Sous-traitance RGPD : l'article 28 et vos contrats

Une PME tech additionne, sans toujours le mesurer, un hébergeur cloud, un outil d'emailing, une solution d'analyse et un service de paiement. Chacun manipule des données personnelles pour son compte. Lors d'un audit client, l'entreprise réalise qu'aucun de ces prestataires n'est encadré par un contrat conforme. Le recours à un sous-traitant n'a rien d'anodin. L'article 28 du RGPD impose un formalisme contractuel précis, dont la maîtrise rassure vos clients et vos investisseurs.

Qui est sous-traitant au sens du RGPD

Le sous-traitant traite des données personnelles pour le compte du responsable de traitement. Cette qualification dépend du rôle réel, pas de l'intitulé commercial du prestataire. Un hébergeur, un éditeur de logiciel en mode SaaS ou un prestataire marketing entrent généralement dans cette catégorie.

Le responsable de traitement, lui, détermine les finalités et les moyens du traitement. Identifier correctement ces rôles conditionne le contenu des contrats. Une cartographie de vos prestataires révèle souvent un nombre de sous-traitants supérieur à ce que vous imaginiez.

Le contrat de sous-traitance : une obligation écrite

L'article 28 du RGPD impose un contrat écrit, fréquemment désigné par l'acronyme DPA pour data processing agreement. Ce document encadre la relation et fixe les obligations de chaque partie. Son absence constitue un manquement sanctionnable.

Le contrat précise l'objet et la durée du traitement, sa nature et sa finalité, le type de données concernées et les catégories de personnes. Il définit aussi les obligations respectives du responsable et du sous-traitant. Ces mentions ne relèvent pas du confort rédactionnel. Elles forment le contenu minimal exigé par le texte.

Les obligations du sous-traitant

Le sous-traitant agit uniquement sur instructions documentées du responsable. Il ne décide pas seul de nouvelles finalités. Cette subordination juridique distingue clairement son rôle de celui du responsable de traitement.

Il garantit la confidentialité en veillant à l'engagement de ses propres équipes. Il assure la sécurité des données au sens de l'article 32. Il assiste le responsable dans la gestion des droits des personnes, la notification des violations et la réalisation des analyses d'impact. En fin de contrat, il supprime ou restitue les données selon le choix du responsable, et il se soumet aux audits destinés à vérifier sa conformité.

La chaîne de sous-traitance

Un sous-traitant fait lui-même souvent appel à d'autres prestataires, qui deviennent des sous-traitants ultérieurs. Votre hébergeur peut s'appuyer sur des services tiers, votre outil SaaS sur un fournisseur d'infrastructure. Cette chaîne de sous-traitance ne saurait échapper au cadre de l'article 28.

Le sous-traitant ne peut recruter un sous-traitant ultérieur sans autorisation du responsable, écrite et préalable, ou générale et encadrée. Les mêmes obligations contractuelles se répercutent tout au long de la chaîne. Vérifier la liste des sous-traitants ultérieurs de vos prestataires fait donc partie d'une diligence sérieuse.

La responsabilité propre du sous-traitant

Le sous-traitant n'est pas un simple exécutant à l'abri de toute exposition. Le RGPD prévoit sa responsabilité propre lorsqu'il méconnaît ses obligations ou agit en dehors des instructions reçues. Une autorité de contrôle peut le sanctionner directement.

Cette responsabilité partagée renforce l'intérêt d'un contrat clair. Il délimite les rôles, répartit les obligations et sécurise les deux parties. Pour une startup qui agit tantôt comme responsable, tantôt comme sous-traitant de ses propres clients, cette double casquette mérite une attention particulière dans la rédaction.

Cette double position offre aussi une opportunité commerciale. Lorsque vous vendez une solution SaaS, votre client vous interroge sur votre conformité à l'article 28. Un contrat solide, présenté sans délai, fluidifie la signature et vous distingue de concurrents moins préparés. La maîtrise de votre rôle de sous-traitant devient alors un argument de vente concret.

S'appuyer sur les clauses contractuelles types

La Commission européenne a publié des clauses contractuelles types destinées à encadrer la relation entre responsable et sous-traitant. Ces modèles couvrent les mentions exigées par l'article 28 et fournissent une base fiable. Ils accélèrent la mise en conformité sans repartir d'une page blanche.

Ces clauses ne dispensent pas d'une adaptation à votre contexte. Le périmètre des données, les durées et les modalités d'audit reflètent votre activité réelle. Un contrat de sous-traitance soigné devient un argument lors de vos négociations commerciales. Il démontre que vous maîtrisez votre chaîne de traitement, signal apprécié des grands comptes et des investisseurs.

Vos contrats de sous-traitance couvrent-ils réellement vos prestataires ? Faites-les vérifier par le cabinet.