Article 28 du RGPD : sous-traitants et clauses du contrat

Vous confiez votre paie à un prestataire, votre hébergement à un fournisseur cloud, vos campagnes à un outil d'emailing. À chaque fois, des données personnelles sortent de chez vous pour être traitées par un tiers. L'article 28 du RGPD encadre cette relation et impose un contrat écrit avec des clauses concrètes.

Cet article explique ce que recouvre l'article 28 du RGPD : la distinction entre responsable de traitement et sous-traitant, les obligations de chacun, et la liste des clauses que doit contenir un contrat de sous-traitance. Vous saurez quoi vérifier avant de signer un tel contrat.

Définition — Au sens du RGPD, un sous-traitant est toute personne physique ou morale qui traite des données personnelles pour le compte d'un responsable de traitement et selon ses instructions. Un hébergeur, un prestataire de paie, un éditeur de logiciel en ligne ou une agence marketing sont des sous-traitants lorsqu'ils manipulent vos données pour vous.

Points clés

• L'article 28 du RGPD encadre la relation entre un responsable de traitement et son sous-traitant.
• Il impose un contrat écrit, souvent appelé DPA (data processing agreement), entre les deux parties.
• Le sous-traitant n'agit que sur instructions documentées du responsable de traitement.
• Le contrat doit contenir des clauses précises : finalités, durée, sécurité, sous-traitance ultérieure, assistance, sort des données, audits.
• Choisir un sous-traitant qui présente des garanties suffisantes fait partie des obligations du responsable de traitement.

Responsable de traitement et sous-traitant : qui fait quoi

L'article 28 repose sur une distinction simple : le responsable de traitement décide, le sous-traitant exécute. Le responsable de traitement définit les finalités et les moyens du traitement. Le sous-traitant, lui, traite les données pour le compte du responsable, en suivant ses instructions.

Prenons un exemple. Une entreprise qui utilise un logiciel de paie en ligne est responsable de traitement : c'est elle qui décide de gérer la paie et pourquoi. L'éditeur du logiciel est sous-traitant : il traite les données de paie, mais uniquement pour rendre le service commandé.

Cette qualification n'est pas un détail. Elle détermine les obligations de chacun et la répartition des responsabilités en cas de problème. Une même société peut d'ailleurs cumuler les deux rôles selon les traitements. Notre article RGPD, c'est quoi ? reprend ces notions de base.

Bon à savoir — Chaque rôle tient son propre registre : le responsable documente les traitements qu'il décide, le sous-traitant ceux qu'il réalise pour ses clients. Notre modèle de registre des traitements détaille les deux versions.

Les obligations du sous-traitant selon l'article 28

Le sous-traitant n'est plus un simple exécutant sans compte à rendre. L'article 28 lui impose des obligations directes, dont il répond lui-même, au-delà des seules instructions de son client.

Il ne traite les données que sur instructions documentées du responsable. Il garantit la confidentialité, en veillant à ce que les personnes autorisées à traiter les données y soient tenues. Il met en place des mesures de sécurité adaptées au risque.

Il doit aussi aider le responsable à répondre aux demandes des personnes concernées et à gérer les violations de données. En fin de prestation, il restitue ou supprime les données selon le choix du responsable, et tient à disposition les informations nécessaires pour démontrer sa conformité.

Attention — Un sous-traitant qui décide seul d'une nouvelle finalité, en dehors des instructions reçues, devient responsable de traitement pour cet usage et en assume les conséquences. La ligne entre exécuter et décider doit rester claire dans le contrat.

Le contrat de sous-traitance : un écrit obligatoire

L'article 28 exige un contrat écrit entre le responsable de traitement et le sous-traitant. Sans ce document, la relation est irrégulière, même si le prestataire travaille bien. Ce contrat est souvent désigné par son sigle anglais DPA, pour data processing agreement.

