Sous-traitants : le contrat de l’article 28 du RGPD, clause par clause

Dès qu’un prestataire traite des données personnelles pour le compte d’une organisation, le RGPD impose de formaliser la relation dans un contrat (ou un autre acte juridique) aux mentions précises. Ce document, souvent appelé « accord de traitement des données » ou « DPA », protège les deux parties : il fixe ce que le prestataire a le droit de faire, et ce qu’il doit garantir.

Responsable ou sous-traitant ?

• Le responsable du traitement détermine les finalités et les moyens essentiels du traitement : il décide pourquoi les données sont traitées.
• Le sous-traitant traite les données pour le compte et sur instruction du responsable, sans les utiliser pour ses propres besoins.

Sont typiquement sous-traitants : l’hébergeur, l’éditeur d’un logiciel en ligne, le prestataire de paie, l’agence qui gère une campagne d’e-mails, le prestataire de maintenance informatique qui accède aux serveurs, le centre d’appels.

À l’inverse, un prestataire qui fixe lui-même les finalités (un cabinet d’expertise comptable pour ses propres obligations professionnelles, une banque, un organisme social) est généralement responsable de ses propres traitements. Le qualificatif dépend de la réalité de la relation, pas de ce qu’écrit le contrat.

Les mentions obligatoires (article 28.3)

Le contrat définit d’abord l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable. Il prévoit ensuite que le sous-traitant :

1. ne traite les données que sur instruction documentée du responsable, y compris pour les transferts hors de l’Union, sauf obligation légale dont il informe alors le responsable ;
2. veille à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité ;
3. prend toutes les mesures de sécurité requises par l’article 32 ;
4. respecte les conditions de recours à un autre sous-traitant (sous-traitance ultérieure) ;
5. aide le responsable à répondre aux demandes d’exercice des droits des personnes ;
6. aide le responsable à respecter ses obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation de l’autorité de contrôle ;
7. selon le choix du responsable, supprime ou restitue toutes les données à la fin de la prestation, et détruit les copies existantes, sauf obligation légale de conservation ;
8. met à la disposition du responsable les informations nécessaires pour démontrer le respect de ses obligations, et permet la réalisation d’audits, y compris des inspections.

Le sous-traitant doit aussi informer immédiatement le responsable si une instruction lui paraît contraire au RGPD.

La sous-traitance ultérieure

Le sous-traitant ne peut faire appel à un autre sous-traitant qu’avec l’autorisation écrite du responsable, spécifique ou générale (article 28.2). Avec une autorisation générale, il doit informer le responsable de tout ajout ou remplacement, afin qu’il puisse s’y opposer. Il impose au sous-traitant ultérieur les mêmes obligations par contrat, et reste pleinement responsable de leur exécution envers le responsable (article 28.4).

En pratique, demandez la liste des sous-traitants ultérieurs, leur pays et la garantie qui encadre chaque transfert hors de l’Union.

Le contenu à vérifier avant de signer

• La description du traitement correspond-elle à la réalité ?
• Les mesures de sécurité sont-elles décrites, en annexe, de façon suffisamment précise ?
• Le délai de notification d’une violation de données est-il compatible avec votre propre délai de 72 heures pour notifier la CNIL ?
• Les conditions d’audit sont-elles réalistes (préavis, fréquence, confidentialité) ?
• Le sort des données en fin de contrat est-il prévu : délai de restitution, format d’export, effacement des sauvegardes ?
• La localisation des données et les transferts éventuels sont-ils indiqués ?

Et dans le registre ?

Le registre mentionne les destinataires de chaque traitement, dont les sous-traitants. Il est utile d’y rattacher, pour chacun, la date du contrat et sa localisation : en cas de contrôle, vous pourrez montrer en quelques minutes que chaque prestataire est encadré.

Le sous-traitant, de son côté, tient son propre registre des activités menées pour le compte de ses clients (article 30.2).

Les clauses contractuelles types de la Commission

La Commission européenne a adopté, le 4 juin 2021, des clauses contractuelles types pour la relation entre responsable et sous-traitant au sein de l’Union (décision d’exécution (UE) 2021/915). Elles ne sont pas obligatoires, mais leur utilisation garantit que le contrat respecte l’article 28.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 28, 30, 32 et 33, EUR-Lex.
• Décision d’exécution (UE) 2021/915 du 4 juin 2021 relative aux clauses contractuelles types entre responsables du traitement et sous-traitants.
• Comité européen de la protection des données, lignes directrices 07/2020 sur les notions de responsable du traitement et de sous-traitant.
• CNIL, « Sous-traitants : comment vous mettre en conformité », cnil.fr.