Qu’est-ce qu’un contrat de sous-traitance RGPD ?
C’est le contrat qui encadre les données personnelles qu’un prestataire traite pour son client. Si une entreprise française vous confie celles de ses clients ou de ses salariés, elle est responsable du traitement, vous êtes son sous-traitant, et le droit de l’Union fixe le contenu du contrat.
Pourquoi le RGPD l’impose
L’article 28 du règlement général sur la protection des données (RGPD), règlement (UE) 2016/679, vérifié en octobre 2026, exige que le traitement par un sous-traitant soit régi par un contrat ou un autre acte juridique qui le lie au responsable du traitement, par écrit, y compris sous forme électronique (article 28.9). L’article 83.4 expose les deux parties à des amendes pour la violation de leurs obligations au titre des articles 25 à 39, dont l’article 28.
Un document, plusieurs noms
Contrat de sous-traitance, accord de traitement des données ou DPA, pour data processing agreement ou addendum, puisqu’il s’annexe souvent au contrat principal : le contenu de l’article 28 compte, pas le nom. Sa place parmi les attentes d’un client français est expliquée dans le guide pour faire des affaires en France.
Êtes-vous responsable du traitement ou sous-traitant ?
Vous êtes sous-traitant lorsque vous traitez les données pour les finalités de votre client. Selon l’article 4.7 et 4.8 du RGPD, le responsable du traitement détermine, seul ou avec d’autres, les finalités et les moyens du traitement ; le sous-traitant traite les données pour son compte.
Le critère : qui décide pourquoi et comment
Une plateforme SaaS qui stocke le fichier clients d’une entreprise, une agence qui envoie sa lettre d’information, un développeur indépendant qui accède à sa base de production : chacun agit pour les finalités du client et, pour ces données, il est sous-traitant. Ni la taille du prestataire ni l’auteur du contrat ne changent la réponse.
Les deux à la fois, ou à plusieurs
Un éditeur SaaS est souvent les deux : sous-traitant pour les données que charge son client, responsable du traitement pour sa propre facturation et sa prospection. Deux entreprises qui décident ensemble sont responsables conjoints, liées par un accord au titre de l’article 26, non par un DPA.
Que doit contenir un DPA ?
Une description du traitement et les huit obligations de l’article 28.3, points a) à h). Qu’une seule manque, et le contrat ne répond plus à l’article.
La description du traitement
Le contrat définit l’objet et la durée du traitement, sa nature et sa finalité, le type de données, les catégories de personnes concernées, et les obligations et droits du responsable du traitement (article 28.3). En pratique, une annexe dit ce que fait votre service des données, pendant combien de temps, quelles données et celles de qui.
Les huit obligations
| Clause | Ce que cela signifie pour vous | Article du RGPD |
|---|---|---|
| Instructions | Vous n’agissez que sur instruction documentée, transferts compris, sauf obligation légale | Article 28.3 a) |
| Confidentialité | Les personnes autorisées sont tenues à la confidentialité | Article 28.3 b) |
| Sécurité | Vous prenez les mesures requises par l’article 32 | Article 28.3 c) |
| Sous-traitance ultérieure | Autorisation écrite préalable, et les mêmes obligations répercutées | Articles 28.3 d), 28.2 et 28.4 |
| Exercice des droits | Vous aidez le client à répondre aux demandes d’exercice des droits | Article 28.3 e) |
| Sécurité, violations, analyses | Vous aidez le client à respecter les articles 32 à 36 | Article 28.3 f) |
| Fin de la prestation | Vous supprimez ou renvoyez les données au choix du client, et détruisez les copies | Article 28.3 g) |
| Informations et audits | Vous démontrez votre conformité et permettez les audits, inspections comprises | Article 28.3 h) |
L’article 28.3 ajoute un devoir : informer immédiatement le responsable du traitement si, selon vous, une instruction viole le droit de la protection des données. Se taire n’est pas neutre.
Où se placent les sous-traitants ultérieurs ?
Votre hébergeur, votre service d’e-mails et votre outil de support sont des sous-traitants ultérieurs. Le RGPD les admet à deux conditions : l’autorisation écrite du client et un contrat qui leur répercute vos obligations.
