Vous hébergez votre messagerie chez un fournisseur, votre paie chez un éditeur, votre site chez un hébergeur, et votre parc est administré par un prestataire. À chacune de ces relations correspond une obligation écrite. Le contrat de sous-traitance RGPD, appelé aussi accord de traitement des données, n'est pas une formalité de juriste : il détermine qui répond de quoi le jour où des données fuitent.
Responsable de traitement ou sous-traitant : savoir de quel côté vous êtes
Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données sont traitées : c'est vous, quand vous choisissez de tenir un fichier clients ou de gérer des bulletins de paie. Le sous-traitant traite ces données pour votre compte, en suivant vos instructions, sans décider des finalités.
Un prestataire informatique qui administre vos serveurs est sous-traitant, même s'il ne regarde jamais le contenu des fichiers : il a la possibilité technique d'y accéder, cela suffit. Un éditeur de logiciel en mode hébergé est sous-traitant. Un expert-comptable, en revanche, est le plus souvent responsable de traitement conjoint, parce que la loi lui impose ses propres obligations.
L'erreur classique consiste à qualifier tout le monde de prestataire et à s'arrêter là. Le mot n'a pas de sens juridique. Ce qui compte, c'est la question : qui décide de la finalité ? Posez-la pour chaque outil de votre parc, y compris les services gratuits utilisés par une seule équipe.
Quand le contrat s'impose vraiment
Dès qu'un tiers accède à des données personnelles pour votre compte, l'article 28 du RGPD impose un acte écrit. Il n'existe pas de seuil de taille, pas de dispense pour les TPE, pas de tolérance parce que le prestataire est petit ou parce que la prestation est ponctuelle.
Trois situations passent souvent sous le radar :
- l'agence qui gère vos campagnes et manipule vos fichiers de contacts ;
- le développeur indépendant qui travaille avec une copie de la base de production ;
- l'outil de visioconférence ou de signature électronique souscrit par carte bancaire par un chef de service.
Une règle simple pour cadrer l'inventaire : tout fournisseur qui détient un accès, un export ou une sauvegarde de vos données doit figurer dans votre registre des traitements avec le contrat correspondant.
Les neuf points que l'article 28 exige
Le texte fixe un contenu minimal. Un contrat qui en oublie un est incomplet, même signé par les deux parties.
| Clause | Ce qu'elle doit préciser |
|---|---|
| Objet et durée | quelles opérations, sur quelle période |
| Nature et finalité | hébergement, maintenance, sauvegarde, développement |
| Catégories de données | salariés, clients, patients, candidats |
| Personnes concernées | qui sont les individus derrière les données |
| Instructions documentées | le sous-traitant n'agit que sur consigne écrite |
| Confidentialité | engagement nominatif des personnes habilitées |
| Sécurité | mesures techniques et organisationnelles décrites |
| Sous-traitance ultérieure | autorisation préalable, liste tenue à jour |
| Sort des données en fin de contrat | restitution ou suppression, au choix du client |
S'y ajoutent deux obligations souvent mal rédigées : l'assistance en cas de demande d'exercice de droits, et l'alerte en cas de violation de données. Sur ce dernier point, exigez un délai chiffré. Vous disposez de 72 heures pour notifier la CNIL ; si votre prestataire s'engage seulement à vous prévenir « dans les meilleurs délais », vous n'avez aucune marge.
Relire un contrat existant : les formulations à corriger
Sortez trois contrats signés et cherchez ces tournures.
« Le prestataire met en oeuvre des mesures de sécurité conformes à l'état de l'art. » Trop vague. Demandez une annexe qui liste le chiffrement au repos, l'authentification à deux facteurs des comptes d'administration, la politique de journalisation et la durée de conservation des traces.
« Le prestataire peut recourir à des sous-traitants. » Sans liste ni droit d'objection, cette clause vous prive de visibilité. Le RGPD prévoit une autorisation, générale ou spécifique, et un délai pour vous opposer à un nouvel intervenant.
« Les données sont hébergées dans le cloud. » Demandez le pays. Un hébergement chez OVHcloud ou Scaleway se documente en une ligne ; un hébergement hors Union européenne suppose un mécanisme de transfert et, souvent, une analyse complémentaire.
Absence de clause d'audit. Vous devez pouvoir demander un questionnaire annuel, un rapport d'audit existant ou, pour les traitements sensibles, une vérification sur pièces. Sans cette clause, vous ne pouvez rien contrôler.
Le lien avec vos autres obligations
Le contrat de sous-traitance ne vit pas seul. Il s'articule avec votre registre des traitements, avec l'analyse d'impact quand le traitement présente un risque élevé pour les personnes, et avec vos procédures internes de gestion d'incident.
Il croise aussi les exigences de sécurité issues d'autres textes. Si vous êtes dans le champ de la directive NIS2, la maîtrise de votre chaîne de fournisseurs devient une obligation en soi : notre article sur les entreprises concernées par NIS2 détaille les secteurs visés et les critères de taille. Les deux chantiers se nourrissent l'un l'autre, car le même inventaire de fournisseurs sert aux deux.
Exemple : un cabinet de radiologie qui confie sa téléexpertise à un éditeur devra vérifier à la fois la clause de sous-traitance, l'hébergement certifié HDS et la réversibilité des données d'imagerie.
Par où commencer cette semaine
- Listez vos fournisseurs qui accèdent à des données personnelles, outils gratuits inclus.
- Pour chacun, retrouvez le contrat et son annexe données. Beaucoup d'éditeurs publient un document type en ligne : archivez la version datée.
- Marquez les trois clauses manquantes les plus fréquentes : délai de notification, liste des sous-traitants ultérieurs, sort des données en fin de contrat.
- Envoyez un avenant ou un courrier de demande. Un fournisseur sérieux répond ; un silence est en soi une information.
- Consignez le résultat dans votre registre, avec une date de revue annuelle.
Nous accompagnons ce travail à distance, du cadrage de l'inventaire à la relecture technique des annexes de sécurité, dans le cadre de nos prestations RGPD et protection des données personnelles et de notre offre conformité RGPD. L'objectif n'est pas d'empiler du papier, mais de savoir, le jour d'un incident, qui doit faire quoi et sous quel délai.
Rédaction Apply
Conformité et protection des données