Clause de sous-traitance des données : définition, rédaction et exemple

Exemple de rédaction commenté

L’exemple ci-dessous couvre les huit engagements imposés par l’article 28.3 du RGPD. Il se lit avec l’annexe qui décrit le traitement : la clause pose le cadre, l’annexe le remplit.

Article X. Sous-traitance des données à caractère personnel

X.1. Dans le cadre du Contrat, le Sous-traitant traite pour le compte du Responsable de traitement les données à caractère personnel décrites en Annexe, laquelle précise la nature et la finalité du traitement, les catégories de données et de personnes concernées, ainsi que sa durée. Le Sous-traitant traite ces données uniquement sur instruction documentée du Responsable de traitement, y compris pour tout transfert vers un pays tiers ou une organisation internationale.

X.2. Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Il met en œuvre les mesures techniques et organisationnelles appropriées prévues à l’article 32 du RGPD, détaillées en Annexe.

X.3. Le Sous-traitant ne recrute pas d’autre sous-traitant sans l’autorisation écrite, préalable et spécifique du Responsable de traitement. Il impose au sous-traitant ultérieur, par contrat, les mêmes obligations de protection des données que celles stipulées au présent article, et demeure pleinement responsable envers le Responsable de traitement de l’exécution par ce sous-traitant de ses obligations.

X.4. Le Sous-traitant assiste le Responsable de traitement pour donner suite aux demandes d’exercice de leurs droits par les personnes concernées, ainsi que pour le respect des obligations de sécurité, de notification des violations, d’analyse d’impact et de consultation préalable prévues aux articles 32 à 36 du RGPD. Il notifie au Responsable de traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance.

X.5. Au terme de la prestation relative au traitement, le Sous-traitant, selon le choix du Responsable de traitement, supprime ou lui restitue l’ensemble des données à caractère personnel et détruit les copies existantes, sauf obligation légale de conservation.

X.6. Le Sous-traitant met à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations du présent article et pour permettre la réalisation d’audits, y compris des inspections, par le Responsable de traitement ou un auditeur qu’il mandate. Il informe immédiatement le Responsable de traitement si une instruction constitue, selon lui, une violation du RGPD ou d’une autre disposition applicable en matière de protection des données.

Commentaire de X.1 : l’instruction documentée est le principe directeur. Le sous-traitant n’agit jamais pour son propre compte : il exécute des instructions. Le mot « documentée » n’est pas décoratif ; en cas de contrôle, c’est l’écrit qui départage l’instruction légitime du traitement non autorisé. La mention du transfert hors Union européenne est essentielle car un accès aux données depuis un pays tiers peut constituer un transfert au sens des articles 44 et suivants du RGPD, même sans déplacement physique des serveurs. [À VÉRIFIER JURISTE : articulation entre la soumission d’un prestataire à un droit étranger (préoccupation type CLOUD Act) et la notion de transfert au sens des lignes directrices EDPB 05/2021.]

Commentaire de X.2 : la confidentialité et la sécurité sont ici des obligations légales. Contrairement à une clause de confidentialité de droit commun, l’engagement de confidentialité des personnes autorisées découle directement de l’article 28.3.b du RGPD. Le renvoi à l’article 32 impose des mesures dont le détail vit dans l’annexe technique, objet d’une clause de mesures de sécurité dédiée.

Commentaire de X.3 : la sous-traitance en cascade est le point le plus surveillé. Un hébergeur qui recourt lui-même à un fournisseur d’infrastructure crée une chaîne de sous-traitance. L’autorisation du client est obligatoire, et le report des obligations sur le maillon suivant doit être contractuel, pas seulement verbal. Le premier sous-traitant reste le garant : il répond des manquements de celui qu’il a choisi.

Commentaire de X.5 : le choix appartient au client. La rédaction laisse au Responsable de traitement l’option entre restitution et suppression. Une clause qui imposerait la seule suppression priverait le client de la récupération de ses propres fichiers. La réserve d’obligation légale de conservation vise, par exemple, les données de facturation soumises à des délais comptables ou fiscaux.

Ce que dit le droit

L’article 28 du RGPD est impératif, à la différence de la plupart des clauses contractuelles. Son paragraphe 3 dispose que le traitement par un sous-traitant est régi par un contrat qui « définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et les droits du responsable du traitement ». Ces mentions ne sont pas supplétives : leur absence n’est pas comblée par un régime de repli, elle constitue un manquement.

