Sous-traitant RGPD : que doit contenir le contrat avec vos prestataires ?

Hébergeur de votre site, éditeur du logiciel de paie en ligne, agence qui gère vos campagnes d’e-mailing : dès qu’un prestataire manipule des données personnelles pour votre compte, le RGPD impose de signer avec lui un contrat qui reprend les obligations de son article 28. Le guide du sous-traitant publié par la CNIL détaille qui est concerné et propose des exemples de clauses. Voici comment savoir si votre prestataire est un sous-traitant et ce que le contrat doit prévoir.

Votre prestataire est-il un sous-traitant au sens du RGPD ?

Un sous-traitant manipule des données personnelles au nom d’un responsable de traitement, en suivant ses consignes et sous son autorité. Le responsable est l’organisme qui fixe l’objectif du traitement et la façon de le mener. La CNIL cite notamment :

• les prestataires informatiques qui ont accès aux données : hébergement, maintenance, intégrateurs de logiciels, sociétés de sécurité informatique, entreprises de services du numérique ;
• les agences de marketing ou de communication qui manipulent des données pour le compte de leurs clients ;
• plus largement, tout organisme dont la prestation implique un traitement de données pour le compte d’un autre, y compris une association ou un organisme public.

Les éditeurs de logiciels et les fabricants de matériel (badgeuse, matériel biométrique ou médical) ne sont pas concernés tant qu’ils n’ont pas accès aux données. À l’inverse, un prestataire qui fixe lui-même la finalité et les moyens d’un traitement n’est pas sous-traitant : il en devient responsable. Pour trancher un cas douteux, la CNIL renvoie au faisceau d’indices dégagé par le groupe des autorités européennes de protection des données (G29) : niveau d’instruction donné au prestataire, degré de contrôle exercé par le client, expertise apportée, et visibilité du prestataire auprès des personnes concernées.

Les mentions obligatoires du contrat

Le contrat, ou tout autre acte juridique, doit d’abord décrire la prestation. Selon la CNIL et la fiche RGPD du site Entreprendre Service Public, il précise :

• l’objet et la durée de la prestation ;
• la nature et la finalité du traitement ;
• le type de données traitées et les catégories de personnes visées ;
• les obligations et les droits du client, responsable de traitement, et ceux du sous-traitant.

La fiche officielle recommande d’y ajouter des contraintes minimales d’authentification des utilisateurs, les modalités de restitution puis de destruction des données quand le contrat prend fin, la façon de gérer et de signaler les incidents, ainsi que le mode d’autorisation choisi pour un éventuel sous-traitant ultérieur.

Les clauses à vérifier, une par une

Le modèle de la CNIL fait prendre au prestataire une série d’engagements. Avant de signer, contrôlez que le contrat prévoit qu’il s’engage à :

1. traiter les données uniquement pour la finalité prévue et selon vos instructions documentées, et vous alerter immédiatement si une instruction lui paraît contraire au RGPD ;
2. garantir la confidentialité : les personnes qui accèdent aux données s’y engagent et reçoivent une formation à leur protection ;
3. ne recourir à un autre sous-traitant qu’avec votre autorisation écrite, spécifique ou générale ; dans le second cas, il vous informe à l’avance de tout ajout ou remplacement pour que vous puissiez vous y opposer ;
4. vous aider à répondre aux personnes qui exercent leurs droits : accès, rectification, effacement, opposition, limitation, portabilité ;
5. vous notifier toute violation de données dans un délai fixé au contrat, avec la documentation utile pour que vous puissiez, si nécessaire, la déclarer à la CNIL ;
6. vous assister pour les analyses d’impact et la consultation préalable de la CNIL ;
7. mettre en place des mesures de sécurité décrites précisément, par exemple le chiffrement ou la pseudonymisation des données ;
8. en fin de prestation, détruire ou restituer les données, détruire les copies existantes et justifier par écrit de cette destruction ;
9. tenir un registre des traitements effectués pour votre compte et vous communiquer le nom de son DPO s’il en a un ;
10. mettre à votre disposition la documentation prouvant le respect de ses obligations et permettre des audits, y compris des inspections.

De votre côté, en tant que client, vous vous engagez à fournir les données nécessaires, à documenter vos instructions par écrit et à superviser le traitement, audits compris.

Ce que risquent les deux parties

Le sous-traitant n’est pas un simple exécutant. Une personne lésée par un manquement au RGPD peut demander réparation au responsable de traitement comme au sous-traitant (article 82 du règlement). Les amendes administratives prévues par l’article 83 peuvent atteindre, selon l’infraction, 10 ou 20 millions d’euros ou, pour une entreprise, 2 % ou 4 % de son chiffre d’affaires mondial de l’année précédente, en retenant le plus élevé des deux montants. Elles peuvent viser un prestataire qui agit hors de vos instructions, sous-traite sans autorisation ou ne tient pas de registre. S’il fait appel à un autre prestataire défaillant, il reste pleinement responsable envers vous.

Questions fréquentes

Peut-on reprendre tel quel l’exemple de clauses de la CNIL ?

Le guide, édité en septembre 2017, précise que ces clauses sont à ajuster à chaque prestation et ne suffisent pas, seules, à former un contrat de sous-traitance.

Mon prestataire peut-il confier une partie du travail à un autre ?

Oui, mais seulement avec votre autorisation écrite. Le prestataire ultérieur est soumis aux mêmes obligations que le premier.

Qui déclare une fuite de données à la CNIL ?

C’est en principe au client, responsable de traitement. Le prestataire le prévient dans les meilleurs délais. Si le contrat le prévoit et que le client l’accepte, le prestataire peut faire la notification à sa place, si possible dans les 72 heures suivant la découverte de la violation.

Un prestataire établi hors de l’Union européenne est-il concerné ?

Oui, s’il traite pour votre compte des données de personnes qui se trouvent dans l’Union européenne. Il doit alors désigner un représentant dans l’Union. Pour une situation précise, la CNIL reste l’interlocuteur à consulter.

Sources

• Règlement européen sur la protection des données personnelles : guide du sous-traitant (édition septembre 2017) — CNIL, 2017-09-27
• Obligations en matière de protection des données personnelles (RGPD) — Entreprendre Service Public (DILA), 2024-04-26
• Règlement général sur la protection des données, chapitre VIII (articles 77 à 84) — CNIL, 2016-04-27