Conformité UE 8 min de lecture
Contrats de sous-traitance RGPD : les clauses qui portent réellement
L’article 28 impose dix clauses obligatoires. La plupart des contrats signés les contiennent toutes et échouent pourtant, faute des annexes qui leur donnent sens.
Pourquoi le contrat de sous-traitance existe
Selon le RGPD, le responsable détermine pourquoi et comment les données personnelles sont traitées ; le sous-traitant agit sur instructions documentées du responsable. L’article 28 exige un contrat écrit entre eux dès qu’un sous-traitant touche à des données personnelles, et énumère son contenu obligatoire.
Cette liste est un plancher, non un modèle. Un contrat signé qui reprend les dix points en texte type et laisse les annexes vides n’est, en pratique, aucun contrat.
Le contenu obligatoire
L’article 28, paragraphe 3, impose de préciser l’objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et droits du responsable. Il ajoute dix obligations précises du sous-traitant :
- Ne traiter que sur instruction documentée du responsable, y compris pour les transferts vers des pays tiers.
- Soumettre le personnel autorisé à des obligations de confidentialité.
- Appliquer les mesures de sécurité de l’article 32.
- Respecter les conditions de recours à un autre sous-traitant.
- Aider le responsable à répondre aux demandes des personnes concernées.
- Aider à la notification des violations, à la sécurité et aux analyses d’impact.
- Supprimer ou restituer les données à la fin de la prestation.
- Fournir toutes les informations nécessaires pour démontrer la conformité.
- Autoriser et faciliter les audits et inspections.
- Informer le responsable de toute exigence légale contraire avant le traitement.
Un contrat auquel il manque l’un de ces points est d’emblée incomplet. Mais l’exhaustivité est le test facile ; le plus difficile est de savoir si les clauses sont opérationnellement exactes.
Les annexes portent le poids
Trois annexes font le vrai travail. La description du traitement doit réellement décrire le traitement, non reprendre les considérants. Les mesures techniques et organisationnelles doivent énumérer des garanties concrètes, car c’est le document qu’un auditeur compare à la réalité. La liste des sous-traitants ultérieurs doit être à jour et complète, car le sous-traitant ne peut recourir à un nouveau sous-traitant sans autorisation et doit permettre au responsable de s’y opposer.
Le schéma d’échec est constant : l’annexe des mesures annonce « chiffrement au repos et en transit » alors qu’un stockage de sauvegarde reste en clair, ou la liste des sous-traitants date de deux ans faute de responsable désigné. Ce sont des constats qui se lisent comme de la négligence et non comme de la mauvaise foi, et ils sont parfaitement évitables.
Sous-traitants ultérieurs et transferts internationaux
Le sous-traitant qui recourt à un sous-traitant ultérieur doit lui imposer par contrat les mêmes obligations de protection. L’autorisation peut être spécifique ou générale ; si elle est générale, le responsable doit pouvoir s’y opposer, et le sous-traitant doit l’informer des modifications envisagées assez tôt pour que cette opposition ait un sens.
Les transferts hors de l’Espace économique européen exigent leur propre base juridique : une décision d’adéquation ou des garanties appropriées telles que les clauses contractuelles types de 2021. Un contrat de sous-traitance seul n’autorise pas un transfert. Si des sous-traitants ultérieurs se trouvent dans des pays tiers, le mécanisme de transfert doit figurer dans la même architecture que le traitement, et non être ajouté après coup.
Rendre le contrat réel
Trois pratiques séparent un contrat opérationnel d’un contrat classé. Premièrement, tenir la liste des sous-traitants ultérieurs sous gestion de versions, avec un responsable nommé et une date de revue. Deuxièmement, rattacher chaque entrée de l’annexe des mesures à une mesure nommée figurant dans votre documentation de sécurité, afin de pouvoir les comparer. Troisièmement, vérifier chaque année que l’annexe décrit encore ce qui se passe — car la valeur d’un contrat de sous-traitance n’est pas dans la signature, mais dans le fait que son lecteur reconnaîtrait votre organisation.
Faits clés
Affirmations lisibles par machine extraites des sources ci-dessus. Chaque fait conserve le même identifiant dans les six versions linguistiques.
Article 28
L’exigence de contrat de sous-traitance figure à l’article 28 du RGPD.
Identifiant du fait:
gdpr-dpa-article25 May 2018
Le RGPD est applicable depuis le 25 mai 2018.
Identifiant du fait:
gdpr-application-dateEUR 20 million or 4% of global turnover
Le RGPD permet des amendes administratives allant jusqu’à 20 millions d’euros ou 4 pour cent du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.
Identifiant du fait:
gdpr-maximum-fine
Questions fréquentes
Un contrat de sous-traitance est-il exigé même pour un petit prestataire ?
Oui. L’article 28 s’applique à tout sous-traitant traitant des données personnelles pour le compte du responsable, quelle que soit sa taille ou le prix. Le volume ne crée pas d’exemption.
Pouvons-nous utiliser les clauses contractuelles types de 2021 comme contrat de sous-traitance ?
Oui, lorsqu’elles correspondent à la relation. La décision d’exécution 2021/915 de la Commission fournit des clauses contractuelles types pouvant servir directement de contrat au titre de l’article 28 entre responsable et sous-traitant, à condition que les annexes soient correctement complétées.
Qui est responsable si un sous-traitant ultérieur provoque une violation ?
Le sous-traitant reste responsable envers le responsable de l’exécution des obligations du sous-traitant ultérieur. Le responsable n’est pas tenu de poursuivre directement le sous-traitant ultérieur, même si le sous-traitant peut disposer d’une action contractuelle contre lui.
Sources et licences
Chaque affirmation de cet article renvoie aux sources listées ci-dessous. Les liens ouvrent directement le site de l’éditeur.