Le contrat peut prendre la forme d'un accord dédié ou d'un avenant intégré aux conditions générales du prestataire. Ce qui compte, c'est son contenu, pas son intitulé : il doit lier les deux parties et couvrir toutes les mentions prévues par le texte.

Ce contrat ne se limite pas à une formalité. Il répartit les rôles, fixe les règles de sécurité et prévoit ce qui se passe en fin de relation. C'est aussi la pièce qu'un contrôle réclamera pour vérifier que vous encadrez vos prestataires. Anticiper ces exigences dès le choix d'un outil relève d'une logique de privacy by design, qui évite de renégocier une fois le service lancé.

Conseil — Ne signez pas les conditions d'un prestataire sans lire la partie protection des données. Beaucoup de contrats standards sont incomplets sur la sous-traitance ultérieure ou le sort des données. Si vous avez un doute, prenez contact : un premier échange suffit souvent à repérer les clauses manquantes.

Les clauses que doit contenir le contrat

L'article 28 du RGPD fixe une liste de mentions que le contrat de sous-traitance doit contenir. Voici les clauses attendues, telles qu'exigées par le texte, sous une forme directement vérifiable avant signature.

• Objet, durée, nature et finalité du traitement : ce que le sous-traitant traite, pourquoi et pour combien de temps.
• Type de données et catégories de personnes concernées : quelles données sont confiées et à qui elles se rapportent.
• Traitement sur instructions documentées : le sous-traitant n'agit que sur instructions du responsable, y compris pour les transferts hors de l'Union européenne.
• Confidentialité : les personnes autorisées à traiter les données s'engagent à la confidentialité.
• Sécurité : des mesures techniques et organisationnelles adaptées au risque sont mises en place.
• Sous-traitance ultérieure : le sous-traitant ne recrute pas un autre sous-traitant sans autorisation du responsable, et lui impose les mêmes obligations.
• Assistance au responsable : aide pour répondre aux demandes des personnes concernées et pour les analyses d'impact ou notifications de violation.
• Sort des données en fin de contrat : restitution ou suppression des données, au choix du responsable, à la fin de la prestation.
• Audits et mises à disposition : le sous-traitant fournit les informations nécessaires et permet des audits ou inspections.

Bon à savoir — La CNIL publie des guides et des exemples de clauses de sous-traitance pour rédiger ou vérifier un contrat. Vous les trouverez sur le site de la CNIL, avec ses fiches pratiques sur les rôles et responsabilités.

Les obligations du responsable de traitement

L'article 28 ne pèse pas que sur le sous-traitant. Le responsable de traitement a l'obligation de ne faire appel qu'à des sous-traitants présentant des garanties suffisantes quant à la protection des données. Le choix du prestataire fait donc partie de la conformité.

Concrètement, cela veut dire évaluer un prestataire avant de lui confier des données : ses mesures de sécurité, ses certifications, sa localisation, sa propre chaîne de sous-traitance. Un contrat conforme ne dispense pas de cette vérification en amont.

Le responsable garde ensuite la main : il donne les instructions, autorise ou refuse une sous-traitance ultérieure, décide du sort des données en fin de contrat. Sur la durée, désigner un DPO externe aide à tenir ce suivi sans mobiliser une ressource interne à plein temps, dans une mise en conformité RGPD priorisée par les risques réels.

Attention — La responsabilité ne se transfère pas au sous-traitant par le seul fait de la sous-traitance. En cas de manquement, le responsable de traitement peut rester engagé s'il a choisi un prestataire sans garanties ou donné des instructions non conformes.

Article 28 et intelligence artificielle

Les outils d'intelligence artificielle rebattent les cartes de la sous-traitance. Beaucoup de solutions d'IA sont fournies par des tiers qui traitent, pour votre compte, les données que vous leur transmettez. Ils sont alors sous-traitants au sens de l'article 28, avec les mêmes exigences de contrat et de clauses.

