Contrats fournisseurs : la conformité RGPD

Introduction : la conformité ne s’arrête pas à vos murs

Une entreprise conforme au RGPD dans ses propres traitements peut rester exposée par la seule faute d’un fournisseur. Dès qu’un prestataire de paie, une agence marketing, un éditeur SaaS, un hébergeur ou un centre d’appels manipule des données personnelles pour votre compte, il devient sous-traitant au sens du règlement (UE) 2016/679, et le contrat qui vous lie doit organiser cette relation. À défaut, le manquement du partenaire remonte jusqu’à vous, puisque le responsable de traitement répond du choix et de l’encadrement de ses sous-traitants. La conformité RGPD est donc un travail contractuel autant qu’organisationnel.

Le sujet est loin d’être théorique. La CNIL contrôle régulièrement les chaînes de sous-traitance et sanctionne l’absence d’acte conforme à l’article 28, avec des amendes pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour ce type de manquement (article 83.4 du RGPD). Or la plupart des PME et ETI ont accumulé, au fil des années, des dizaines de contrats fournisseurs signés avant même que la question des données ne soit posée, ou reconduits tacitement sans jamais être revus. Ce stock contractuel constitue le véritable angle mort de la conformité.

Ce guide propose une méthode concrète pour reprendre ce stock en main : recenser les contrats concernés, qualifier chaque relation, réviser les actes un par un et installer un pilotage durable. Il s’adresse aux directions juridiques, aux achats et aux DAF qui doivent transformer une obligation diffuse en un chantier borné, priorisé et traçable.

Cartographier vos contrats fournisseurs : savoir où circulent les données

La première difficulté n’est pas juridique, elle est documentaire : personne ne sait précisément combien de fournisseurs traitent des données personnelles ni où sont rangés les contrats correspondants. Avant toute mise en conformité, il faut donc reconstituer l’inventaire. L’exercice consiste à croiser trois sources : la liste des fournisseurs actifs tenue par les achats ou la comptabilité, le registre des activités de traitement prévu par l’article 30 du RGPD lorsqu’il existe, et les contrats eux-mêmes, souvent éparpillés entre messageries, disques partagés et armoires. Ce rapprochement révèle presque toujours des prestataires payés chaque mois sans contrat retrouvable, et des contrats sans traitement identifié.

L’objectif de cette cartographie est de distinguer, parmi tous les fournisseurs, ceux qui manipulent des données personnelles pour votre compte : gestionnaire de paie, éditeur de logiciel RH, plateforme d’emailing, prestataire de recouvrement, hébergeur, société de maintenance informatique accédant aux bases, cabinet de recrutement. Un fournisseur qui ne voit jamais de données personnelles, par exemple un fournisseur de matières premières, sort du périmètre. Cette qualification préalable évite de disperser l’effort et concentre la revue là où le risque existe réellement, en priorisant les traitements les plus sensibles ou les plus volumineux.

Qualifier chaque relation : responsable, Sous-Traitant ou responsabilité conjointe

Une fois les contrats concernés isolés, tout se joue sur une question : quel est le rôle de chaque partie au sens du RGPD ? L’article 4 du règlement définit le responsable de traitement, qui détermine les finalités et les moyens, et le sous-traitant, qui traite pour le compte du responsable en suivant ses instructions. L’article 26 vise les responsables conjoints, qui décident ensemble des finalités et des moyens. Cette qualification ne dépend pas de l’étiquette que les parties se donnent : elle résulte des faits. Un prestataire nommé « sous-traitant » mais qui décide en réalité de l’usage des données sera traité comme responsable, avec les conséquences que cela emporte.

La distinction commande tout le reste. Si le fournisseur est sous-traitant, un acte conforme à l’article 28.3 est obligatoire et vous conservez la maîtrise des finalités. S’il est responsable de traitement autonome, par exemple un expert-comptable qui applique ses propres obligations légales, la relation relève d’une simple information réciproque et non d’un acte de sous-traitance. Si les deux parties codécident, l’article 26 impose un accord répartissant les obligations, notamment l’information des personnes concernées. Se tromper de qualification, c’est bâtir tout le dispositif contractuel sur une base fausse ; c’est pourquoi cette étape mérite l’appui d’un juriste et une trace écrite traitement par traitement.

