Clause RGPD de protection des données : définition et rédaction

Exemple de rédaction commenté

L’exemple ci-dessous suppose que les deux parties traitent des données personnelles dans le cadre du contrat, sans préjuger de leurs rôles respectifs. Il se combine, et ne se confond pas, avec un éventuel acte de sous-traitance.

Article X. Protection des données à caractère personnel

X.1. Chaque Partie s’engage à respecter la réglementation applicable à la protection des données à caractère personnel, en particulier le règlement (UE) 2016/679 (le « RGPD ») et la loi n° 78-17 du 6 janvier 1978 modifiée, pour les traitements qu’elle met en œuvre dans le cadre du Contrat.

X.2. Les Parties déterminent, en annexe, la qualification de chaque traitement lié au Contrat : responsable de traitement, responsables conjoints au sens de l’article 26 du RGPD, ou responsable de traitement et sous-traitant au sens de l’article 28. Lorsqu’une Partie traite des données pour le compte de l’autre, un acte distinct conforme à l’article 28.3 du RGPD est conclu.

X.3. Chaque Partie ne traite que les données nécessaires aux finalités du Contrat, pendant la seule durée requise, et met en œuvre les mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD.

X.4. Chaque Partie informe l’autre sans délai injustifié de toute violation de données susceptible d’affecter les traitements liés au Contrat, et lui communique les éléments utiles à ses propres obligations de notification au titre des articles 33 et 34 du RGPD.

X.5. Chaque Partie se prête assistance pour répondre aux demandes d’exercice de droits des personnes concernées (articles 15 à 22 du RGPD) et pour toute demande d’une autorité de contrôle.

X.6. Chaque Partie répond des dommages causés par un manquement à ses obligations propres au titre du RGPD. Les Parties conviennent des modalités d’indemnisation entre elles, sans que cette répartition soit opposable aux personnes concernées ni à l’autorité de contrôle.

Commentaire de X.1 : la clause vise le respect du droit applicable, pas seulement du RGPD. Le renvoi à la loi de 1978 modifiée n’est pas cosmétique : elle porte des dispositions propres à la France que le règlement laisse aux États (durées de conservation dans certains secteurs, données de santé, numéro de sécurité sociale). Viser « la réglementation applicable » évite d’avoir à réécrire la clause à chaque évolution.

Commentaire de X.2 : la qualification des rôles est le point qui décide de tout le reste. Tant que l’on ignore qui est responsable et qui est sous-traitant, on ne sait ni quelles obligations pèsent sur qui, ni comment se répartit la responsabilité. Renvoyer cette qualification à une annexe, traitement par traitement, oblige les parties à faire le travail au lieu de le supposer. C’est ici que se décide la nécessité d’une clause de sous-traitance des données au titre de l’article 28.

Commentaire de X.3 : minimisation et sécurité sont des obligations légales rappelées, pas créées. L’article 32 du RGPD s’impose déjà ; la clause en fait une obligation contractuelle, ce qui ouvre, en cas de manquement, une action entre les parties en plus de l’action de l’autorité. Le détail des mesures relève d’une clause de mesures de sécurité ou d’une annexe technique.

Commentaire de X.4 : le délai de notification interne est le nerf de la guerre. Le responsable de traitement dispose de 72 heures pour notifier une violation à la CNIL (article 33). Si l’information remonte trop tard du partenaire, ce délai est déjà consommé. Le règlement retient le standard « dans les meilleurs délais » (art. 33) ; en pratique, préciser un délai chiffré (24 ou 48 heures) sécurise davantage. [À VÉRIFIER JURISTE : l’opportunité d’imposer contractuellement un délai fixe plus court que le standard légal et son articulation avec l’article 33.]

Commentaire de X.6 : la répartition de responsabilité ne vaut qu’entre les parties. L’article 82 du RGPD organise l’indemnisation des personnes concernées et permet à une personne d’agir contre le responsable ou le sous-traitant pour l’intégralité du dommage, à charge pour ce dernier de se retourner ensuite. La clause organise ce recours interne, elle ne le rend pas opposable aux tiers ni à la CNIL.

Ce que dit le droit

Le RGPD est d’ordre public : la clause ne fait qu’organiser ce qu’il impose. Le règlement (UE) 2016/679 s’applique dès qu’il y a traitement de données à caractère personnel, que le contrat le prévoie ou non. Une clause ne peut ni écarter une obligation du règlement, ni réduire les droits des personnes concernées. Sa fonction est de répartir les rôles et les responsabilités entre les parties, dans l’espace que le règlement leur laisse.

