Aller au contenu principal
Quel logiciel RGPD

Les clauses types suffisent-elles pour vos contrats de sous-traitance ?

Pour qui : Vous êtes juriste ou responsable administratif d’une PME et vous devez encadrer vos prestataires qui traitent des données pour vous. Vous hésitez entre partir des clauses publiques, payer un modèle ou un outil.

Oui comme base. La Commission européenne a publié le 4 juin 2021 des clauses types entre responsable de traitement et sous-traitant, gratuites. La CNIL écrit qu’elles intègrent les dispositions obligatoires de l’article 28. Vous n’êtes pas tenu de les utiliser : un autre contrat convient s’il contient tous les éléments requis.

N’achetez pas un outil pour ce besoin. Un outil de gestion de contrats peut suivre des signatures et des dates. Il ne décrit pas votre traitement à votre place, et c’est ce qui prend du temps dans les annexes.

Notre avis

Oui comme base. Les clauses de la Commission de juin 2021 couvrent les mentions obligatoires, selon la CNIL. Le temps se passe sur les annexes, et un logiciel de contrats ne les remplira pas.

Pourquoi

  • La CNIL indique que ces clauses intègrent les dispositions obligatoires de l’article 28 et fournissent un support utile.
  • Vous pouvez les inclure dans un contrat plus large, sans les modifier, sauf les annexes.
  • L’article 28 n’impose pas ces clauses : un contrat qui contient tous les éléments requis convient aussi.

Ce qui change le choix

Le prestataire impose son modèle : passez à la vérification article par article. Transfert hors de l’Union : il faut les clauses dédiées aux transferts. Signatures et mises à jour qui se perdent : voyez le suivi, sans toucher au contenu du contrat.

L’ordre à suivre

  1. Vous rédigez le contrat : partez des clauses de la Commission et remplissez les annexes.
  2. Le prestataire impose son contrat : vérifiez les mentions de l’article 28.
  3. Plusieurs dizaines de contrats à signer et à suivre : ajoutez un suivi, sans changer de base contractuelle.

Trois règles de manipulation à connaître

Vous ne modifiez pas les clauses : les parties s’y engagent, sauf pour ajouter ou mettre à jour les informations des annexes. Vous pouvez les inclure dans un contrat plus large ou ajouter des garanties, à condition de ne pas les contredire. Elles ne servent pas aux transferts hors de l’Union, qui ont leurs propres clauses types.

Partez de ces clauses de 2021, et non de l’exemple que la CNIL a publié en 2017 : il a été rédigé dans l’attente de ces clauses. La page de la Commission propose une version Word et une foire aux questions, publiées le 25 mai 2022.

Le prestataire impose son contrat : la liste à vérifier

C’est le cas où les clauses ne vous servent pas. Comparez son contrat à l’article 28, paragraphe 3. Le texte lui demande de définir l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes, et les droits et obligations du responsable. Puis il exige ces engagements du sous-traitant.

Article 28, paragraphe 3 : à retrouver dans le contrat
PointLe sous-traitant s’engage àQuestion à se poser
aTraiter sur instruction documentée, y compris pour les transfertsOù sont écrites vos instructions ?
bSoumettre ses personnes à la confidentialitéLe contrat le dit-il expressément ?
cPrendre les mesures de sécurité de l’article 32Une annexe décrit-elle ces mesures ?
dRespecter les règles pour recruter un autre sous-traitantAutorisation spécifique ou générale, et comment êtes-vous prévenu ?
eAider à répondre aux demandes de droitsSous quel délai, avec votre délai d’un mois en tête ?
fAider pour la sécurité, les violations et les analyses d’impactLe délai d’alerte en cas de violation figure-t-il ?
gSupprimer ou renvoyer les données à la fin, selon votre choixLe choix vous appartient-il bien ?
hFournir les informations de preuve et permettre les auditsUn audit reste-t-il possible en pratique ?

Le suivi des signatures n’appelle pas forcément un achat

Aucune ressource publique lue ne suit les signatures ni les renouvellements. Pour quelques contrats, une colonne dans votre fichier de prestataires suffit. Plusieurs dizaines de contrats à suivre peuvent justifier un outil ; ce repère est le nôtre.

Limites de cette page

Le texte des clauses n’a pas pu être lu : le lien de la Commission a renvoyé une page de sélection de langue, et EUR-Lex répond par un contrôle automatique. Ce que nous en disons vient de la CNIL. Lisez le texte avant signature. Si le prestataire refuse des points essentiels sur un traitement sensible, l’enjeu justifie un conseil.

Prochaine action

Comparez un contrat existant aux huit points de l’article 28, paragraphe 3, et notez chaque absence. Si vous rédigez un nouveau contrat, partez des clauses de la Commission. Si des données sortent de l’Union, utilisez les clauses dédiées aux transferts.

Preuves et sources

Lu le 5 novembre 2026 : l’article 28 du RGPD dans le texte publié par la CNIL ; la page CNIL sur les clauses types, datée du 30 juin 2021 ; la page de la Commission européenne qui liste ces clauses ; l’exemple de clauses de la CNIL de 2017. Le texte des clauses lui-même n’a pas pu être lu.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode