Enjeux et pratique
L’erreur la plus répandue dans le déploiement du RGPD côté achats est le traitement uniforme : soit un DPA complet imposé à tous les fournisseurs, y compris ceux qui ne traitent aucune donnée (friction inutile, négociations sans objet), soit une clause générique de conformité collée partout, y compris chez les vrais sous-traitants de données (non-conformité directe à l’article 28). La méthode juste commence par la qualification, fournisseur par fournisseur.
Trois profils couvrent l’essentiel. Le sous-traitant de données (héberge, traite, accède aux données pour le compte de l’entreprise) : DPA complet obligatoire, conforme à l’article 28, avec ses annexes opérationnelles (description du traitement, mesures de sécurité, liste des sous-traitants ultérieurs) et son articulation au contrat principal (hiérarchie, responsabilité, durée, sort des données en fin de contrat, y compris en cas de résiliation anticipée). Le fournisseur à contact incident (intervient sur site, accède ponctuellement à des environnements contenant des données) : clause de confidentialité et de protection des données proportionnée, sans la mécanique complète du DPA. Le fournisseur sans accès : un rappel de conformité générale suffit, et l’imposer au-delà gaspille du temps de négociation.
Le contenu même d’un DPA conforme est balisé par l’article 28. Il fixe l’objet, la durée et la finalité du traitement, impose le respect des instructions documentées du responsable, la confidentialité des personnes habilitées, des mesures de sécurité proportionnées, l’encadrement des sous-traitants ultérieurs (autorisation préalable, répercussion des mêmes obligations), l’assistance sur les droits des personnes et les violations, puis la restitution ou la suppression des données à la fin de la relation. Chacun de ces points est une case à vérifier, pas une formule à recopier.
Le déploiement est ensuite un sujet de masse, désormais classique : qualifier le stock, prioriser par sensibilité des données, traiter par avenants en utilisant les renouvellements, et tracer la couverture dans le référentiel (profil RGPD du fournisseur, présence et version de la clause). La question de contrôle (CNIL ou client grand compte en audit) sera toujours la même : montrez la liste, montrez les clauses.
Points de vigilance
Qualifiez avant de rédiger. La première question n’est pas quelle clause insérer, mais quel rôle joue réellement le fournisseur au regard des données. Une qualification erronée entraîne mécaniquement la mauvaise clause.
Surveillez les sous-traitants ultérieurs. Un hébergeur, un outil de support ou une brique cloud utilisés par votre fournisseur prolongent la chaîne. Exigez la liste, un droit d’information sur les changements et la répercussion des obligations en cascade.
Calibrez le délai de notification des violations. Un DPA qui prévoit une notification « dans les meilleurs délais » sans repère chiffré vous laisse démuni face à votre propre obligation de signalement. Négociez un délai court et exprès.
Tracez la couverture dans un référentiel unique. Savoir, fournisseur par fournisseur, quel profil et quelle version de clause s’appliquent est ce qui transforme un audit redouté en démonstration en quelques heures.
Exemple concret
Un grand compte audite la conformité RGPD de son prestataire avant renouvellement. Le prestataire, sous-traitant de données pour 30 de ses propres fournisseurs (hébergement, support, outils), doit démontrer la cascade de l’article 28 : qui sont ses sous-traitants ultérieurs, sous quelles clauses. Le référentiel à jour produit la chaîne en une journée : 30 fournisseurs qualifiés, 28 DPA conformes, 2 régularisations en cours documentées. Le renouvellement est signé ; l’audit, conçu comme un risque, devient un argument commercial.
À ne pas confondre avec
Le DPA n’est pas les clauses contractuelles types (CCT). Le DPA de l’article 28 organise la relation responsable et sous-traitant ; les CCT encadrent, elles, le transfert de données hors de l’Union européenne. Un même fournisseur peut relever des deux à la fois : DPA pour son rôle de sous-traitant, CCT si les données quittent l’UE.
La clause RGPD n’est pas non plus la simple clause de confidentialité. Cette dernière protège l’information sensible en général ; la clause RGPD répond à des exigences légales précises sur les données personnelles, avec des mentions imposées que la confidentialité ne couvre pas.
Questions fréquentes
Faut-il un DPA avec tous ses fournisseurs ?
Non : le DPA de l’article 28 n’est obligatoire qu’avec les sous-traitants de données personnelles. L’imposer à tous crée de la friction sans bénéfice ; l’omettre où il est dû crée une non-conformité directe. Le travail utile est la qualification préalable de chaque fournisseur, tracée dans le référentiel, qui dicte la clause appropriée.
Que doit contenir un DPA conforme à l’article 28 ?
Un DPA conforme précise l’objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et de personnes concernées. Il impose au sous-traitant d’agir sur instruction documentée, de garantir la confidentialité et la sécurité, d’encadrer le recours à des sous-traitants ultérieurs et d’assister le responsable sur les droits des personnes et les violations. Il fixe enfin le sort des données en fin de contrat et l’ouverture à des audits.
Qui est responsable en cas de violation de données chez un sous-traitant ?
Le responsable de traitement reste redevable devant les personnes concernées et l’autorité de contrôle, y compris pour un incident survenu chez son sous-traitant. Le DPA n’efface pas cette responsabilité mais organise la chaîne : obligation de notification rapide, coopération, et répartition des responsabilités entre les parties. D’où l’intérêt de clauses de notification à délai court et de droits d’audit effectifs.
Sur le même thème
D'autres notions et pages du territoire proches de ce terme.