L’article 28 du RGPD encadre le recours à un sous-traitant, c’est-à-dire tout prestataire qui traite des données personnelles pour votre compte : hébergeur, éditeur de logiciel en ligne, cabinet de paie, agence, outil d’e-mailing, prestataire de support. Vous ne pouvez choisir que des sous-traitants présentant des garanties suffisantes, et vous devez signer avec chacun un contrat contenant les dix clauses obligatoires du paragraphe 3. Une PME de 30 personnes compte en général 25 à 40 sous-traitants, et c’est le poste d’audit le plus long.
L’essentiel
- Un contrat écrit par sous-traitant, avec les clauses du 28.3 : instructions, confidentialité, sécurité, sous-traitants ultérieurs, aide aux droits et aux violations, sort des données, audits.
- Le responsable reste responsable : il choisit des prestataires qui présentent des garanties suffisantes et le vérifie.
- Le sous-traitant ne recrute un sous-traitant ultérieur qu’avec autorisation, générale ou spécifique, et reste responsable de celui-ci.
- Les grands éditeurs fournissent un « DPA » standard : il faut le lire, pas seulement l’accepter.
Ce que dit l’article 28
| Paragraphe | Ce que dit le texte |
|---|---|
| 28.1 – Garanties | Le responsable ne fait appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. |
| 28.2 et 28.4 – Sous-traitants ultérieurs | Le sous-traitant ne recrute pas d’autre sous-traitant sans autorisation écrite préalable, spécifique ou générale (avec information et possibilité d’objection) ; il impose au sous-traitant ultérieur les mêmes obligations et en reste responsable. |
| 28.3 – Contrat | Le traitement est régi par un contrat qui définit l’objet, la durée, la nature, la finalité, les types de données et les catégories de personnes, et qui prévoit que le sous-traitant : (a) ne traite que sur instruction documentée, y compris pour les transferts ; (b) garantit la confidentialité des personnes autorisées ; (c) prend les mesures de sécurité de l’article 32 ; (d) respecte les règles sur les sous-traitants ultérieurs ; (e) aide le responsable à répondre aux demandes de droits ; (f) l’aide pour la sécurité, les violations et les analyses d’impact ; (g) supprime ou restitue les données à la fin ; (h) met à disposition les informations nécessaires et permet les audits, et l’informe si une instruction constitue une violation. |
| 28.5 à 28.10 | Codes de conduite et certifications comme éléments de garantie ; clauses contractuelles types possibles ; contrat écrit, y compris électronique ; un sous-traitant qui détermine lui-même les finalités devient responsable du traitement. |
Ce que cela change pour une PME
Inventorier avant de contractualiser
La liste des sous-traitants se construit à partir du registre, de la comptabilité (abonnements logiciels) et des entretiens avec chaque service ; elle est presque toujours deux fois plus longue que ce que la direction imagine. Chaque ligne indique les données confiées, la localisation et l’état du contrat.
Relire les contrats existants
Les éditeurs en ligne proposent un accord de traitement des données (DPA) dans leurs conditions générales ; les prestataires locaux (agence, cabinet de paie, mainteneur informatique) n’en ont souvent aucun. Pour les premiers, on vérifie la présence des dix clauses et la localisation ; pour les seconds, on fait signer une convention de sous-traitance. Notre fiche sur les transferts hors UE complètent ce point.
Encadrer les sous-traitants ultérieurs
L’autorisation générale est la norme avec les éditeurs : ils publient leur liste de sous-traitants et notifient les changements. Il faut s’abonner à ces notifications et vérifier au moins une fois par an que la liste n’inclut pas de transfert non couvert.
Exiger les garanties, pas seulement les signatures
Un contrat signé ne vaut rien si le prestataire n’applique pas les mesures : certifications (ISO 27001, HDS pour la santé), questionnaire de sécurité, visite ou audit documentaire pour les sous-traitants critiques. La CNIL reproche aux responsables de ne pas avoir vérifié leurs prestataires.
