Article 28 RGPD : clauses du contrat de sous-traitance
Article 28 RGPD : clauses obligatoires, trame d'annexe, contrôle des prestataires, sous-traitance ultérieure et sortie du contrat.
Vous confiez un fichier client à un prestataire, un outil RH héberge les dossiers des salariés ou une société assure la maintenance de votre application. L’article 28 du RGPD encadre les traitements réalisés pour votre compte. Il impose de choisir un sous-traitant offrant des garanties suffisantes et d’organiser la relation dans un contrat ou un autre acte juridique contraignant.
Un document intitulé « DPA » ne suffit pas. Il doit décrire la prestation réelle, les instructions, les mesures de sécurité, les autres prestataires impliqués et la sortie du service. Voici les clauses à vérifier et une trame pour préparer les annexes.
Quand l’article 28 du RGPD s’applique-t-il ?
La qualification dépend des opérations réalisées. Un sous-traitant au sens du RGPD traite des données pour le compte d’un responsable du traitement. La seule qualité de fournisseur, ou le seul fait de recevoir des données, ne permet pas de conclure.
Exemple fictif : une PME fixe les finalités de gestion de ses salariés et utilise un logiciel hébergé pour les mettre en œuvre. Le fournisseur peut agir comme sous-traitant pour l’hébergement et les fonctions exécutées sur instruction. Ses traitements pour sa propre facturation ou d’autres finalités doivent être qualifiés séparément.
La CNIL rappelle que les faits déterminent les rôles, indépendamment de l’étiquette du contrat. Un même acteur peut donc avoir plusieurs qualités selon les traitements. Si deux organismes déterminent conjointement les finalités et les moyens, il faut examiner l’article 26, plutôt que forcer la relation dans un contrat de sous-traitance.
Pour les services cloud, la grille publiée par la CNIL le 28 mai 2026 distingue notamment la fourniture du service, son amélioration et la sécurité. L’expression « amélioration du produit » ne permet pas de présumer que toutes les réutilisations restent réalisées pour le compte du client.
Choisir le prestataire avant de signer
L’Art. 28(1) exige des garanties suffisantes. L’évaluation doit porter sur la capacité du prestataire à protéger les données et à respecter les obligations, pas seulement sur sa réponse « conforme au RGPD ».
Demandez des éléments proportionnés au traitement : mesures d’accès, sauvegardes, gestion des incidents, localisation, chaîne de sous-traitance et modalités de restitution. Notre questionnaire d’évaluation des sous-traitants aide à organiser ces demandes.
Une certification peut contribuer à l’évaluation ; vérifiez son périmètre et les activités qu’elle couvre. Elle ne remplace pas toutes les autres vérifications. La fiche sécurité de la CNIL sur la sous-traitance recommande notamment de contrôler l’effectivité des garanties et de prévoir leur réexamen.
Si les garanties sont insuffisantes, il faut résoudre le problème avant de confier les opérations concernées. Un plan de correction en cours ne constitue pas, à lui seul, une dérogation à l’article 28. Hiérarchisez les lacunes, les conditions de démarrage et, si nécessaire, le choix d’une autre solution.
Les clauses obligatoires : grille de contrôle
Le texte de l’article 28 précise le contenu du contrat et permet une forme électronique, à l’Art. 28(9). Les dispositions peuvent être intégrées au contrat principal ou à une annexe contraignante. Ce qui compte est leur portée et leur contenu.
