Que devient la donnée à la fin d’un contrat de sous-traitance ?
Pour qui : Vous changez de prestataire ou un contrat arrive à terme. Le nouveau veut les données, l’ancien tarde à répondre, et vous ne savez pas qui décide de leur sort ni comment vous assurer qu’aucune copie ne reste.
La décision vous appartient. Au terme du service, le prestataire supprime toutes les données ou vous les renvoie selon votre choix, et détruit les copies existantes, sauf si le droit de l’Union ou d’un État membre exige de les conserver (article 28, paragraphe 3, point g).
L’article ne parle pas d’attestation. Le CEPD attend toutefois que le prestataire confirme la suppression dans un délai et selon des modalités convenus, et l’exemple de clauses de la CNIL prévoit une justification écrite. Faites-le écrire au contrat ou, à défaut, demandez-le au moment de partir.
Notre avis
Vérifiez la clause sur vos trois principaux contrats et exigez une confirmation écrite de suppression, datée, qui couvre les copies. Faites votre choix par écrit avant la fin de la prestation, et contrôlez l’export avant de demander la suppression.
Pourquoi
- L’article 28, paragraphe 3, point g vous donne le choix entre suppression et renvoi, et vise les copies existantes.
- Le CEPD ajoute que le contrat devrait permettre de changer ce choix avant la fin et que le prestataire devrait confirmer la suppression.
- La sanction de décembre 2025 porte sur une copie conservée dans un environnement hors production après la fin du contrat.
Ce qui change le choix
Si vous reprenez le service chez un autre prestataire, le renvoi passe avant la suppression. Si le prestataire invoque une obligation légale de conservation, demandez le texte : l’exception ne vaut que pour le droit de l’Union ou d’un État membre.
L’ordre à suivre
- Avant la fin : choix écrit, export récupéré et contrôlé, puis suppression.
- Si vous changez de prestataire : renvoi d’abord, suppression ensuite, jamais dans l’autre ordre.
- Si la loi impose au prestataire de conserver : qu’il cite le texte, les données visées et la durée.
L’ordre des gestes quand un contrat se termine
Ces étapes sont notre méthode. Elles traitent des données que vous avez confiées au prestataire. La reprise d’un registre d’un logiciel à l’autre relève d’une autre page.
- Relisez la clause et notez la date de fin, le format d’export et le délai de suppression. S’il manque le choix entre suppression et renvoi, écrivez-le dans votre demande : le texte vous le donne.
- Écrivez votre choix avant la fin de la prestation. Le CEPD admet qu’il soit fixé dès la signature, et le contrat devrait permettre d’en changer avant la fin.
- Récupérez l’export et contrôlez-le sur un échantillon : volume, champs, pièces jointes, lisibilité. Notre conseil : aucune suppression avant ce contrôle.
- Demandez la suppression, en nommant les copies : production, environnements de test, exports internes, sous-traitants ultérieurs. Le texte vise les copies existantes. Les obligations passent aux sous-traitants ultérieurs par l’article 28, paragraphe 4.
- Demandez ce qu’il advient des sauvegardes, et à quelle date elles expirent. Notre conseil : aucun texte lu ne traite ce cas en détail.
- Obtenez une confirmation écrite et datée, et classez-la. CEPD : confirmation dans un délai et selon des modalités convenus.
- Marquez le prestataire comme sorti dans votre fichier, avec la date, et mettez à jour le registre. Article 30, destinataires et transferts.
Ce que la clause doit dire, et ce que le texte ne dit pas
Trois niveaux à ne pas confondre.
| Exigence | Source | Force |
|---|---|---|
| Suppression ou renvoi selon votre choix, destruction des copies | RGPD, article 28, paragraphe 3, point g | Obligatoire, sauf conservation exigée par le droit de l’Union ou d’un État membre |
| Suppression sûre, confirmation dans un délai et selon des modalités convenus | CEPD, lignes directrices 07/2020, point 141 | Attendu par le CEPD |
| Le prestataire ou le responsable qui connaît une obligation légale de conserver prévient l’autre au plus tôt | CEPD, lignes directrices 07/2020, point 142 | Attendu par le CEPD |
| Justification écrite de la destruction | CNIL, exemple de clauses du 4 octobre 2017 | Modèle ancien, à titre d’exemple |
| Renvoi au nouveau prestataire que vous désignez | CNIL, même exemple | Option de rédaction, utile pour un changement de prestataire |
Pourquoi nommer les copies : la sanction de décembre 2025
Le 11 décembre 2025, la CNIL a sanctionné Mobius Solutions d’une amende d’un million d’euros. Ce prestataire avait conservé une copie des données de plus de 46 millions d’utilisateurs de Deezer après la fin de leur contrat. La société disait que trois salariés avaient copié ces données à son insu. La formation restreinte a retenu sa responsabilité : les données se trouvaient sur un environnement hors production de la société, avec celles d’autres clients. La violation de données notifiée par Deezer en novembre 2022 a ouvert l’affaire.
Ce cas ne dit pas que chaque prestataire garde des copies, ni ce qu’un autre dossier coûterait. Il montre pourquoi votre demande doit nommer les environnements de test. Une confirmation écrite ne prouve pas que tout a disparu : elle vous laisse une trace datée de votre demande et de la réponse.