La méthode de mise en conformité : une revue contrat par contrat

La mise en conformité se conduit comme une revue structurée, appliquée à chaque contrat identifié. Plutôt qu’une liste de tâches diffuses, il vaut mieux dérouler une séquence stable qui garantit qu’aucun point obligatoire n’est oublié et que chaque décision est justifiée. Voici les six points de contrôle à passer sur chaque relation fournisseur touchant des données personnelles.

Étape 1 : vérifier l’existence d’un acte de sous-traitance

Le préalable consiste à contrôler si un contrat écrit encadre déjà le traitement. L’article 28.9 du RGPD exige un acte écrit, y compris sous forme électronique. Beaucoup de relations reposent encore sur de simples conditions générales acceptées d’un clic, ou sur aucun document. Lorsqu’aucun acte n’existe, il faut en négocier un avant toute autre considération ; lorsqu’un acte existe mais date d’avant 2018 ou renvoie à l’ancienne directive de 1995, il doit être repris intégralement. L’absence d’acte est le manquement le plus directement sanctionné par la CNIL, car il se constate sans débat.

Étape 2 : contrôler les mentions obligatoires de l’article 28.3

L’acte de sous-traitance doit contenir des mentions précises, énumérées par l’article 28.3 : objet, durée, nature et finalité du traitement, type de données et catégories de personnes concernées, obligations et droits du responsable. Il doit aussi imposer au sous-traitant de n’agir que sur instructions documentées, de garantir la confidentialité des personnes autorisées, de prendre les mesures de sécurité de l’article 32, d’assister le responsable, de supprimer ou restituer les données en fin de contrat et de se soumettre à des audits. Un acte auquel manque l’une de ces mentions n’est pas conforme, même s’il évoque le RGPD en termes généraux.

Étape 3 : encadrer la sous-traitance ultérieure

Un sous-traitant recourt presque toujours à d’autres prestataires : hébergeur cloud, service d’envoi d’emails, outil de supervision. L’article 28.2 du RGPD interdit à un sous-traitant de recruter un sous-traitant ultérieur sans autorisation écrite, préalable, spécifique ou générale, du responsable. Le contrat doit donc préciser le régime retenu et prévoir l’information du responsable en cas de changement, avec un droit d’objection. Cette clause est souvent absente ou vidée de sa substance ; sans elle, vous perdez toute visibilité sur la chaîne réelle qui manipule vos données.

Étape 4 : sécuriser les transferts hors de l’union européenne

Dès qu’un fournisseur héberge ou consulte les données depuis un pays tiers, le chapitre V du RGPD (articles 44 et suivants) s’applique. Le transfert n’est licite que s’il repose sur une décision d’adéquation, sur des clauses contractuelles types adoptées par la Commission européenne (article 46) ou sur une autre garantie appropriée. En pratique, beaucoup d’outils SaaS reposent sur des serveurs ou des équipes de support situés hors de l’Union. Le contrat doit identifier ces transferts, annexer les clauses types applicables et, le cas échéant, documenter les mesures supplémentaires attendues lorsque la protection du pays de destination est insuffisante.

Étape 5 : exiger un socle de sécurité conforme à l’article 32

L’article 32 impose des mesures techniques et organisationnelles appropriées au risque : chiffrement, pseudonymisation, capacité de restauration, procédures de test régulières. Le contrat ne peut se contenter d’un renvoi vague : il gagne à annexer une politique de sécurité ou une liste d’engagements vérifiables, adaptés à la sensibilité des données. Pour un prestataire manipulant des données de santé ou des données bancaires, ce socle sera nettement plus exigeant que pour un simple outil de prise de rendez-vous, et la revue doit refléter cette proportionnalité.

Étape 6 : organiser la notification des violations et l’audit

Le responsable de traitement dispose de 72 heures pour notifier une violation à la CNIL (article 33). Si l’information remonte trop tard du fournisseur, ce délai est déjà consommé. Le contrat doit donc imposer au sous-traitant une alerte sans délai injustifié, idéalement chiffrée à 24 ou 48 heures, avec les éléments utiles à la notification et, le cas échéant, à l’information des personnes concernées (article 34). Il doit également prévoir un droit d’audit effectif, sur pièces ou sur site, faute de quoi les engagements de sécurité restent invérifiables.

