Article 28 du RGPD : le contrat avec le sous-traitant

L'article 28 du RGPD organise la relation entre le responsable du traitement, qui décide pourquoi et comment les données sont traitées, et le sous-traitant, qui les traite pour son compte. Ses dix paragraphes se résument ainsi :

Depuis 2018, le sous-traitant n'est plus un simple exécutant contractuel : il a ses propres obligations au titre du règlement (sécurité, registre, DPO dans certains cas, alerte en cas de violation) et peut être sanctionné directement par la Commission nationale de l'informatique et des libertés (CNIL).

La qualification dépend de ce que fait réellement chaque partie, pas de ce qu'écrit le contrat. La question clé : qui décide des finalités et des éléments essentiels des moyens ? Celui qui décide est responsable ; celui qui exécute pour son compte, sans réutiliser les données pour lui-même, est sous-traitant.

Un sous-traitant s'appuie souvent sur d'autres prestataires : l'éditeur d'un logiciel héberge ses serveurs chez un hébergeur, qui confie lui-même la sauvegarde à un tiers. Chaque maillon doit être autorisé et lié par les mêmes obligations.

L'autorisation du responsable peut prendre deux formes :

• une autorisation spécifique : le responsable valide nommément chaque sous-traitant ultérieur ;
• une autorisation générale : le responsable accepte le principe, et le sous-traitant l'informe de tout ajout ou remplacement prévu, pour qu'il puisse s'y opposer. En pratique, le contrat fixe un délai de prévenance et la liste à jour des sous-traitants ultérieurs figure en annexe.

Le sous-traitant initial reste pleinement responsable devant le responsable du traitement si son sous-traitant ultérieur manque à ses obligations. C'est une raison de plus, pour le RSSI, de demander la liste des sous-traitants ultérieurs et leurs garanties de sécurité, comme pour toute attaque par la chaîne d'approvisionnement.

Le contrat (souvent appelé accord de traitement des données, ou annexe RGPD) doit d'abord décrire le traitement, puis reprendre les obligations du sous-traitant listées aux points a) à h) de l'article 28, paragraphe 3. La trame ci-dessous suit cet ordre ; elle ne remplace pas une relecture juridique.

L'exemple de clauses publié par la CNIL en 2017 ajoute des rubriques utiles : protection des données dès la conception et par défaut, information des personnes, coordonnées du DPO, registre tenu par le sous-traitant, et obligations du responsable (fournir les données, documenter ses instructions, superviser le traitement). La CNIL précise que ces clauses ne constituent pas, à elles seules, un contrat complet.

Les clauses contractuelles types de la Commission européenne

Par une décision d'exécution (UE) 2021/915 du 4 juin 2021, la Commission européenne a adopté des clauses contractuelles types entre responsables du traitement et sous-traitants, au titre de l'article 28, paragraphe 7. Leur usage est facultatif, mais elles couvrent toutes les exigences de l'article 28 et laissent remplir les annexes (description du traitement, mesures de sécurité, liste des sous-traitants ultérieurs). À ne pas confondre avec les clauses types de la décision 2021/914 du même jour, qui encadrent les transferts de données hors de l'Union.

Le paragraphe 1 place la charge sur le responsable du traitement : c'est à lui de vérifier que le prestataire offre des garanties suffisantes, et de pouvoir le démontrer. Le considérant 81 du règlement précise que ces garanties s'apprécient notamment en termes de connaissances spécialisées, de fiabilité et de ressources, et l'adhésion à un code de conduite ou à une certification approuvés peut aider à les démontrer. Concrètement, le RSSI et le DPO s'appuient sur :

• un questionnaire de sécurité adapté à la sensibilité des données (voir notre article sur le questionnaire sécurité fournisseur) ;
• les certifications du prestataire et leur périmètre réel, par exemple la certification HDS (hébergeur de données de santé) pour les données de santé ou la qualification SecNumCloud ;
• un plan d'assurance sécurité (PAS) qui traduit les engagements de sécurité en mesures vérifiables ;
• la localisation des données et des accès à distance, pour repérer les transferts hors de l'Union ;
• un suivi dans la durée : réévaluation périodique, revue des incidents, audits. C'est le cœur de la gestion des risques tiers, que NIS 2 et DORA renforcent (voir risques tiers, NIS 2 et DORA).

Au-delà du contrat, le RGPD impose directement au sous-traitant plusieurs obligations, que la CNIL peut contrôler et sanctionner :

• ne traiter les données que sur instruction du responsable (article 29) ;
• tenir un registre des catégories d'activités effectuées pour le compte de chaque client (article 30, paragraphe 2) ;
• mettre en œuvre une sécurité adaptée au risque (article 32) ;
• prévenir le responsable dans les meilleurs délais après avoir pris connaissance d'une violation (article 33, paragraphe 2) ;
• désigner un DPO s'il entre dans l'un des cas de l'article 37 ;
• respecter les règles sur les transferts hors de l'Union (chapitre V).

Les éditeurs qui veulent faciliter la conformité de leurs clients ont tout intérêt à appliquer la protection des données dès la conception à leurs produits : les lignes directrices du Comité européen de la protection des données (CEPD) les y encouragent explicitement.