Ce qu'il faut retenir
- Le contrat de sous-traitance de données (DPA) répartit la responsabilité des parties en cas de manquement au RGPD, avec des enjeux financiers réels.
- Le responsable de traitement répond du dommage causé par un traitement non conforme, tandis que le sous-traitant n'en répond que pour ses obligations propres ou s'il sort des instructions du responsable.
- La clause de répartition interne prévoit que chaque partie supporte le manquement qui lui est imputable : sécurité et transferts pour le sous-traitant, base légale et information pour le responsable.
- Le sous-traitant limite souvent sa responsabilité par un plafond, inopposable toutefois aux personnes concernées et aux autorités de contrôle.
- Le plafond doit tenir compte de la nature des données : un sous-traitant traitant des données sensibles devrait accepter un plafond plus élevé.
- Des clauses d'indemnisation réciproques et de recours permettent à la partie ayant supporté une sanction de se retourner contre l'autre.
Le contrat de sous-traitance de données personnelles (DPA) organise non seulement les obligations de chaque partie, mais aussi la répartition de leur responsabilité en cas de manquement au RGPD. Cette répartition n'est pas neutre : en cas d'incident ou de contrôle par la CNIL, elle détermine qui supporte in fine les conséquences financières entre les parties. Elle ne lie toutefois ni les personnes concernées ni l'autorité de contrôle. La rédaction des clauses de responsabilité dans un DPA mérite donc une attention spécifique.
La responsabilité selon le RGPD : une répartition légale
Le RGPD pose un cadre de responsabilité entre responsable de traitement et sous-traitant. Tout responsable du traitement ayant participé au traitement répond du dommage causé par un traitement non conforme ; il doit en outre choisir un sous-traitant présentant des garanties suffisantes (article 28, paragraphe 1). Le sous-traitant ne répond du dommage que s'il a manqué aux obligations qui lui incombent spécifiquement ou s'il a agi en dehors des instructions licites du responsable (article 82, paragraphe 2, du RGPD). Il peut aussi être directement mis en cause par les autorités de contrôle pour les manquements à ses propres obligations (obligations de l'article 28, sécurité, sous-traitance ultérieure, transferts).
La responsabilité entre les deux parties dans leurs relations internes, qui supporte in fine le coût d'un incident, est régie par le contrat. C'est là que les clauses de responsabilité jouent leur rôle.
La clause de répartition interne de la responsabilité
Le DPA doit préciser comment la responsabilité est répartie entre les parties en cas de dommage subi par une personne concernée ou de sanction prononcée par une autorité de contrôle. La règle générale est que chaque partie supporte la responsabilité correspondant à la partie du traitement dont elle avait la charge et au manquement qui lui est imputable.
En pratique, cela signifie que le sous-traitant prend en charge les conséquences des manquements qui lui sont propres (défaut de sécurité, recours non autorisé à des sous-traitants ultérieurs, transferts non conformes), tandis que le responsable de traitement supporte les conséquences des manquements qui lui incombent (défaut de base légale, information insuffisante des personnes, finalités non conformes).
Ces clauses s'insèrent dans le contrat prévu par l'article 28 du RGPD. Notre avocat RGPD les rédige et les négocie, côté responsable du traitement comme côté sous-traitant.
La clause de limitation de responsabilité du sous-traitant
Le sous-traitant cherchera généralement à limiter sa responsabilité financière par un plafond d'indemnisation, souvent exprimé en multiple des honoraires perçus sur la période concernée. Cette limitation est en principe valable entre les parties, mais elle n'est pas opposable aux personnes concernées ni aux autorités de contrôle : lorsque le responsable et le sous-traitant sont tous deux responsables d'un même dommage, chacun en répond pour le tout à l'égard de la personne concernée (article 82, paragraphe 4, du RGPD).
La négociation du plafond de responsabilité doit tenir compte de la nature des données traitées, du volume du traitement et des risques potentiels. Un sous-traitant traitant des données sensibles au sens de l'article 9 du RGPD (données de santé, par exemple) ou des données à fort enjeu comme les données financières devrait accepter un plafond plus élevé que celui qui traite des données peu sensibles.
Les clauses d'indemnisation et de recours
Le DPA peut prévoir des obligations d'indemnisation réciproques : le sous-traitant indemnise le responsable de traitement pour les dommages résultant de ses propres manquements, et inversement. Ces clauses doivent être précises sur les conditions de déclenchement, les procédures de notification et de coopération et les délais.
Une clause de recours permet à la partie qui a supporté une sanction ou une indemnisation du fait d'un manquement imputable à l'autre partie de se retourner contre elle pour récupérer les sommes versées. Pour l'indemnisation des personnes concernées, ce recours est d'ailleurs prévu par l'article 82, paragraphe 5, du RGPD, à proportion de la part de responsabilité de chacun.
Pour un accompagnement dans la rédaction de votre DPA, consultez notre page dédiée à l'avocat contrat de sous-traitance de données personnelles.
Pour être accompagné : avocat contrat de sous-traitance de données personnelles.
