Règlement (UE) 2016/679, article 28

Sous-traitance : ce que l'article 28 impose au contrat

Confier des données à un prestataire n'est pas s'en décharger. L'article 28 du règlement (UE) 2016/679 organise cette relation par un contrat dont il fixe le contenu, et il fait peser sur le responsable du traitement une obligation préalable : ne faire appel qu'à des sous-traitants présentant des garanties suffisantes. Le choix du prestataire est lui-même un acte de conformité.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

La qualification précède le contrat

Le sous-traitant est, selon l'article 4.8, celui qui traite des données pour le compte du responsable du traitement. Le critère n'est pas la nature de la prestation ni la présence d'une facture : il est l'absence de détermination des finalités. Un prestataire qui décide pour quoi les données sont traitées n'est pas un sous-traitant, quel que soit le nom que lui donne le contrat.

L'article 28.10 sanctionne d'ailleurs expressément le dépassement : le sous-traitant qui détermine les finalités et les moyens du traitement est considéré comme responsable du traitement pour ce traitement. Il ne devient pas fautif par principe, mais il supporte alors toutes les obligations d'un responsable — base légale, information des personnes, réponse aux demandes de droits — qu'il n'a en général pas prévues.

Trois configurations doivent donc être distinguées avant de rédiger : la sous-traitance de l'article 28, la responsabilité conjointe de l'article 26 lorsque deux entités déterminent conjointement les finalités et les moyens, et la relation entre deux responsables indépendants, qui n'appelle aucun de ces deux régimes mais impose une information des personnes sur le destinataire.

Les huit obligations du paragraphe 3

L'article 28.3 impose un contrat ou un autre acte juridique écrit, y compris sous forme électronique, qui définit l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées, et les obligations et droits du responsable. Il énumère ensuite huit engagements que le contrat doit prévoir à la charge du sous-traitant.

a) Le traitement sur instruction documentée

Le sous-traitant ne traite que sur instruction documentée du responsable, y compris pour les transferts vers un pays tiers, à moins qu'il n'y soit tenu par le droit de l'Union ou d'un État membre — auquel cas il en informe le responsable avant le traitement, sauf interdiction de ce droit pour des motifs d'intérêt public.

b) La confidentialité des personnes autorisées

Il veille à ce que les personnes autorisées à traiter les données s'engagent à la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

c) Les mesures de sécurité de l'article 32

Il prend toutes les mesures requises en vertu de l'article 32, qui impose des mesures appropriées au risque, compte tenu de l'état des connaissances et des coûts de mise en œuvre.

d) Le respect des conditions du recrutement ultérieur

Il respecte les conditions des paragraphes 2 et 4 pour recruter un autre sous-traitant.

e) L'aide à répondre aux demandes de droits

Il aide le responsable, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s'acquitter de son obligation de donner suite aux demandes d'exercice des droits prévues au chapitre III.

f) L'aide sur la sécurité, les violations et les analyses d'impact

Il aide le responsable à garantir le respect des obligations des articles 32 à 36, compte tenu de la nature du traitement et des informations dont il dispose : sécurité, notification des violations, analyse d'impact et consultation préalable.

g) Le sort des données en fin de prestation

Selon le choix du responsable, il supprime les données ou les lui renvoie au terme de la prestation, et détruit les copies existantes, à moins que le droit de l'Union ou d'un État membre n'exige leur conservation.

h) La mise à disposition des informations et l'audit

Il met à la disposition du responsable toutes les informations nécessaires pour démontrer le respect des obligations de l'article 28, et permet la réalisation d'audits, y compris des inspections, par le responsable ou un auditeur qu'il a mandaté, et contribue à ces audits.

Les sous-traitants ultérieurs

L'article 28.2 subordonne le recrutement d'un autre sous-traitant à une autorisation écrite préalable, spécifique ou générale, du responsable. Lorsque l'autorisation est générale, le sous-traitant informe le responsable de tout changement prévu concernant l'ajout ou le remplacement d'autres sous-traitants, donnant ainsi au responsable la possibilité d'émettre des objections.

