Article 40 RGPD : choisir un code de conduite

Un fournisseur affirme respecter un « code RGPD ». Cette formule ne permet pas encore de conclure que son service adhère à un code approuvé au sens de l’article 40. Il faut obtenir le texte exact, sa décision d’approbation et la preuve que les traitements achetés entrent dans le périmètre de l’adhésion.

À quoi sert un code de conduite RGPD ?

L’Art. 40(1)–(2) encourage les codes qui précisent l’application du règlement à un secteur ou à une catégorie de traitements, en tenant compte des besoins des petites entreprises. Ils peuvent notamment détailler la loyauté, les intérêts légitimes, l’information, les droits, la sécurité ou les violations de données. Ils traduisent donc des obligations générales dans un contexte professionnel déterminé. Source : RGPD, Art. 40(1)–(2).

Pour un acheteur, leur intérêt est concret : ils peuvent fournir des critères adaptés au service, des procédures communes et un dispositif de suivi. Leur valeur dépend toutefois du champ couvert. Un code consacré aux données des clients ne renseigne pas nécessairement sur la gestion des candidats ou des salariés.

Un code professionnel publié sur le site d’une fédération ne bénéficie pas automatiquement du statut de l’article 40. De même, une politique interne ou une charte commerciale ne constitue pas, par son intitulé, un code approuvé.

Exemple français : le code de l’Alliance du Commerce

La délibération n° 2026-013 du 12 février 2026 approuve le code porté par l’Alliance du Commerce, présenté par la CNIL en avril 2026. Son champ concerne certaines enseignes de l’habillement et de la chaussure, membres de cette organisation, pour les traitements de données de leurs clients particuliers. Les fichiers fournisseurs et salariés sont exclus. La CNIL précise aussi que l’approbation du code doit être suivie de l’agrément de son organisme de contrôle pour permettre sa mise en œuvre. Enfin, ce code n’est pas un instrument encadrant les transferts internationaux. Source : CNIL, annonce du 28 avril 2026.

Cet exemple donne trois questions à poser avant d’invoquer un code : l’entreprise est-elle éligible, les traitements sont-ils couverts et le dispositif de contrôle est-il effectivement opérationnel ? La date d’une annonce d’approbation ne suffit pas à répondre aux trois.

Les preuves à demander avant de retenir un fournisseur

Préparez une courte fiche de vérification :

Conservez le résultat avec le contrat de sous-traitance de l’article 28. L’adhésion aide à apprécier les garanties du prestataire ; elle ne rédige pas à votre place les instructions, les catégories de données, les conditions de recours à d’autres sous-traitants ou la restitution en fin de contrat.

Approbation et contrôle : deux étapes différentes

Un code couvrant plusieurs États membres suit un circuit impliquant le CEPD. Une éventuelle décision de la Commission lui conférant une validité générale est encore une étape distincte. Il faut donc lire la portée de la décision obtenue, sans transformer une approbation nationale en validité générale européenne. Source : RGPD, Art. 40(5)–(11).

Le contrôle des adhérents relève du mécanisme prévu par le code et, dans le cadre de l’Art. 41, d’un organisme agréé. Celui-ci peut notamment suspendre ou exclure un adhérent. Les pouvoirs de l’autorité de contrôle subsistent. Le régime de l’Art. 41 comporte une exception pour les traitements des autorités et organismes publics. Notre guide sur l’organisme de contrôle d’un code précise cette fonction, différente de celle d’un certificateur.

En pratique, notez qui reçoit une plainte, qui décide d’un écart et comment l’acheteur apprend la suspension d’un fournisseur. Prévoyez une alerte contractuelle lorsqu’un engagement d’adhésion a compté dans votre décision d’achat.

Un code peut-il encadrer un transfert hors EEE ?

Le RGPD prévoit cette possibilité, mais un code quelconque ne suffit pas. Les Art. 40(3) et 46(2)(e) exigent un mécanisme répondant aux conditions applicables et des engagements contraignants et exécutoires de l’importateur. L’adhésion à un code sectoriel ne remplace donc pas l’analyse du transfert. Source : RGPD, Art. 40(3).

Avant de retenir cette voie, identifiez le flux, l’importateur et la disposition exacte autorisant l’utilisation du code. Documentez séparément le fondement du transfert au titre de l’article 46. Une certification RGPD constitue un autre mécanisme, avec ses propres critères.

Transformer les pièces en décision d’achat

Une collection de documents ne vaut pas une conclusion. Le dossier doit expliquer quelles garanties sont pertinentes pour le service acheté, lesquelles ne le couvrent pas et quelles vérifications restent nécessaires. L’Art. 28(5) permet de tenir compte d’un code approuvé pour apprécier les garanties suffisantes du sous-traitant ; il ne dispense pas du reste de l’analyse.

Prenons un dossier fictif, sans désigner un code ou un fournisseur réel. L’entreprise Acanthe examine une offre de gestion documentaire du groupe Brume. La brochure affiche l’adhésion au code d’une société du groupe, tandis que le devis prévoit un service principal et une option d’analyse des documents.