La qualification des rôles commande le régime applicable. L’article 4 du RGPD définit le responsable de traitement, qui détermine les finalités et les moyens, et le sous-traitant, qui traite pour le compte du premier. L’article 26 vise les responsables conjoints, qui déterminent ensemble finalités et moyens. Cette qualification ne dépend pas de la volonté des parties : elle résulte des faits. Nommer « sous-traitant » une partie qui décide en réalité des finalités ne change pas son régime.

La sous-traitance impose un contrat au contenu défini. L’article 28.3 du RGPD énumère les mentions obligatoires de l’acte liant responsable et sous-traitant : objet, durée, nature et finalité du traitement, type de données, obligations et droits du responsable, instructions documentées, confidentialité, sécurité, sort des données en fin de contrat, audit. La clause RGPD générale ne remplace pas cet acte ; elle en signale la nécessité et y renvoie.

La sécurité relève d’une obligation de moyens appropriés. L’article 32 du RGPD impose des mesures techniques et organisationnelles appropriées au risque, en tenant compte de l’état des connaissances et des coûts. Il ne fixe pas de liste fermée : chiffrement, pseudonymisation, capacité de restauration et procédures de test y sont cités à titre d’exemples. La clause peut renforcer ce socle par des engagements précis.

Les sanctions du non-respect sont autonomes du contrat. Les amendes de l’article 83 du RGPD comportent deux niveaux : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements aux articles 28 et 32, et jusqu’à 20 millions d’euros ou 4 % pour les violations des principes et des droits des personnes ; elles sont prononcées par la CNIL indépendamment de toute stipulation. [À VÉRIFIER JURISTE : l’articulation entre l’action en responsabilité contractuelle entre les parties et l’action indemnitaire de l’article 82 exercée par les personnes concernées.]

Les erreurs fréquentes

Croire qu’une clause de confidentialité couvre les données personnelles. Ce sont deux régimes distincts. La confidentialité protège l’information contre la divulgation ; le RGPD protège les personnes. Une clause de confidentialité reste nécessaire, mais elle ne dispense jamais des obligations du règlement.

Ne pas qualifier les rôles. Un contrat qui parle de « données » sans dire qui est responsable et qui est sous-traitant laisse ouverte la question la plus lourde de conséquences. La qualification se fait traitement par traitement, pas en bloc.

Confondre la clause RGPD et l’acte de sous-traitance. La clause générale de conformité ne comporte pas les mentions de l’article 28.3. S’en contenter, alors qu’un prestataire traite les données pour votre compte, laisse le contrat non conforme.

Négliger le délai de remontée d’une violation. Sans délai contractuel précis, l’information arrive souvent après les 72 heures de l’article 33, rendant la notification tardive. Le partenaire qui subit la violation n’a pas le même intérêt que celui qui doit notifier.

Oublier le sort des données en fin de contrat. Sans stipulation, rien n’oblige le partenaire à restituer ou supprimer les données. Ce point rejoint la durée de conservation et se traite utilement avec une clause de durée de confidentialité et une clause de restitution dédiée.

Négociation : position du responsable contre position du sous-traitant

Ce que défend le responsable de traitement. Des instructions strictement documentées, un délai de notification court et chiffré, un droit d’audit effectif, une interdiction de sous-traitance ultérieure sans autorisation, et une indemnisation large couvrant les amendes qui lui seraient infligées du fait d’un manquement du prestataire. Il cherche à répercuter sur l’exécutant le risque qu’il porte seul devant la CNIL.

Ce que défend le sous-traitant. Un périmètre d’obligations circonscrit aux instructions reçues, un plafond d’indemnisation, l’exclusion des dommages indirects, et une répartition proportionnée à la faute réelle. Il refuse de garantir un résultat de conformité qu’il ne maîtrise pas seul, puisque le responsable définit les finalités.

Où se situe l’équilibre. Sur deux points le plus souvent : le délai de notification et le traitement des amendes. Un compromis fréquent consiste à retenir un délai de notification interne court, adossé à un engagement d’assistance, et à distinguer, dans l’indemnisation, l’amende directement causée par un manquement caractérisé du prestataire, qui reste à sa charge, du reste, plafonné. Le responsable accepte plus volontiers un plafond si les manquements graves à la sécurité en sont exclus.