| Point à vérifier | Exigence et traduction dans le contrat |
|---|---|
| Description du traitement — Art. 28(3) | Objet, durée, nature, finalité, types de données, catégories de personnes, obligations et droits du responsable |
| Instructions — Art. 28(3)(a) | Instructions documentées, y compris pour les transferts ; traitement de l’exception légale et information du responsable sauf interdiction prévue par le droit applicable |
| Confidentialité — Art. 28(3)(b) | Engagement des personnes autorisées ou obligation légale appropriée |
| Sécurité — Art. 28(3)(c) | Mesures requises par l’article 32, adaptées aux risques et décrites concrètement |
| Sous-traitants ultérieurs — Art. 28(2), (3)(d) et (4) | Autorisation préalable écrite, spécifique ou générale ; obligations répercutées dans la chaîne |
| Exercice des droits — Art. 28(3)(e) | Assistance par des mesures appropriées, dans toute la mesure du possible, selon la nature du traitement |
| Sécurité, violations, AIPD et consultation — Art. 28(3)(f) | Assistance du responsable pour ses obligations des articles 32 à 36, selon les informations disponibles et la nature du traitement |
| Fin de prestation — Art. 28(3)(g) | Suppression ou renvoi au choix du responsable, destruction des copies, sauf conservation exigée par le droit applicable |
| Preuves et audits — Art. 28(3)(h) | Informations démontrant la conformité, audits et inspections par le responsable ou un auditeur mandaté, contribution du prestataire |
| Instruction contraire au droit | Information immédiate du responsable lorsque le sous-traitant estime qu’une instruction viole les règles applicables de protection des données |
La rédaction doit permettre d’exécuter ces obligations. « Le prestataire respecte le RGPD » ne précise ni la procédure d’alerte ni le contenu d’un export de sortie.
Trame d’annexe à compléter
Cette trame sert à préparer un contrat adapté. Elle ne constitue pas un contrat complet prêt à signer : les choix, délais opérationnels et mesures doivent être renseignés et rapprochés des clauses ci-dessus.
1. Décrire la prestation et les instructions
Le sous-traitant réalise pour le compte du responsable les opérations suivantes : [opérations]. Elles poursuivent les finalités suivantes : [finalités]. Les catégories de personnes, de données et les durées sont décrites dans [annexe]. Les instructions documentées sont communiquées par [personnes habilitées, canal et procédure de modification].
Précisez les opérations autorisées : hébergement, consultation par le support, export, effacement, sauvegarde. Vérifiez que le contrat couvre les environnements réellement utilisés, notamment les copies de diagnostic ou de recette contenant des données personnelles.
2. Décrire la sécurité et les responsabilités pratiques
L’annexe sécurité doit attribuer les tâches : configuration des comptes, authentification, habilitations, sauvegardes, protection des échanges, journalisation et gestion des vulnérabilités. Identifiez ce qui relève du client et ce que le fournisseur exécute.
Ajoutez la procédure de modification de ces mesures et les informations permettant de vérifier leur efficacité. L’article 32 impose un niveau adapté au risque ; il ne fixe pas un outil ou une certification universels pour chaque contrat.
3. Encadrer les prestataires ultérieurs
Choisissez entre autorisation spécifique et autorisation générale écrite. Dans le second cas, organisez l’information préalable sur tout ajout ou remplacement et une possibilité effective d’objection. Indiquez l’identité des intervenants, leurs opérations et leurs lieux de traitement.
Définissez un délai et une procédure utilisables, ainsi que les conséquences d’une objection. L’article 28 ne fixe pas un préavis universel de trente jours. Le sous-traitant initial doit imposer les mêmes obligations de protection des données au sous-traitant ultérieur et demeure pleinement responsable envers le responsable de leur exécution par celui-ci, conformément à l’Art. 28(4).
4. Organiser les alertes et l’assistance
Le sous-traitant informe le responsable de toute violation de données dans les meilleurs délais après en avoir pris connaissance. Il utilise [canal d’alerte et contacts], transmet les éléments disponibles et complète les informations sans attendre la clôture de l’enquête. Les parties organisent l’assistance et les échanges nécessaires aux obligations des articles 32 à 36.
L’Art. 33(2) ne donne pas au sous-traitant un délai standard de 72 heures pour prévenir son client. Fixez des engagements opérationnels permettant au responsable d’évaluer sa propre obligation de notification d’une violation.
