Ce qu'il faut retenir
- À la fin d'un contrat de sous-traitance, le stock de données confié ne peut rester en l'état et impose un dénouement précis (article 28.3.g du RGPD).
- Le responsable de traitement choisit entre la restitution des données et leur suppression ; le sous-traitant ne décide pas seul.
- Dans les deux cas, les copies existantes doivent être détruites, y compris dans les environnements de tests, journaux et sauvegardes.
- Une exception réserve les obligations légales de conservation (comptables, fiscales, sociales), qui doivent être identifiées par un texte précis.
- Cette articulation rejoint le principe de limitation de la conservation (article 5.1.e) : garder les données le temps strictement nécessaire.
- La sortie se sécurise par une phase de réversibilité, un format de restitution, le traitement des sauvegardes et une attestation de suppression ; ces opérations doivent respecter l'obligation de sécurité de l'article 32.
La fin d'un contrat de sous-traitance est un moment sensible pour les données personnelles. Changement de prestataire, résiliation, terme d'une mission : dans tous les cas, le stock de données confié au sous-traitant ne peut pas rester en l'état. Le RGPD impose un dénouement précis, qui combine un choix laissé au responsable de traitement, une obligation de destruction des copies et une réserve tenant aux conservations légales. Mal anticipée, cette étape génère deux risques symétriques : une rétention illicite de données par l'ancien prestataire, ou une suppression prématurée qui prive l'entreprise d'informations dont elle a encore besoin. La clause de fin de contrat, trop souvent négligée, mérite donc la même attention que les clauses de sécurité.
Chaque situation est particulière : les modalités dépendent du contrat, du secteur et des obligations de conservation applicables. L'analyse ci-dessous présente le cadre, et non une consultation adaptée à un dossier précis.
Ce que prévoit le RGPD à la fin d'un contrat de sous-traitance
L'article 28.3.g du RGPD règle expressément la question. Au terme de la prestation, le sous-traitant doit, « selon le choix du responsable du traitement », supprimer toutes les données ou les renvoyer au responsable, puis détruire les copies existantes, « à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel ». Cette obligation figure parmi les clauses que le contrat de sous-traitance doit impérativement prévoir.
Restitution ou suppression : un choix qui appartient au responsable
Le texte ne laisse pas le sous-traitant arbitrer seul : c'est le responsable qui décide entre la restitution et la suppression. En pratique, la restitution s'impose lorsqu'il faut migrer les données vers un nouveau prestataire ou les réinternaliser ; la suppression convient lorsque le responsable dispose déjà des données par ailleurs. Dans les deux cas, l'opération s'accompagne de la destruction des copies détenues par le sous-traitant, y compris dans les environnements secondaires (tests, journaux, sauvegardes).
Ce choix gagne à être exercé formellement, par une instruction écrite, et documenté : il participe de la démonstration de conformité incombant au responsable.
L'exception : les obligations légales de conservation
L'article 28.3.g réserve l'hypothèse où le droit de l'Union ou national impose de conserver les données. Certaines obligations sectorielles (comptables, fiscales, sociales, par exemple) peuvent justifier un maintien temporaire de tout ou partie des données au-delà de la fin du contrat. Cette exception suppose d'identifier le texte précis qui fonde la conservation et sa durée : elle ne se présume pas et ne saurait servir de prétexte à une rétention générale.
Cette articulation rejoint le principe de limitation de la conservation de l'article 5.1.e : les données ne sont gardées que le temps strictement nécessaire aux finalités, puis supprimées ou archivées selon un régime maîtrisé.
Sécuriser la sortie : réversibilité, copies et preuve
La fin de contrat ne se résume pas à un effacement : elle suppose souvent une phase de réversibilité, durant laquelle le responsable récupère ses données dans un format exploitable avant leur suppression chez le prestataire. L'article 32 impose par ailleurs que ces opérations soient sécurisées : un effacement doit être effectif et, idéalement, attesté.
- Prévoir un délai de réversibilité et le format de restitution dans le contrat.
- Traiter spécifiquement le cas des sauvegardes (suppression différée selon le cycle de rotation, encadrée contractuellement).
- Exiger une attestation de suppression à l'issue de l'opération.
- Étendre l'obligation aux sous-traitants ultérieurs.
En pratique : organiser la fin de contrat
- Notifier au sous-traitant le choix entre restitution et suppression, par écrit.
- Vérifier l'existence d'éventuelles obligations légales de conservation et leur durée.
- Planifier la migration ou la réinternalisation avant l'effacement.
- Obtenir la preuve de la destruction des données et des copies.
- Mettre à jour le registre des activités de traitement et la cartographie des sous-traitants.
Points de vigilance
- La suppression n'est pas automatique : à défaut d'instruction, le sort des données reste incertain.
- Les copies oubliées (sauvegardes, environnements de test) sont une source fréquente de non-conformité.
- L'exception de conservation légale doit être justifiée texte en main, pour une durée déterminée.
- La réversibilité et la suppression sont deux étapes distinctes : l'une n'emporte pas l'autre.
Dans quels cas consulter un avocat ?
L'appui d'un avocat est utile pour rédiger une clause de fin de contrat opérante (choix, réversibilité, sauvegardes, preuve), pour articuler les obligations RGPD et les conservations légales, et pour sécuriser un changement de prestataire. Ces travaux relèvent de la négociation du contrat de sous-traitance de données personnelles et, plus largement, d'une démarche de conformité RGPD et de bonne gestion des données personnelles.
L'analyse doit être menée au cas par cas : la solution dépend des faits, de la rédaction du contrat et des obligations de conservation applicables.
Ce que dit le droit
Le sort des données en fin de contrat est expressément réglé par le RGPD. Le contrat de sous-traitance doit prévoir que le sous-traitant, « selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement » (article 28, paragraphe 3, point g). Le choix entre restitution et suppression appartient donc au responsable, et doit être organisé contractuellement.
Sources officielles
- Article 28 du RGPD (Règlement UE 2016/679), point 3 g) : CNIL
Chaque situation est particulière. Pour organiser la réversibilité et le sort des données en fin de contrat, nos avocats en protection des données vous accompagnent.