Votre client vous donne ses instructions ; vous imposez les mêmes obligations à chaque sous-traitant ultérieur. Notifications de violation et assistance remontent jusqu’au client, et un sous-traitant ultérieur hors de l’Union ajoute un transfert.
Autorisation spécifique ou générale
L’article 28.2 exige l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Spécifique : un accord par sous-traitant ultérieur. Générale : une liste convenue, et l’obligation d’informer le client de tout ajout ou remplacement prévu pour qu’il puisse s’y opposer ; le contrat fixe le délai de prévenance.
Les mêmes obligations, et une pleine responsabilité
L’article 28.4 impose de répercuter par contrat les mêmes obligations au sous-traitant ultérieur, et vous laisse pleinement responsable devant le client s’il y manque. Si vos fournisseurs promettent moins que vous, l’écart est à votre charge.
Qu’exigent la sécurité et les violations de données ?
Une sécurité adaptée au risque, et de la rapidité en cas d’incident. Le RGPD fixe le niveau ; le DPA le traduit en mesures et en délais.
La sécurité est un niveau, pas une liste
L’article 32 exige un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement. Il cite la pseudonymisation et le chiffrement, la résilience des systèmes, le rétablissement de l’accès après un incident et des tests réguliers. L’annexe de sécurité du DPA décrit vos mesures.
Les violations, et les heures que demande votre client
Vous notifiez au responsable du traitement toute violation de données dans les meilleurs délais après en avoir pris connaissance (article 33.2) ; le RGPD ne fixe pas d’heures au sous-traitant. Votre client notifie son autorité de contrôle, en France la CNIL, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33.1). D’où les 24 ou 48 heures qu’il peut vous demander : un délai contractuel, non légal.
Pouvez-vous utiliser un modèle de contrat de sous-traitance ?
Oui : la Commission européenne en a rédigé un. Sur le fondement de l’article 28.7, elle a adopté des clauses contractuelles types dans la décision d’exécution (UE) 2021/915, en vigueur sur EUR-Lex en octobre 2026 ; l’article 28.6 permet d’y adosser un contrat, en tout ou en partie.
Ce que font les clauses de la Commission
Elles suivent l’article 28 point par point, des instructions à la résiliation. Les parties s’engagent à ne pas les modifier, sauf pour compléter ou mettre à jour les annexes, mais peuvent les insérer dans un contrat plus large et y ajouter des clauses qui ne les contredisent pas (clause 2). Elles n’assurent pas, à elles seules, le respect des règles de transfert (clause 1).
Les annexes font le contrat
L’essentiel tient dans quatre annexes : les parties, la description du traitement, les mesures techniques et organisationnelles et, en cas d’autorisation spécifique, les sous-traitants ultérieurs. La note de l’annexe III exige une description concrète des mesures, non générique. Même le délai de prévenance reste en blanc. Un modèle épargne la rédaction ; il ne tranche aucune de vos questions.
Que change un transfert hors de l’Union ?
Un transfert vers un sous-traitant ou un sous-traitant ultérieur hors de l’Union doit aussi respecter le chapitre V du RGPD, articles 44 à 49, qui s’impose aux deux, transferts ultérieurs compris (article 44).
| Où se trouve le destinataire | Ce qui permet le transfert | Texte, vérifié en octobre 2026 |
|---|---|---|
| Union européenne | Pas de transfert au sens du chapitre V | Article 28 |
| Royaume-Uni | Décision d’adéquation, jusqu’au 27 décembre 2031 sauf prorogation | Décision (UE) 2021/1772, modifiée par la décision (UE) 2025/2574 |
| États-Unis, organisation inscrite sur la liste | Décision d’adéquation, pour les seules organisations inscrites | Décision (UE) 2023/1795 |
| États-Unis, organisation non inscrite | Clauses contractuelles types et analyse documentée du transfert | Article 46.2 c) ; décision (UE) 2021/914, clause 14 |
| Canada, destinataire soumis à la loi fédérale LPRPDE | Décision d’adéquation antérieure au RGPD, maintenue en vigueur | Décision 2002/2/CE ; article 45.9 |
| Autre pays sans décision d’adéquation | Clauses contractuelles types ou autre garantie de l’article 46 | Article 46 |
Les décisions d’adéquation
Vers un pays que la Commission a jugé adéquat, le transfert ne nécessite aucune autorisation spécifique (article 45.1). La décision relative au Royaume-Uni expire le 27 décembre 2031, sauf prorogation (décision d’exécution (UE) 2025/2574).
