Que doit contenir un contrat de sous-traitance ?
Pour qui : Vous relisez un contrat de prestataire, parfois un document imposé et non négociable, et vous devez dire s’il couvre ce que le RGPD exige. Un sous-traitant est un prestataire qui traite des données pour le compte de votre organisation.
Le contrat doit être écrit, sous forme électronique ou non, et couvrir chaque élément de l’article 28, paragraphe 3 : description du traitement, instructions, confidentialité, sécurité, sous-traitants ultérieurs, aide, sort des données et audits. Une phrase disant que le prestataire « respecte le RGPD » n’y suffit pas.
Face à un texte imposé, relevez les écarts et classez-les. Un écart de formulation peut s’accepter. Un élément exigé qui manque se règle par un avenant ou remonte à la direction : le CEPD n’admet pas le déséquilibre entre les parties comme justification.
Notre avis
Faites la grille et cochez élément par élément, en commençant par votre contrat le plus important. Séparez ce que l’article exige de ce que le CEPD recommande : seuls les premiers justifient de bloquer une signature.
Pourquoi
- L’article 28, paragraphe 3 énumère ce que le contrat doit prévoir, et ce contenu se vérifie sans logiciel.
- Pour le CEPD, recopier le règlement ne suffit pas : le contrat doit préciser comment chaque exigence sera tenue.
- Le CEPD adapte le détail au risque, mais demande dans tous les cas que tous les éléments soient couverts.
Ce qui change le choix
Traitement à faible risque : tous les éléments restent dus, le niveau de détail peut baisser. Contrat imposé qui refuse de combler un élément exigé : la décision change de niveau, de la relecture à l’arbitrage de direction.
L’ordre à suivre
- Élément exigé par l’article absent : demandez un avenant ou l’annexe manquante.
- Élément présent mais vague : précisez-le si le risque le justifie, sinon notez l’écart.
- Formulation différente d’une recommandation du CEPD : notez et acceptez si le fond y est.
- Refus de combler un élément exigé : remontez la décision et cherchez une autre option.
La grille à cocher, élément par élément
Le texte exige ces éléments. La dernière colonne est notre conseil de lecture.
| Point du texte | Ce que le contrat doit prévoir | À regarder de près |
|---|---|---|
| Paragraphe 3, début | Objet, durée, nature et finalité du traitement, type de données, catégories de personnes, droits et obligations du responsable. | Une annexe vide, ou « toutes données nécessaires au service ». |
| Point a | Traitement sur instruction documentée seulement, transferts hors de l’Union compris. Si le droit de l’Union ou d’un État membre impose un traitement, le prestataire vous en informe avant, sauf si ce droit l’interdit pour des motifs importants d’intérêt public. Recopier l’exception elle-même est recommandé sans être exigé (voir plus bas). | Où figurent vos instructions, et comment les modifier. |
| Point b | Engagement de confidentialité des personnes autorisées. | Une clause limitée aux seuls salariés, si des tiers interviennent. |
| Point c | Mesures de sécurité de l’article 32. | Un simple renvoi, sans document décrivant les mesures. |
| Point d | Respect des règles sur les sous-traitants ultérieurs. | L’autorisation retenue et la procédure en cas d’objection. |
| Point e | Aide pour répondre aux demandes de droits. | Qui reçoit la demande et sous quel délai le prestataire la transmet. |
| Point f | Aide pour la sécurité, les violations, l’analyse d’impact et la consultation de l’autorité (articles 32 à 36). | Le canal et le contact en cas de violation. |
| Point g | Suppression ou renvoi des données au choix du responsable, en fin de prestation, et destruction des copies. | Qui choisit : le texte vous donne ce choix. |
| Point h | Informations pour démontrer le respect de l’article et audits, inspections comprises. Alerte immédiate si une instruction paraît contraire au droit. | Un rapport remis à la place de tout audit possible. |
| Paragraphe 9 | Forme écrite, électronique admise. | Un document introuvable ou une version non datée. |
Exigé par le texte, attendu par le CEPD : ne mélangez pas
Ce tableau reprend ce que le CEPD a écrit. Il s’agit de son interprétation, qui n’est pas un article du règlement. Un contrat rédigé autrement peut donc rester valable sur ces points, sauf quand le CEPD rappelle une exigence du texte.
| Sujet | Position | Force |
|---|---|---|
| Recopier le règlement | Le contrat ne devrait pas se limiter à reprendre le texte. Il devrait dire comment les exigences seront remplies et quel niveau de sécurité s’applique. | Lignes directrices 07/2020, point 112 |
| Traitement à faible risque | Inutile d’imposer des procédures très strictes, mais tous les éléments de l’article 28, paragraphe 3 doivent figurer au contrat. | Lignes directrices 07/2020, point 113 |
| Conditions rédigées par le prestataire | Ce fait n’est pas un problème en soi. Le déséquilibre ne justifie pas d’accepter des clauses contraires au droit, et le responsable qui accepte assume sa responsabilité. | Lignes directrices 07/2020, point 110 |
| Modification des conditions types | Elle devrait vous être notifiée directement et approuvée. Une simple publication sur le site du prestataire ne respecte pas l’article 28. | Lignes directrices 07/2020, point 110 |
| Mention « sauf si le droit de l’Union ou d’un État membre l’exige » | Hautement recommandée, sans être obligatoire. | Avis 22/2024 |
| Variante « sauf si la loi ou un ordre d’une autorité l’exige » | N’enfreint pas en soi le point a. En cas de transfert hors de l’Espace économique européen, cette seule formule a peu de chances de suffire. | Avis 22/2024 |
Partir des clauses types de la Commission
Si vous rédigez le contrat, partez des clauses publiées par la Commission le 4 juin 2021. Selon la CNIL, leur usage reste facultatif tant que le contrat contient tous les éléments de l’article 28. Elles ne se modifient pas, sauf dans les annexes. Vous pouvez les intégrer à un contrat plus large si rien ne les contredit.