La conclusion provisoire peut être formulée ainsi : « Les pièces disponibles établissent un périmètre distinct de l’offre examinée. L’adhésion n’est donc pas retenue comme preuve couvrant notre prestation à ce stade. Demander les justificatifs correspondants et poursuivre l’évaluation des autres garanties. »

Cette décision ne signifie pas que le fournisseur est nécessairement non conforme. Elle évite d’attribuer à une pièce un effet qu’elle ne démontre pas. Elle permet aussi de comparer honnêtement deux offres : un logo documenté sur le bon service n’a pas la même portée qu’une affirmation générale, mais aucun des deux ne remplace l’analyse de vos besoins.

Poser des questions auxquelles le fournisseur peut répondre

Une demande utile peut tenir en quelques lignes, à adapter au contrat :

Vous invoquez l’adhésion à un code de conduite pour le service de gestion documentaire proposé. Merci d’identifier la société adhérente, la version du code, les opérations et options incluses, ainsi que la source permettant de vérifier le statut actuel. Précisez les exclusions pertinentes pour notre prestation et le canal de contrôle applicable. Nous avons besoin de distinguer le stockage de l’option d’analyse décrite au devis.

Cette formulation est une demande de pièces, pas une clause réglementaire imposée. Elle évite de demander une garantie absolue de conformité que le destinataire ne peut utilement démontrer en une phrase. Si certaines pièces ne sont pas communicables intégralement, examinez les éléments vérifiables permettant de répondre aux questions, sans accepter automatiquement une simple déclaration de confidentialité comme réponse suffisante.

Reliez ensuite chaque réponse au contrat. Si l’option d’analyse ne bénéficie pas du même périmètre, elle doit rester visible dans l’évaluation : finalité, données, instructions, sécurité et éventuels autres intervenants. Il serait trompeur de faire disparaître cette option sous une ligne unique « fournisseur adhérent ».

Prévoir la perte ou la modification de l’adhésion

Lorsque l’adhésion a été présentée comme un engagement de la prestation, négociez les modalités d’information sur sa suspension, son retrait ou une réduction de périmètre. Identifiez le destinataire de l’alerte et les pièces attendues. Un email envoyé à un ancien commercial ne garantit pas que le responsable du contrat sera informé.

Prévoyez aussi la manière d’examiner les conséquences. Demandez le motif, les opérations affectées, les mesures correctrices et les éléments permettant de réévaluer les garanties. Une suspension peut justifier des vérifications urgentes ; sa portée concrète doit être comprise avant de tirer des conclusions sur tous les services de l’entreprise.

Les suites contractuelles, telles qu’une limitation de nouvelles opérations ou une réversibilité, dépendent du contrat et de la situation. L’article 40 ne crée pas à lui seul un droit automatique de résiliation identique pour chaque acheteur. À l’inverse, l’existence d’un contrat n’autorise pas à poursuivre un traitement qui ne respecterait plus les exigences applicables.

Pour l’adhérent : relier chaque exigence à son application

Une entreprise qui envisage d’adhérer doit d’abord délimiter les traitements concernés. Ensuite, pour chaque exigence du code, elle peut rapprocher la procédure interne, la personne chargée de l’appliquer et la preuve disponible. Une politique écrite sur les droits des personnes ne démontre pas encore que les demandes reçues arrivent au bon interlocuteur.

Le suivi doit donc porter sur le fonctionnement décrit. Les écarts identifiés, les corrections et les changements de traitement doivent être traités selon le dispositif applicable. L’adhésion ne transforme pas les modèles fournis par une organisation professionnelle en documents automatiquement exacts pour chaque entreprise.

Enfin, la communication extérieure doit refléter le statut acquis. Avant d’afficher une référence au code, vérifiez les règles d’usage, le périmètre et la situation de l’adhésion. Présenter un projet d’adhésion comme une adhésion effective affaiblirait précisément la preuve que le dispositif cherche à apporter.

Ce qu’il faut retenir

• Demandez le code approuvé et la preuve d’adhésion pour le service concerné.
• Distinguez l’approbation du texte et le fonctionnement effectif de son contrôle.
• Le périmètre peut exclure des traitements pourtant réalisés par la même entreprise.
• Une adhésion n’accorde ni immunité ni autorisation générale de transfert.

FAQ

Une entreprise doit-elle obligatoirement adhérer à un code ?

Le RGPD n’impose pas une adhésion générale à toutes les entreprises. Un engagement contractuel ou les conditions d’un dispositif particulier doivent toutefois être examinés séparément.

Peut-on remplacer un audit par une preuve d’adhésion ?

Elle peut alimenter votre évaluation, mais sa pertinence dépend du périmètre et du contrôle effectué. Conservez les vérifications nécessaires au risque de votre traitement et aux obligations du contrat.

Le code couvre-t-il toute une entreprise ?

Pas nécessairement. Vérifiez les entités, les rôles et les traitements inclus, ainsi que les exclusions expressément prévues.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.