Le contrat de sous-traitance est le document RGPD qu'une entreprise de logiciels signe le plus souvent et lit le moins. Chaque client qui met des données à caractère personnel dans le produit est un responsable du traitement, et l'article 28, paragraphe 3, dit que son traitement par vous est régi par un contrat au contenu fixé : l'objet et la durée, la nature et la finalité, le type de données à caractère personnel et les catégories de personnes concernées, les obligations et les droits du responsable, et huit engagements du sous-traitant. La rédaction diffère d'un client à l'autre ; les huit clauses, non. Cet article les lit du côté du prestataire et vous remet la liste de contrôle qui les suit, contrat par contrat.

Avant les huit clauses : qui signe, et ce que l'article 28 demande d'abord

L'article 28, paragraphe 1, ne laisse un responsable faire appel qu'à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Cette phrase est la raison pour laquelle le questionnaire de sécurité du client arrive avant le contrat : les garanties sont ce que le questionnaire demande, et un certificat ISO 27001 dont le périmètre couvre le produit est la réponse la plus courte.

L'article 28, paragraphe 2, est la règle des sous-traitants ultérieurs. Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable ; dans le cas d'une autorisation générale, le sous-traitant informe le responsable de tout changement prévu et lui donne la possibilité d'émettre des objections. Pour une entreprise SaaS, c'est la liste des sous-traitants ultérieurs sur le site et le délai de préavis dans le contrat, et c'est là que commencent la plupart des négociations. L'article 28, paragraphe 4, exige ensuite que les mêmes obligations de protection des données soient répercutées par contrat sur chaque sous-traitant ultérieur, et rend le premier sous-traitant pleinement responsable envers le responsable de l'exécution par le sous-traitant ultérieur.

L'article 28, paragraphe 7, a permis à la Commission d'adopter des clauses contractuelles types pour le contrat lui-même ; elle l'a fait le 4 juin 2021, et un prestataire peut les proposer au lieu de rédiger. L'article 28, paragraphe 10, est le piège à la marge : un sous-traitant qui détermine les finalités et les moyens d'un traitement est considéré comme responsable pour ce traitement, de sorte qu'un prestataire qui exploite les données de ses clients pour sa propre analyse produit a quitté le rôle de sous-traitant pour cet usage.

Les huit clauses de l'article 28, paragraphe 3, du côté du prestataire

(a) Les instructions documentées. Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable, transferts vers un pays tiers compris, à moins que le droit de l'Union ou d'un État membre ne l'y oblige, auquel cas il en informe le responsable avant. Pour un SaaS, les instructions sont le contrat, le bon de commande et la configuration du produit ; la clause est la raison pour laquelle les paramètres d'administration du client sont un document juridique.

(b) La confidentialité. Les personnes autorisées à traiter les données se sont engagées à respecter la confidentialité ou sont soumises à une obligation légale de confidentialité. Les contrats de travail et les accords de prestataires en sont la preuve, et le dossier d'intégration est ce qu'un auditeur regarde.

(c) La sécurité. Le sous-traitant prend toutes les mesures requises en vertu de l'article 32 : la pseudonymisation et le chiffrement, la confidentialité, l'intégrité, la disponibilité et la résilience, la capacité de rétablissement et les tests réguliers. Le système ISO 27001 est la réponse à cette clause, et le client demandera le périmètre du certificat, pas seulement son existence.

(d) Les sous-traitants ultérieurs. Les conditions de l'article 28, paragraphes 2 et 4, sont respectées : autorisation, préavis, répercussion. La liste des sous-traitants ultérieurs est une clause du contrat, et le délai de préavis est la négociation.

(e) L'aide aux droits des personnes concernées. Compte tenu de la nature du traitement, le sous-traitant aide le responsable, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes au titre du chapitre III. En pratique : les fonctions d'export, de suppression et de rectification du produit, et un processus de support pour les demandes que le produit ne peut pas traiter seul.