La décision sur le cadre de protection des données UE-États-Unis ne couvre que les organisations inscrites sur la liste tenue par le ministère du commerce américain ; le Tribunal de l’Union européenne a rejeté un recours contre elle le 3 septembre 2025 (affaire T-553/23). Les deux décisions sont en vigueur sur EUR-Lex en octobre 2026 : vérifiez-les, avec l’inscription de votre fournisseur, à la signature.
Les clauses contractuelles types et l’analyse du transfert
À défaut, l’article 46 exige des garanties appropriées, comme les clauses de la décision d’exécution (UE) 2021/914. Leurs quatre modules couvrent chaque combinaison de rôles, pour des importateurs dont le traitement n’est pas soumis au RGPD (article premier). Selon la clause 14, les parties évaluent et documentent si le droit et les pratiques du pays de destination empêchent l’importateur de respecter les clauses : c’est l’analyse d’impact des transferts.
Si l’article 3.2 s’applique à un prestataire établi hors de l’Union, l’article 27 lui impose en outre de désigner par écrit un représentant dans l’Union.
Que risquez-vous, et que négocier ?
La loi fixe la responsabilité et les amendes ; le contrat fixe plafonds, audits et délais, et c’est lui qu’il faut lire de près.
Responsabilité et amendes
Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD peut obtenir réparation du responsable du traitement ou du sous-traitant (article 82.1). Le sous-traitant n’en répond que s’il a manqué aux obligations propres aux sous-traitants, ou agi en dehors ou à l’encontre des instructions licites du responsable du traitement (article 82.2). Si les deux sont responsables, chacun répond de tout le dommage, puis réclame à l’autre sa part (article 82.4 et 82.5).
Les amendes visent aussi les sous-traitants : jusqu’à 10 000 000 euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, pour les articles 25 à 39 (article 83.4) ; jusqu’à 20 000 000 euros ou 4 % pour les règles de transfert (article 83.5).
Côté français : la CNIL et la langue
L’article 8 de la loi n° 78-17 du 6 janvier 1978, dite Informatique et libertés, vérifié en octobre 2026, fait de la CNIL l’autorité de contrôle nationale au sens du RGPD et la charge de publier des lignes directrices pour les responsables de traitement et leurs sous-traitants. Un client français peut vous envoyer son propre DPA, rédigé en français. Le RGPD n’impose aucune langue ; un contrat bilingue précise quelle version prévaut. La loi applicable et la langue du contrat principal sont traitées dans le guide pour faire des affaires en France.
Cinq points à négocier
- Plafond de responsabilité. En droit français, la clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite (article 1170 du Code civil), et la limite au dommage prévisible tombe en cas de faute lourde ou dolosive (article 1231-3). Aucun plafond n’est opposable aux personnes concernées.
- Audits. Les clauses de la Commission visent des audits à intervalles raisonnables ou en présence d’indices de non-conformité ; fixez la fréquence, le délai de prévenance et le poids des certifications.
- Sous-traitants ultérieurs. La liste initiale, l’annonce des changements, le délai de prévenance et les suites d’une opposition du client.
- Délai de notification. Un nombre d’heures tenable, compté dès la prise de connaissance, avec une première notification complétée ensuite, comme l’admet la clause 9.2 de la Commission.
- Assistance. Ce qui vaut instruction documentée, et la facturation de l’aide qui dépasse la prestation.
Concord relit le DPA que vous envoie votre client, rédige le vôtre pour vos fournisseurs et prépare les clauses de transfert : voir contrat de sous-traitance et transferts de données. Si la relecture révèle des manques plus larges, du registre des traitements au représentant dans l’Union, un audit de conformité RGPD les remet en ordre. Envoyez-nous le DPA que l’on vous demande de signer.