Deux pièges. Ces clauses ne servent pas à encadrer un transfert hors de l’Union : il existe d’autres clauses types pour cela. Et la page de la CNIL du 4 octobre 2017 sur son exemple de clauses dit encore attendre des clauses types, qui ont paru depuis : utilisez-la comme aide, sans en faire votre point de départ.
Le contrat imposé par un grand prestataire
Relevez les écarts et classez-les. Écart de forme, ou élément vague sur un traitement à faible risque : notez-le et signez. Élément exigé absent : cherchez d’abord s’il figure dans une annexe ou un accord de traitement séparé, puis écrivez au prestataire. S’il refuse, le choix de rester chez lui ou de partir revient à la direction, avec la grille sous les yeux.
Limites de cette page
Cette grille contrôle la présence des éléments, sans juger si une clause précise protège assez pour votre traitement. Les paragraphes du RGPD ont été lus dans le texte de la CNIL, qui n’affiche pas leur numéro. Nous n’avons pas pu lire la décision de la Commission de 2021 elle-même, seulement les pages qui la présentent. Pour un contrat à fort enjeu ou un refus du prestataire, faites relire par votre conseil.
Prochaine action
Recopiez la grille et cochez votre contrat le plus important. Notez chaque écart, classé en élément manquant, élément vague ou écart de forme, et traitez d’abord les éléments manquants.
Preuves et sources
Lu le 5 novembre 2026 : l’article 28 du RGPD dans le texte publié par la CNIL, les lignes directrices 07/2020 du CEPD (version 2.1), son avis 22/2024, adopté le 7 octobre 2024, et les pages de la CNIL sur les clauses types (30 juin 2021) et sur son exemple de clauses (4 octobre 2017).
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 28, paragraphe 3 du RGPD impose un contrat ou un autre acte juridique qui définit l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes et les droits et obligations du responsable, et prévoit les points a à h.
Portée : Toute relation de sous-traitance.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis d’après l’ordre du texte. Un autre acte juridique peut remplacer le contrat.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le contrat ou l’acte juridique se présente sous une forme écrite, y compris en format électronique.
Portée : Article 28, paragraphe 9.
Réserve : Numéro de paragraphe rétabli.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon le CEPD, le contrat ne devrait pas se limiter à reprendre les dispositions du RGPD et devrait indiquer de façon concrète comment les exigences seront remplies et quel niveau de sécurité s’applique.
Portée : Lignes directrices 07/2020, version 2.1, point 112.
Réserve : Interprétation du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, un traitement à faible risque n’appelle pas de procédures particulièrement strictes, mais tous les éléments de l’article 28, paragraphe 3 doivent être couverts par le contrat.
Portée : Lignes directrices 07/2020, version 2.1, point 113.
Réserve : Interprétation du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, le déséquilibre entre un petit responsable et un grand prestataire ne justifie pas d’accepter des clauses contraires au droit, et la modification de conditions types devrait être notifiée directement et approuvée, une simple publication sur le site n’étant pas conforme à l’article 28.
Portée : Lignes directrices 07/2020, version 2.1, point 110.
Réserve : Le CEPD tient compte de la marge du prestataire sur les éléments non essentiels des moyens.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon l’avis 22/2024 du CEPD, reprendre les mots « sauf si le droit de l’Union ou d’un État membre l’exige » est hautement recommandé sans être obligatoire ; la variante visant une loi ou un ordre d’une autorité n’enfreint pas en soi l’article 28, paragraphe 3, point a, et il est peu probable qu’elle suffise seule pour des données transférées hors de l’Espace économique européen.
Portée : Avis adopté le 7 octobre 2024, résumé.
Réserve : Avis du CEPD. Cette clause ne dispense jamais le prestataire de ses obligations.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, les clauses types de la Commission du 4 juin 2021 n’ont pas à être utilisées si le contrat contient tous les éléments de l’article 28, ne se modifient pas hors annexes, peuvent s’intégrer à un contrat plus large sans contradiction, et ne servent pas aux transferts du chapitre V.
Portée : Page CNIL du 30 juin 2021.
Réserve : Décision de la Commission non lue directement : son texte n’a pas pu être récupéré.
- CNIL : Clauses contractuelles types entre responsable de traitement et sous-traitant | CNIL Page datée du 30 juin 2021. Lu le 5 novembre 2026. Document d’origine.
- Commission européenne : Standard contractual clauses for controllers and processors in the EU/EEA - European Commission 4 juin 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La page de la CNIL sur l’exemple de clauses, datée du 4 octobre 2017, indique proposer ces exemples dans l’attente de clauses types, alors que la Commission a publié les siennes le 4 juin 2021.
Portée : Pages lues le 5 novembre 2026.
Réserve : Il s’agit d’une page ancienne, sans valeur de doctrine actuelle sur ce point.
- CNIL : Sous-traitance : Exemple de clauses | CNIL Lu le 5 novembre 2026. Document d’origine.
- Commission européenne : Standard contractual clauses for controllers and processors in the EU/EEA - European Commission 4 juin 2021. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. La colonne d’alerte de la grille et le classement des écarts en élément manquant, vague ou de forme sont une méthode proposée par cette page.
Portée : Relecture d’un contrat.
Réserve : Sans valeur légale. Une clause précise peut appeler un avis de conseil.
Daté du 5 novembre 2026.