Les points de vigilance juridiques : ce que le contrat doit impérativement prévoir

Au-delà de la trame de l’article 28, plusieurs stipulations décident de l’exposition réelle de l’entreprise. La répartition de responsabilité, d’abord : l’article 82 du RGPD permet à une personne concernée d’agir contre le responsable ou le sous-traitant pour l’intégralité du dommage, à charge pour celui qui a payé de se retourner. Le contrat organise ce recours interne, sans pouvoir le rendre opposable aux personnes ni à la CNIL. Il est fréquent, et prudent, d’exclure du plafond d’indemnisation les amendes administratives et les manquements graves à la sécurité, car aucun aménagement contractuel ne fait échec aux sanctions de l’article 83.

La réversibilité, ensuite : le sort des données en fin de contrat doit être tranché à l’avance, entre restitution dans un format exploitable et suppression certifiée, avec un délai. Un fournisseur qui conserve des données au-delà de la relation crée un traitement sans base légale dont vous restez comptable. Enfin, la cohérence documentaire compte autant que le contenu : un acte de sous-traitance solide perd toute valeur s’il renvoie à une annexe de sécurité jamais rédigée ou à une liste de sous-traitants ultérieurs jamais tenue à jour. Sur ces arbitrages, l’appui d’une solution de gestion juridique des contrats permet de standardiser les clauses et d’éviter que chaque relance ne reparte de zéro.

Piloter la conformité dans la durée : du chantier ponctuel au processus

Une mise en conformité réussie n’est pas un projet qui se referme, mais un état qui se maintient. Les fournisseurs changent, les outils évoluent, les traitements se multiplient : sans pilotage, le stock reconstitué se dégrade en quelques mois. Le premier réflexe consiste à raccrocher chaque acte de sous-traitance au registre de l’article 30, de sorte que tout nouveau traitement déclenche la vérification du contrat correspondant. Le second consiste à surveiller les échéances contractuelles, car une reconduction tacite est l’occasion de réviser un acte obsolète, et à tracer les autorisations de sous-traitance ultérieure au fil de leurs évolutions.

Ce pilotage suppose une visibilité que les fichiers dispersés ne donnent jamais. Centraliser les contrats fournisseurs, détecter automatiquement l’absence de clause RGPD, suivre les dates de renouvellement et rattacher chaque acte à son traitement relèvent typiquement d’une plateforme de gestion du cycle de vie des contrats. L’analyse assistée par l’intelligence artificielle contractuelle permet, sur un stock de plusieurs centaines de documents, de repérer en lecture de masse les contrats dépourvus de mentions de l’article 28 ou silencieux sur les transferts hors Union, et de prioriser la remédiation. La conformité cesse alors d’être un audit annuel douloureux pour devenir une propriété continue du référentiel contractuel.

Conclusion : faire de la conformité un actif contractuel

Mettre ses contrats fournisseurs en conformité RGPD n’est pas un exercice de pure forme : c’est déplacer le risque là où il doit être supporté, documenter la maîtrise de la chaîne de sous-traitance et se prémunir contre l’imputation d’un manquement d’autrui. La méthode tient en une discipline simple : recenser les fournisseurs qui traitent des données, qualifier chaque rôle, réviser les actes point par point selon l’article 28, puis installer un pilotage qui empêche le stock de se dégrader. Chaque étape est à la portée d’une PME ou d’une ETI dès lors qu’elle dispose d’une vue d’ensemble sur ses contrats.

C’est précisément cette vue d’ensemble qu’une plateforme CLM apporte : un référentiel unique où chaque contrat fournisseur est rattaché à son traitement, contrôlé pour ses clauses RGPD et suivi jusqu’à son échéance. Pour évaluer ce qu’un tel outil changerait sur votre propre parc contractuel, vous pouvez demander une démonstration de Pactolane et voir comment automatiser le repérage des contrats non conformes.

• Introduction : La Conformité Ne S’arrête Pas à Vos Murs
• Cartographier Vos Contrats Fournisseurs : Savoir Où Circulent les Données
• Qualifier Chaque Relation : Responsable, Sous-Traitant ou Responsabilité Conjointe
• La Méthode de Mise en Conformité : Une Revue Contrat par Contrat
• Les Points de Vigilance Juridiques : Ce Que le Contrat Doit Impérativement Prévoir
• Piloter la Conformité dans la Durée : Du Chantier Ponctuel au Processus
• Conclusion : Faire de la Conformité un Actif Contractuel