Le choix du sous-traitant engage déjà le responsable de traitement. L’article 28.1 du RGPD impose de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures appropriées. Autrement dit, la responsabilité du client commence avant la signature : elle porte sur la sélection du prestataire, pas seulement sur le contenu du contrat.

La chaîne de sous-traitance obéit à un régime propre. L’article 28.2 subordonne le recrutement d’un sous-traitant ultérieur à une autorisation, générale ou spécifique. L’article 28.4 impose que ce sous-traitant ultérieur soit tenu des mêmes obligations que celles fixées dans le contrat initial, et maintient la responsabilité pleine et entière du premier sous-traitant en cas de défaillance du second.

Les huit obligations de l’article 28.3 forment un socle minimal. Traitement sur instruction documentée, confidentialité des personnes autorisées, sécurité au sens de l’article 32, encadrement de la sous-traitance ultérieure, assistance aux droits des personnes, assistance aux articles 32 à 36, suppression ou restitution en fin de contrat, mise à disposition des informations et acceptation des audits. Une clause qui en omet un est incomplète au regard du texte.

La responsabilité peut atteindre les deux parties. L’article 82 du RGPD permet à une personne concernée d’agir en réparation, et le sous-traitant peut être tenu pour un dommage causé par le traitement lorsqu’il a manqué à ses obligations propres ou agi en dehors des instructions. Les sanctions administratives de l’article 83 du RGPD s’appliquent, elles, indépendamment de tout préjudice individuel.

Des clauses types existent. La Commission européenne a adopté des clauses contractuelles types entre responsable de traitement et sous-traitant. [À VÉRIFIER JURISTE : la référence exacte de la décision d’exécution adoptant ces clauses types au titre de l’article 28.7 du RGPD, ainsi que la valeur, contraignante ou non, des clauses correspondantes publiées par la CNIL.]

Les erreurs fréquentes

Se contenter d’une clause de confidentialité. L’erreur la plus répandue chez les PME : croire qu’un engagement de discrétion couvre le RGPD. Il ne couvre rien de la liste de l’article 28.3. Une clause RGPD de protection des données et une clause de sous-traitance sont deux briques distinctes, à ajouter à la confidentialité.

Oublier l’annexe descriptive. La clause renvoie à une annexe qui n’existe pas, ou qui reste vide. Sans description de la nature, de la finalité, des catégories de données et de personnes concernées, la clause ne satisfait pas l’article 28.3 : elle est formellement conforme et matériellement creuse.

Rédiger une autorisation de sous-traitance vague. Une formule du type « le prestataire peut recourir à tout sous-traitant de son choix » vide de sens l’autorisation exigée par l’article 28.2. L’autorisation doit permettre au client de connaître et, le cas échéant, de contester le prestataire ajouté.

Ne pas prévoir le sort des données en fin de contrat. Sans stipulation, la question de la restitution ou de la suppression se pose au pire moment, celui de la rupture. Le silence favorise la partie qui détient les données, souvent le sous-traitant.

Confondre durée du contrat et durée de conservation. La durée du traitement décrite en annexe n’est pas la durée du contrat commercial. Cette confusion se recoupe avec les questions traitées dans la clause de durée de confidentialité, mais répond ici à une exigence propre du RGPD.

Négociation : position responsable de traitement contre position sous-traitant

Ce que défend le responsable de traitement. Le client cherche des instructions strictes et documentées, une autorisation de sous-traitance ultérieure spécifique plutôt que générale, un droit d’audit effectif incluant des inspections sur site, un délai de notification des violations chiffré et bref, et une assistance sans surcoût pour répondre aux demandes des personnes concernées. Il veut aussi garder le choix entre restitution et suppression en fin de relation.

Ce que défend le sous-traitant. Le prestataire cherche à borner ses obligations d’assistance, souvent facturées en temps passé au-delà d’un forfait, à obtenir une autorisation générale de sous-traitance assortie d’une simple information préalable, à encadrer les audits par un préavis et une fréquence limitée pour éviter la désorganisation, et à plafonner sa responsabilité contractuelle. Il tient à ce que les instructions soient réalistes et compatibles avec une offre standardisée.

Où se situe l’équilibre. Le partage des coûts d’assistance et le régime des audits concentrent l’essentiel de la discussion, car les obligations de fond ne se négocient pas. Un compromis fréquent consiste à retenir une autorisation générale de sous-traitance assortie d’un droit d’opposition motivé du client, et à encadrer les audits par un préavis raisonnable tout en réservant l’inspection immédiate en cas de violation avérée. Le sous-traitant accepte plus volontiers des obligations exigeantes lorsque leurs modalités pratiques sont prévisibles.