Quand le prestataire doit garder quelque chose
L’exception vise uniquement le droit de l’Union ou d’un État membre. Une obligation invoquée au titre d’un autre droit, ou une simple politique interne de conservation, n’entre pas dans ces mots. Demandez le texte, les données concernées et la durée. Les données que le prestataire garde pour sa propre facturation relèvent d’un autre traitement, dont il répond lui-même.
Limites de cette page
Nous n’avons pas lu de doctrine détaillée sur les sauvegardes. La sanction a été lue dans la présentation qu’en fait la CNIL, sans lecture de la délibération ni recherche d’un recours. L’exemple de clauses de la CNIL date d’une période antérieure aux clauses types de la Commission. Si le prestataire refuse de confirmer ou si les données sont sensibles, gardez une trace de vos demandes et consultez votre conseil.
Prochaine action
Vérifiez la clause de fin de contrat sur vos trois principaux contrats : choix entre suppression et renvoi, copies, délai, confirmation écrite, avec l’exception légale s’il en existe une. Notez ce qui manque pour le prochain renouvellement.
Preuves et sources
Lu le 5 novembre 2026 : l’article 28 du RGPD dans le texte publié par la CNIL, les lignes directrices 07/2020 du CEPD (version 2.1), l’exemple de clauses de la CNIL du 4 octobre 2017, et sa présentation de la sanction contre Mobius Solutions, datée du 19 décembre 2025.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. Selon l’article 28, paragraphe 3, point g du RGPD, le sous-traitant, selon le choix du responsable, supprime toutes les données ou les renvoie au terme de la prestation et détruit les copies existantes, sauf si le droit de l’Union ou d’un État membre exige leur conservation.
Portée : Toute relation de sous-traitance.
Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli. Le texte ne mentionne pas d’attestation.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon le CEPD, le responsable peut fixer son choix dès le départ, le contrat devrait prévoir de pouvoir le changer avant la fin de la prestation, et le sous-traitant devrait réaliser la suppression de façon sûre et la confirmer dans un délai et selon des modalités convenus.
Portée : Lignes directrices 07/2020, version 2.1, points 139 à 141.
Réserve : Interprétation du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, le sous-traitant ou le responsable qui a connaissance d’une obligation légale de conservation devrait en informer l’autre partie au plus tôt.
Portée : Lignes directrices 07/2020, version 2.1, point 142.
Réserve : Interprétation du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. L’exemple de clauses de la CNIL prévoit, au choix des parties, la destruction, le renvoi au responsable ou le renvoi au sous-traitant qu’il désigne, puis la destruction des copies et une justification écrite de cette destruction.
Portée : Exemple de clauses de la CNIL, présenté dans l’attente de clauses types.
Réserve : Page ancienne, exemple sans force obligatoire.
- CNIL : Sous-traitance : Exemple de clauses | CNIL Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le 11 décembre 2025, la CNIL a infligé une amende d’un million d’euros à Mobius Solutions pour plusieurs manquements dont la conservation, après la fin du contrat, d’une copie des données de plus de 46 millions d’utilisateurs de Deezer, en application de l’article 28, paragraphe 3, point g.
Portée : Présentation de la CNIL du 19 décembre 2025, délibération SAN-2025-014 citée.
Réserve : Délibération elle-même non lue ; recours éventuel non recherché. L’amende couvre aussi d’autres manquements.
- CNIL : Violation de données : sanction d'un million d'euros à l'encontre de la société MOBIUS SOLUTIONS LTD 19 décembre 2025 ; décision du 11 décembre 2025. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La société a indiqué que trois de ses salariés avaient copié les données sans l’en informer, et la formation restreinte a retenu sa responsabilité, les données étant stockées sur un environnement de non-production avec celles d’autres clients.
Portée : Présentation de la CNIL du 19 décembre 2025.
Réserve : Cas précis, non généralisable.
- CNIL : Violation de données : sanction d'un million d'euros à l'encontre de la société MOBIUS SOLUTIONS LTD 19 décembre 2025 ; décision du 11 décembre 2025. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Les obligations du contrat, dont le sort des données, sont imposées au sous-traitant ultérieur par contrat ou autre acte juridique, selon l’article 28, paragraphe 4.
Portée : Chaîne de sous-traitance.
Réserve : Numéro de paragraphe rétabli.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre méthode. L’ordre des gestes, le contrôle de l’export avant suppression et la question sur les sauvegardes sont une méthode proposée par cette page.
Portée : Fin d’un contrat de sous-traitance.
Réserve : Sans valeur légale. Aucune doctrine détaillée sur les sauvegardes n’a été lue.
Daté du 5 novembre 2026.
Notre calcul ou déduction. Une simple politique interne ou un droit extérieur à l’Union n’entre pas dans l’exception de l’article 28, paragraphe 3, point g, telle qu’elle est rédigée ; une confirmation écrite laisse une trace sans prouver l’absence de copie ; la facturation du prestataire relève d’un traitement dont il répond lui-même.
Portée : Lecture du texte.
Réserve : Déduction des mots de l’article. À soumettre à un conseil si la question se pose.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.