Toute entreprise qui confie à un prestataire le traitement de données personnelles pour son compte doit formaliser cette relation dans un contrat de sous-traitance conforme à l'article 28 du règlement général sur la protection des données (RGPD). Cette obligation ne concerne pas uniquement les grandes structures : elle s'applique dès lors que des données personnelles sont traitées par un tiers, quelle que soit la taille des parties.
Un contrat de sous-traitance de données absent, incomplet ou non conforme expose le responsable de traitement à un risque de sanction de la part des autorités de contrôle et engage sa responsabilité en cas d'incident. Il expose également le sous-traitant s'il ne peut pas démontrer que ses pratiques effectives correspondent aux engagements contractuels.
Nous accompagnons les responsables de traitement et les sous-traitants dans la rédaction, l'audit et la négociation de leurs accords de traitement de données.
Ce qu'impose l'article 28 du RGPD
L'article 28 du RGPD impose que le traitement effectué par un sous-traitant soit régi par un contrat qui précise notamment : l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles concernées, les catégories de personnes concernées, les obligations et droits du responsable de traitement.
Le contrat doit également imposer au sous-traitant des obligations spécifiques : ne traiter les données que sur instruction documentée du responsable, s'assurer que les personnes autorisées s'engagent à respecter la confidentialité, mettre en œuvre des mesures de sécurité appropriées, respecter les conditions d'engagement de sous-traitants ultérieurs, assister le responsable dans la gestion des droits des personnes et des violations de données, restituer ou supprimer les données à l'issue du contrat et mettre à disposition les informations nécessaires pour démontrer la conformité.
Rédaction et structuration du contrat
Nous rédigeons des contrats de sous-traitance de données personnelles (également appelés DPA, pour data processing agreement) adaptés à la relation entre les parties : nature du traitement, volume de données, sensibilité des catégories traitées, localisation du prestataire, recours à des sous-traitants ultérieurs.
Nous veillons à ce que le document soit cohérent avec les pratiques effectives du sous-traitant et avec la documentation RGPD globale du responsable de traitement.
Audit d'un contrat existant
De nombreuses entreprises ont signé des DPA sans en mesurer les lacunes. Nous analysons vos contrats existants, identifions les obligations manquantes ou insuffisamment précises et proposons des amendements ou des avenants pour mettre la documentation en conformité.
Qualification des rôles
La qualification correcte des parties — responsable de traitement, sous-traitant ou responsables conjoints — conditionne les obligations applicables à chacun. Cette qualification n'est pas toujours évidente, notamment lorsque le prestataire traite les données pour ses propres finalités en plus de celles de son client. Nous analysons la situation factuelle et proposons le schéma contractuel adapté.
Transferts hors Union européenne
Lorsque le sous-traitant est établi hors de l'Union européenne ou recourt à des sous-traitants ultérieurs hors UE, le contrat doit intégrer les mécanismes de transfert applicables : clauses contractuelles types, décision d'adéquation, garanties appropriées. Nous veillons à ce que cette dimension soit correctement traitée dans la documentation contractuelle.
Pour une approche plus globale de votre conformité RGPD, consultez notre page dédiée à l'avocat RGPD et à l'avocat data protection.
Sous-traitants ultérieurs
Le RGPD encadre strictement le recours par le sous-traitant à des sous-traitants ultérieurs. Le contrat doit préciser si ce recours est autorisé, sous quelles conditions et avec quelles garanties. Nous structurons ces mécanismes et nous assurons que la chaîne de responsabilité est correctement documentée.
Quand nous consulter
Lorsque vous externalisez tout ou partie d'un traitement de données personnelles. Lorsqu'un prestataire vous propose un DPA que vous souhaitez analyser avant de le signer. Lorsque vous préparez un audit de conformité RGPD et que votre documentation contractuelle doit être mise à niveau. Lorsqu'une autorité de contrôle vous interroge sur votre documentation de sous-traitance.
Nous sommes disponibles pour analyser votre situation et vous accompagner dans la mise en conformité de votre documentation.
