RGPD et gestion des contrats

Enjeux et pratique

Le RGPD est souvent abordé par ses dimensions visibles : consentement, cookies, registre des traitements. Sa dimension contractuelle est moins commentée et tout aussi structurante : le règlement organise la responsabilité le long des chaînes de traitement, et le contrat est le mécanisme de cette organisation.

Trois chantiers contractuels en découlent. L’encadrement de la sous-traitance : l’article 28 impose un contrat (le DPA) pour chaque sous-traitant de données, avec un contenu défini : objet, durée et nature du traitement, types de données, obligations de sécurité, conditions de sous-traitance ultérieure, assistance, sort des données en fin de contrat, audits. Le choix même du sous-traitant engage : il doit présenter des garanties suffisantes, ce qui suppose une qualification documentée. Les transferts hors UE : depuis l’invalidation du Privacy Shield par la jurisprudence Schrems II, les transferts reposent largement sur les clauses contractuelles types et des mesures complémentaires évaluées au cas par cas : encore des clauses, encore des contrats à identifier et tenir à jour. La démontrabilité enfin : le principe d’accountability exige de prouver la conformité, donc de savoir quels contrats encadrent quels traitements, avec quelles versions de clauses.

C’est ici que la gestion contractuelle devient une condition de conformité : l’entreprise doit pouvoir répondre à « quels fournisseurs traitent des données personnelles pour nous, sous quel contrat, avec quelles clauses » et à l’inverse identifier les contrats orphelins, signés avant le RGPD ou sans DPA. Sans référentiel permettant cette requête, la réponse à la CNIL se reconstitue dans l’urgence, contrat par contrat.

La difficulté est aussi dynamique. Chaque évolution des textes ou de la doctrine (nouvelle version des clauses contractuelles types, position de la CNIL, décision de justice) crée un stock de contrats à mettre à niveau. Une organisation capable de requêter son parc identifie en quelques minutes les contrats portant l’ancienne clause ; une organisation aux contrats dispersés déclenche une revue manuelle de plusieurs mois. La conformité RGPD durable est donc moins une affaire de rédaction ponctuelle que de tenue du référentiel dans le temps.

En pratique

• Qualifiez chaque relation avant de rédiger. Sous-traitant, responsable conjoint ou destinataire autonome n’appellent pas les mêmes clauses ; cette qualification doit être tracée, contrat par contrat.
• Reliez le registre des traitements aux contrats. Chaque traitement confié à un tiers doit pointer vers le DPA qui l’encadre, sans quoi la preuve de conformité reste introuvable le jour du contrôle.
• Traitez les contrats antérieurs à 2018 comme des orphelins jusqu’à preuve du contraire. Une relation reconduite tacitement depuis des années est un candidat probable au DPA manquant.
• Datez et versionnez les clauses de transfert. Savoir quelle version des clauses contractuelles types s’applique à quel contrat conditionne votre capacité à réagir vite à un changement réglementaire.

Exemple concret

À la suite d’une violation de données chez un prestataire marketing, une entreprise notifie la CNIL et doit produire le contrat encadrant le traitement. Le prestataire, référencé avant 2018, n’a jamais signé de DPA : la relation s’est poursuivie par reconductions successives sans mise à niveau. L’incident, imputable au prestataire, expose aussi le client : le défaut d’encadrement contractuel de l’article 28 est un manquement propre, indépendant de la violation elle-même.