un contrat écrit prévoyant notamment que le prestataire ne traite les données que sur instruction documentée, assure la confidentialité de son personnel, applique les mesures de sécurité de l'article 32, n'engage pas de sous-traitant ultérieur sans autorisation écrite et, au terme de la prestation, supprime ou restitue les données, selon votre choix (article 28.3.g). Réclamez ce contrat dès la consultation.

Trois points s'y ajoutent. La base légale de chaque traitement, à choisir parmi les six que prévoit le RGPD : la CNIL rappelle que ce choix doit intervenir avant tout début de mise en œuvre du traitement. Les durées de conservation, que la CNIL structure en base active, archivage intermédiaire puis archivage définitif. Le registre des activités de traitement (article 30), qui concerne tous les organismes, publics comme privés, quelle que soit leur taille : sous 250 salariés, l'allègement ne dispense pas d'inscrire les traitements non occasionnels, ceux susceptibles de comporter un risque pour les droits et libertés des personnes et ceux portant sur des données sensibles, ce qui vise les données de santé liées aux accidents du travail.

Hébergement, transferts, souveraineté

Hors Union européenne, un transfert n'est possible qu'à condition d'assurer un niveau de protection suffisant et approprié : décision d'adéquation ou garanties appropriées, clauses contractuelles types en tête. « Serveurs en Europe » ne dit rien de la nationalité de l'éditeur. La qualification SecNumCloud de l'ANSSI est le repère le plus exigeant : soumission exclusive au droit de l'Union, siège social dans un État membre, détention capitalistique extra-européenne minoritaire, stockage, traitement et administration localisés dans l'UE, protection contre les injonctions issues de lois extraterritoriales.

Accessibilité et valeur probante

L'obligation d'accessibilité numérique (article 47 de la loi du 11 février 2005) vise le secteur public, ses délégataires et les entreprises privées à partir de 250 millions d'euros de chiffre d'affaires annuel moyen réalisé en France sur les trois derniers exercices comptables clos, évaluée selon la norme EN 301 549 et le RGAA. En dessous, aucune obligation, mais un bon critère d'ergonomie.

Si l'outil doit produire des documents opposables, l'article 1366 du code civil pose que « l'écrit électronique a la même force probante que l'écrit sur support papier », sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. Le décret du 28 septembre 2017 ajoute que « la fiabilité d'un procédé de signature électronique est présumée, jusqu'à preuve du contraire, lorsque ce procédé met en œuvre une signature électronique qualifiée ». L'ANSSI rappelle qu'au titre du règlement eIDAS, la signature électronique qualifiée a un effet juridique équivalent à celui d'une signature manuscrite, et que l'horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données concernées. Pour la conservation, la norme NF Z42-013, dans sa version d'octobre 2020, encadre les systèmes d'archivage électronique.