L'article 28.4 ajoute deux règles décisives. Les mêmes obligations en matière de protection des données que celles fixées dans le contrat avec le responsable sont imposées au sous-traitant ultérieur, par contrat ou par un autre acte juridique. Et lorsque celui-ci ne remplit pas ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.

Cette dernière phrase est la raison pour laquelle une clause qui exonérerait le prestataire des manquements de ses propres fournisseurs est sans effet : elle contredit une règle du règlement, et non une simple pratique de marché.

Le droit d'audit : ce qu'il permet réellement

Le point h) du paragraphe 3 donne au responsable un droit d'audit, y compris par inspection. Un prestataire qui refuse tout droit d'audit ne peut donc pas signer un contrat conforme. En pratique, les prestataires de masse n'acceptent pas des audits individuels de chaque client et proposent à la place des rapports de certification ou d'attestation établis par un tiers.

Cette substitution n'est acceptable qu'à deux conditions, qui se vérifient sur pièces. Que le périmètre du rapport couvre effectivement le service utilisé et les mesures pertinentes pour le traitement en cause, et non une partie de l'infrastructure. Et que le contrat conserve un droit d'audit résiduel, mobilisable notamment après un incident, car c'est précisément le moment où un rapport annuel ne répond à aucune des questions qui se posent.

Questions fréquentes

Un contrat de sous-traitance RGPD doit-il être un document séparé ?

L'article 28.3 du règlement (UE) 2016/679 exige un contrat ou un autre acte juridique écrit, sans imposer de document distinct. Des clauses insérées dans le contrat principal suffisent. Un accord séparé présente l'avantage pratique de pouvoir être mis à jour sans rouvrir la négociation commerciale, et d'être transmis tel quel aux équipes juridiques.

Qui répond devant la CNIL en cas de manquement d'un prestataire ?

Les deux, chacun au titre de ses propres obligations. Le responsable répond de son choix de prestataire, que l'article 28.1 lui impose d'opérer parmi ceux présentant des garanties suffisantes, et de l'encadrement contractuel. Le sous-traitant répond des obligations que le règlement lui impose directement, notamment celles des articles 28, 30.2, 32 et 33.2. L'article 82 organise par ailleurs leur responsabilité civile envers les personnes.

Une liste de sous-traitants ultérieurs publiée en ligne est-elle valable ?

Pas à elle seule. L'article 28.2 impose, en cas d'autorisation générale, une information du responsable sur tout changement prévu et une possibilité effective d'émettre des objections. Une page mise à jour sans notification active n'informe personne et n'ouvre aucun délai d'objection : il faut un envoi aux clients et un délai écrit.

Que devient le contrat si le prestataire est hors de l'Union européenne ?

Les deux régimes se cumulent. Les clauses de l'article 28.3 restent dues, et le transfert doit en outre reposer sur un mécanisme du chapitre V : décision d'adéquation, clauses contractuelles types ou autre garantie appropriée. Les clauses types adoptées par la Commission comportent un module qui couvre également les exigences de l'article 28, ce qui évite de superposer deux contrats distincts.

Ce que ce régime déclenche ailleurs

Dès que le prestataire ou l'un de ses sous-traitants est établi hors de l'Union, le chapitre V du règlement s'ajoute aux exigences de l'article 28.

Transférer des données hors de l'Union

L'article 30 impose d'inscrire les catégories de destinataires : le recoupement entre le registre et les contrats réellement signés est le premier contrôle opéré.

Inscrire les destinataires au registre

Ce qui constitue un transfert, les mécanismes du chapitre V, l'analyse d'impact du transfert, les dérogations de l'article 49 et le cas des accès distants.

Transferts hors UE

Ce qui constitue une violation, le délai de 72 heures et son point de départ, les critères qui commandent la notification et l'information des personnes.

Violation de données

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.