Sécuriser la fin de contrat
La clause de restitution et de suppression se négocie avant la signature et s’exécute à la fin : demander la confirmation écrite de suppression, récupérer les exports, révoquer les accès.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Dedalus Biologie, 15 avril 2022 | 1,5 million d’euros | Éditeur de logiciels pour laboratoires, sous-traitant : fuite de données de près de 500 000 personnes ; la CNIL retient l’absence de contrat conforme à l’article 28 avec les laboratoires clients, l’extraction de données au-delà des instructions, et des manquements à la sécurité (article 32). |
| Criteo, 15 juin 2023 | 40 millions d’euros (toutes causes) | Absence de vérification du consentement recueilli par les partenaires et absence d’audit de ces partenaires avant la procédure : la CNIL rappelle que celui qui s’appuie sur des tiers doit contrôler leurs pratiques. |
La décision Dedalus montre que le sous-traitant lui-même peut être sanctionné pour un contrat insuffisant, et pas seulement le responsable : les deux parties ont intérêt à un contrat conforme.
Les questions que je pose en audit
- Combien de prestataires traitent des données pour vous, et avez-vous la liste à jour ?
- Pour chacun, avez-vous un contrat qui contient les dix clauses de l’article 28.3, ou seulement des conditions générales commerciales ?
- Où sont hébergées les données de chaque prestataire, et quelle garantie couvre les transferts hors UE ?
- Recevez-vous les notifications de changement de sous-traitants ultérieurs, et qui les lit ?
- Quelles garanties de sécurité avez-vous vérifiées avant de choisir vos prestataires critiques ?
- Que prévoit le contrat à la fin : suppression, restitution, délai, preuve ?
- Votre cabinet de paie, votre agence web et votre mainteneur informatique ont-ils signé une convention de sous-traitance ?
Prêt à l’emploi : la liste de contrôle d’un contrat de sous-traitance
| Clause à vérifier | Résultat |
|---|---|
| Objet, durée, nature, finalité, données, personnes concernées | Présent / absent |
| Traitement sur instruction documentée uniquement | Présent / absent |
| Confidentialité des personnes autorisées | Présent / absent |
| Mesures de sécurité (article 32) décrites ou annexées | Présent / absent |
| Sous-traitants ultérieurs : autorisation, liste, notification, objection | Présent / absent |
| Aide aux demandes de droits | Présent / absent |
| Aide en cas de violation (délai de notification au responsable, souvent 24 à 48 h) et d’analyse d’impact | Présent / absent |
| Suppression ou restitution en fin de contrat, avec preuve | Présent / absent |
| Information et audits | Présent / absent |
| Localisation des données et garanties de transfert | Présent / absent |
Pour une convention à faire signer à un prestataire local, demandez-nous notre modèle de convention de sous-traitance.
Et en Suisse ?
La nLPD encadre la sous-traitance à son article 9 : le traitement peut être confié à un sous-traitant par contrat ou par la loi, si le responsable s’assure qu’il n’y a pas de restriction au traitement et que le sous-traitant garantit la sécurité ; un sous-traitant ultérieur suppose l’autorisation préalable du responsable. Notre fiche sur la sous-traitance sous la nLPD en donne le détail.
Ce que je constate en mission. La revue des sous-traitants est le poste qui pèse le plus dans une mission DPO, bien avant le registre : une PME de 30 personnes utilise 25 à 40 logiciels qui traitent des données, et la plupart n’ont jamais fait l’objet d’une relecture contractuelle. Je commence toujours par les cinq qui détiennent le plus de données (hébergeur, messagerie, CRM, paie, outil métier) : si ces cinq sont en règle, 80 % du risque est couvert.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Les conditions générales d’un éditeur suffisent-elles ?
Si elles contiennent ou référencent un accord de traitement des données avec les dix clauses, oui. La plupart des grands éditeurs en proposent un ; il faut vérifier qu’il s’applique bien à votre formule d’abonnement et conserver la version acceptée.
Un expert-comptable est-il un sous-traitant ?
Pour la paie, oui en général ; pour la tenue des comptes et les missions réglementées, il agit souvent comme responsable de traitement distinct. La convention signée précise le rôle pour chaque mission.
Que faire d’un prestataire qui refuse de signer ?
Le refus est en soi un défaut de garantie. Il faut le documenter, limiter les données confiées et, à terme, changer de prestataire.
Revoir vos contrats de sous-traitance
L’inventaire des sous-traitants et la revue des contrats font partie de notre audit RGPD ; pour un contrat précis, nous le relisons et vous remettons la liste des clauses manquantes et des questions à poser au fournisseur.
