Article 28 du RGPD : la checklist du contrat de sous-traitance

L’article 28 s’applique lorsqu’un traitement est effectué pour le compte d’un responsable du traitement. Le paragraphe 3 exige alors un contrat ou un autre acte juridique, et le paragraphe 9 impose la forme écrite, y compris en format électronique.

La CNIL indique que la qualification vaut aussi pour une solution « clé en main », dès lors que l’organisme traite effectivement des données personnelles. Un accès ponctuel, par exemple pour de la maintenance, peut suffire. Les parties ne peuvent pas choisir la qualification qui les arrange : elle dépend de la réalité du traitement.

Cette liste reprend le paragraphe 3 de l’article 28. Elle permet de vérifier la présence des mentions. Elle ne remplace pas l’analyse de votre contrat, et elle ne propose pas de rédaction.

La description du traitement :

• l’objet et la durée ;
• la nature et la finalité ;
• le type de données à caractère personnel ;
• les catégories de personnes concernées ;
• les obligations et les droits du responsable du traitement.

Les engagements du sous-traitant :

• Instructions : traiter les données uniquement sur instruction documentée, y compris pour les transferts hors de l’Union.
• Confidentialité : veiller à l’engagement de confidentialité des personnes autorisées.
• Sécurité : prendre les mesures requises par l’article 32.
• Sous-traitants ultérieurs : respecter les conditions des paragraphes 2 et 4.
• Droits des personnes : aider le responsable à répondre aux demandes.
• Assistance : aider le responsable pour les articles 32 à 36, notamment la sécurité, les violations et les analyses d’impact.
• Fin de prestation : supprimer ou renvoyer les données, au choix du responsable, et détruire les copies existantes, sauf obligation légale de conservation.
• Preuve et audit : fournir les informations nécessaires et permettre les audits, y compris les inspections.

Le sous-traitant doit aussi informer immédiatement le responsable s’il estime qu’une instruction constitue une violation du droit de la protection des données.

La CNIL demande d’intégrer les mentions de l’article 28, paragraphe 3, en les adaptant à la situation des parties. Une reprise qui ne décrit pas le traitement réel donne peu de prise en cas de question. Plusieurs de ses points de vigilance sont pratiques :

• le périmètre fixé par le contrat cadre le traitement : une opération non prévue devrait, en principe, faire l’objet d’une renégociation ou au moins d’instructions écrites ;
• le contrat peut préciser si l’autorisation des sous-traitants ultérieurs est donnée au cas par cas ou de manière générale ;
• les instructions du responsable gagnent à être écrites et recensées ;
• les modalités d’assistance pour l’exercice des droits méritent d’être organisées dès la conclusion du contrat.

Ces recommandations figurent dans une publication de la CNIL issue de vérifications menées auprès de 15 fournisseurs de services en ligne, dans le cadre de ses contrôles prioritaires de 2019. Elles sont antérieures aux clauses types de 2021, mais restent utiles pour relire un contrat.

Le sous-traitant ne peut pas en recruter un autre sans l’autorisation écrite préalable, spécifique ou générale, du responsable. Avec une autorisation générale, il doit informer le responsable de tout ajout ou remplacement prévu, pour lui permettre de s’y opposer.

Les mêmes obligations de protection des données doivent être imposées au sous-traitant ultérieur. Si celui-ci est défaillant, le sous-traitant initial reste pleinement responsable devant le responsable du traitement.

Le Comité européen de la protection des données a précisé ces points dans son avis 22/2024, en octobre 2024. Le responsable doit disposer à tout moment des informations d’identification de tous les sous-traitants et sous-traitants ultérieurs. La vérification de leurs garanties s’applique quel que soit le risque, même si son ampleur peut varier. Le responsable n’est pas tenu de demander systématiquement les contrats de la chaîne, mais il doit évaluer s’il en a besoin pour démontrer sa conformité.

La décision d’exécution (UE) 2021/915 du 4 juin 2021 a publié des clauses types entre responsables du traitement et sous-traitants. Elle indique qu’elles satisfont aux exigences de l’article 28, paragraphes 3 et 4.

La CNIL rappelle qu’elles ne sont pas obligatoires si le contrat contient déjà tous les éléments requis. Trois points méritent attention :

• Modification : les parties s’engagent à ne pas modifier les clauses, sauf pour compléter les annexes. Elles peuvent les insérer dans un contrat plus large ou ajouter des garanties, si celles-ci ne les contredisent pas.
• Annexes : quatre annexes décrivent les parties, le traitement, les mesures de sécurité et, en cas d’autorisation spécifique, les sous-traitants ultérieurs. La décision demande une description concrète, et non générique, des mesures de sécurité.
• Transferts : selon la CNIL, ces clauses ne servent pas à encadrer un transfert hors de l’Union. D’autres clauses types existent pour cela.

Elles offrent ainsi une base complète, mais leur valeur pratique dépend du soin apporté aux annexes.

Le RGPD fixe le principe sans chiffrer le délai pour le sous-traitant : l’article 33, paragraphe 2, lui impose de notifier toute violation au responsable dans les meilleurs délais après en avoir pris connaissance. Le responsable a, de son côté, ses propres obligations de notification à l’autorité de contrôle.

Les clauses types suivent la même logique. Elles listent le contenu minimal de la notification : la nature de la violation, un point de contact, les conséquences probables et les mesures prises ou proposées. Les informations peuvent être communiquées progressivement.

La vérification ne s’arrête pas à la signature. Une liste de sous-traitants change, une annexe de sécurité vieillit, un périmètre s’élargit par avenant. Un renouvellement ou une nouvelle prestation sont des occasions naturelles de relire ces éléments.

L’article 83, paragraphe 4, prévoit des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les obligations des articles 25 à 39. Le responsable et le sous-traitant sont tous deux visés. Le choix et le montant dépendent des circonstances.

L’article 82 ouvre aussi un droit à réparation pour les personnes concernées. Un sous-traitant répond notamment du dommage s’il a manqué à ses obligations propres ou agi en dehors des instructions licites du responsable.

Docform agit en qualité de sous-traitant vis-à-vis de ses clients, responsables de traitement. Un DPA (Data Processing Agreement) est disponible sur demande, et la page Trust liste ses sous-traitants. Pour vos propres contrats, la contrathèque centralise les contrats de sous-traitance et leurs avenants, et les rappels signalent les dates de fin et de préavis. Votre équipe peut traduire ses exigences en règles de playbook : l’assistant signale les écarts en citant le passage source, et le juriste décide.