(f) L'aide au respect des articles 32 à 36. Sécurité, notification des violations, analyses d'impact et consultation préalable : le sous-traitant aide, compte tenu de la nature du traitement et des informations à sa disposition. La partie violation est le délai que le client fait courir : votre notification au responsable au titre de l'article 33, paragraphe 2, démarre ses 72 heures, et le contrat fixe en général la vitesse à laquelle vous l'envoyez.

(g) La suppression ou le renvoi. Au terme de la prestation de services, selon le choix du responsable, le sous-traitant supprime ou renvoie toutes les données à caractère personnel et détruit les copies existantes, à moins que le droit de l'Union ou d'un État membre n'exige leur conservation. La fonction d'export, le calendrier de suppression et la conservation des sauvegardes sont les trois choses dont dépend la clause.

(h) Les informations et les audits. Le sous-traitant met à disposition toutes les informations nécessaires pour démontrer le respect de l'article 28 et permet la réalisation d'audits, y compris des inspections, par le responsable ou un auditeur qu'il a mandaté, et y contribue. Le deuxième alinéa de l'article 28, paragraphe 3, ajoute l'obligation que la plupart des contrats oublient : le sous-traitant informe immédiatement le responsable si, selon lui, une instruction constitue une violation du règlement ou d'autres dispositions du droit de l'Union ou des États membres relatives à la protection des données. Un prestataire qui accepte une instruction illicite sans le dire en partage la responsabilité.

Responsabilité et amende

L'article 82, paragraphe 2, ne rend un sous-traitant responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations qui incombent spécifiquement aux sous-traitants ou s'il a agi en dehors des instructions licites du responsable ou contrairement à celles-ci, et l'article 82, paragraphe 4, rend les responsables et les sous-traitants participant au même traitement solidairement responsables envers la personne concernée. L'article 83, paragraphe 4, point a, fixe le plafond d'amende pour les obligations des sous-traitants au titre de l'article 28 à EUR 10 millions ou 2 % du chiffre d'affaires annuel mondial. Les huit clauses sont ce que les avocats du client chiffrent quand ils envoient l'avenant.

À côté des clauses : les clauses DORA qu'un client bancaire envoie

Lorsque le client est une banque, un assureur, une entreprise d'investissement, un établissement de paiement ou de monnaie électronique, un prestataire de services sur crypto-actifs ou un gestionnaire de fonds, le même avenant porte les clauses contractuelles de l'article 30 de DORA, en vigueur depuis le 17 janvier 2025. Les deux jeux se recoupent clause par clause : les instructions RGPD de (a) se placent à côté de la description du service DORA de 30(2)(a) ; la sécurité de (c) à côté de 30(2)(c) ; les conditions de sous-traitance ultérieure de (d) à côté des conditions de sous-traitance que 30(2)(a) exige ; l'aide de (f) à côté de l'assistance en cas d'incident de 30(2)(f) ; la suppression ou le renvoi de (g) à côté de l'accès, de la récupération et de la restitution de 30(2)(d) ; les audits de (h) à côté des droits d'accès, d'inspection et d'audit de 30(3)(e). Seuls les droits des personnes concernées de (e) n'ont pas d'équivalent DORA. La liste de contrôle cite la clause DORA à côté de chaque clause lorsque vous indiquez que le client est une entité financière, et poursuit dans la liste de contrôle DORA avec le même nom de client, pour que la négociation soit lue une fois plutôt que deux.

L'écrire

Ouvrez l'avenant du client à côté de la liste de contrôle, marquez chaque clause convenue, en négociation ou manquante, et notez le numéro de clause et la rédaction. Le résultat est un document par client à copier ou télécharger, et la liste des clauses ouvertes est l'ordre du jour du prochain appel. Gardez-le à côté du registre des traitements que le contrat décrit : les catégories de traitements du registre du sous-traitant sont celles que l'objet du contrat nomme, et un client qui lit les deux s'attendra à ce qu'ils concordent.