La question devient sensible sur deux points. D'abord la sous-traitance ultérieure, car ces services reposent sur des chaînes de prestataires longues et parfois hors de l'Union européenne. Ensuite l'usage des données, car il faut vérifier que le fournisseur ne les réutilise pas pour ses propres finalités, comme l'entraînement de modèles, sans base légale.

À ces obligations RGPD s'ajoutent celles de la conformité à l'AI Act, qui se combine au cadre existant. Les deux logiques se rejoignent : documenter qui traite quoi, sous quelles instructions, avec quelles garanties. Le cabinet mydari accompagne cette combinaison auprès de plus de dix organisations.

Conseil — Avant d'adopter un outil d'IA qui traite des données personnelles, réclamez son contrat de sous-traitance et vérifiez la clause d'usage des données. Si vous voulez cadrer ce point sur votre situation, échangeons ensemble pour définir les vérifications à mener.

FAQ

Qu'est-ce que l'article 28 du RGPD ?

L'article 28 du RGPD encadre la relation entre un responsable de traitement et son sous-traitant. Il impose un contrat écrit et fixe les obligations du sous-traitant, ainsi que les clauses que ce contrat doit contenir. Il vise à garantir que les données confiées à un prestataire restent protégées.

Qu'est-ce qu'un sous-traitant au sens du RGPD ?

Un sous-traitant est une personne ou une organisation qui traite des données personnelles pour le compte d'un responsable de traitement, selon ses instructions. Un hébergeur, un prestataire de paie, un éditeur de logiciel en ligne ou une agence marketing sont des sous-traitants lorsqu'ils manipulent vos données pour vous.

Un contrat de sous-traitance est-il obligatoire ?

Oui. L'article 28 impose un contrat écrit entre le responsable de traitement et le sous-traitant dès que des données personnelles sont confiées. Sans ce contrat, la relation est irrégulière, même si le prestataire travaille bien. Ce document est souvent appelé DPA, pour data processing agreement.

Quelles clauses doit contenir un contrat de sous-traitance ?

Le contrat doit préciser l'objet, la durée, la nature et la finalité du traitement, le type de données et les personnes concernées. Il prévoit aussi le traitement sur instructions, la confidentialité, la sécurité, l'encadrement de la sous-traitance ultérieure, l'assistance au responsable, le sort des données en fin de contrat et les audits.

Quelle différence entre responsable de traitement et sous-traitant ?

Le responsable de traitement décide des finalités et des moyens du traitement. Le sous-traitant traite les données pour son compte, en suivant ses instructions. Une même société peut être responsable pour ses propres traitements et sous-traitant pour ceux qu'elle réalise au service de ses clients.

Le sous-traitant peut-il recourir à un autre sous-traitant ?

Oui, mais pas librement. La sous-traitance ultérieure suppose une autorisation du responsable de traitement. Le sous-traitant initial doit imposer au nouveau prestataire les mêmes obligations que celles de son propre contrat, et reste tenu vis-à-vis du responsable de leur respect par les prestataires qu'il mobilise.

Que devient-on des données à la fin du contrat ?

À la fin de la prestation, le sous-traitant restitue ou supprime les données personnelles, au choix du responsable de traitement, ainsi que les copies existantes, sauf obligation légale de conservation. Cette clause doit figurer dans le contrat pour éviter qu'un prestataire ne conserve des données au-delà de la relation.

Conclusion

L'article 28 du RGPD transforme chaque relation avec un prestataire qui traite vos données en un rapport encadré par un contrat précis. C'est ainsi que vous gardez la maîtrise de données que vous ne traitez plus vous-même. Un contrat de sous-traitance bien construit protège les deux parties.

La suite dépend de votre situation. Si vous voulez vérifier vos contrats de sous-traitance ou en cadrer un nouveau, prenez contact avec nos équipes : nous identifions ensemble les clauses à sécuriser. Pour approfondir, parcourez le blog, notamment la marche à suivre en cas de violation de données.

L'équipe mydari

Tous les articles