Pour les demandes de droits, indiquez également à qui transmettre une demande reçue directement, quelles actions peuvent être exécutées sur instruction et comment tracer les réponses. Une promesse abstraite d’assistance ne suffit pas à organiser le traitement d’une demande réelle.
5. Préparer la sortie et les contrôles
Définissez le choix entre retour et suppression, le format de restitution, les vérifications du client et le traitement des copies. Si une conservation est légalement exigée, identifiez le fondement, les seules données concernées, la durée et les restrictions d’usage.
Les sauvegardes doivent faire partie du dispositif de sortie : calendrier d’effacement, protection pendant la période résiduelle et maîtrise d’une restauration éventuelle. Une difficulté technique ne crée pas une autorisation générale de conservation indéfinie.
Organisez enfin les preuves disponibles et les audits : interlocuteur, préavis adapté, confidentialité, rapports existants et inspections lorsque nécessaires. Les modalités convenues doivent préserver l’effectivité du droit d’audit prévu à l’article 28.
Trois points à ne pas oublier
Les transferts internationaux. Un DPA ne résout pas à lui seul les exigences du chapitre V. Identifiez les destinataires, les lieux d’hébergement et les accès depuis d’autres pays, puis examinez le mécanisme applicable. Le guide des transferts de données hors de l’Union européenne détaille cette analyse.
Les réutilisations pour le compte du fournisseur. La CNIL encadre leur autorisation écrite et l’analyse de compatibilité lorsqu’elle s’applique. Une permission générale d’utiliser toutes les données pour tout développement futur ne remplace pas l’examen d’une finalité déterminée. Le fournisseur doit assumer les obligations liées à son rôle pour ce traitement propre.
Le contrat commercial. Prix, niveaux de service et réversibilité doivent être cohérents avec l’annexe de protection des données. Pour une application hébergée, rapprochez ces clauses de votre contrat SaaS : une promesse de restitution dans une annexe ne doit pas devenir impraticable dans une autre.
Ce qu’il faut retenir
- Qualifiez chaque traitement avant d’appliquer l’article 28 : tous les fournisseurs ne sont pas des sous-traitants pour toutes leurs opérations.
- Vérifiez les garanties et concluez un acte écrit contraignant avant les opérations confiées.
- Décrivez concrètement les instructions, la sécurité, l’assistance et la chaîne de sous-traitance.
- Organisez le retour ou la suppression au choix du responsable, les copies et les exceptions légales.
- Prévoyez des preuves et un contrôle effectifs pendant la relation, ainsi qu’une sortie réalisable.
FAQ
Un contrat de sous-traitance séparé est-il obligatoire ?
Un acte écrit contraignant comportant les exigences de l’article 28 est nécessaire. Il peut prendre la forme d’une annexe ou de clauses intégrées au contrat principal ; le RGPD n’impose pas un document séparé portant le nom DPA.
Le sous-traitant doit-il toujours supprimer les données à la fin ?
L’Art. 28(3)(g) prévoit la suppression ou le renvoi selon le choix du responsable, ainsi que la destruction des copies, sauf conservation exigée par le droit applicable. Le contrat doit permettre d’exécuter ce choix et de contrôler les exceptions.
Une certification du fournisseur remplace-t-elle le contrat ?
Non. Elle peut contribuer à démontrer certaines garanties, selon sa nature et son périmètre. Elle ne remplace ni les clauses obligatoires ni l’évaluation adaptée aux opérations confiées.
Le fournisseur peut-il changer librement de sous-traitant ultérieur ?
Il doit respecter l’autorisation préalable écrite, spécifique ou générale. En cas d’autorisation générale, le responsable doit être informé des ajouts ou remplacements prévus et pouvoir formuler des objections.
Pour recevoir des grilles de contrôle et suivre les évolutions du RGPD, inscrivez-vous à la newsletter.
Thiébaut Devergranne, docteur en droit, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données. Il est le fondateur de donneespersonnelles.fr et de Legiscope.