Sous-traitance avec des fournisseurs : qu'exige l'article 28 du RGPD en pratique ?

Est sous-traitant quiconque traite des données à caractère personnel pour le compte et sur instruction d'un responsable du traitement (article 4, point 8, du RGPD). Les cas typiques sont l'hébergement et les services de centre de données, le logiciel en tant que service, la maintenance informatique avec accès aux données ou l'envoi de courriers et d'e-mails pour le compte d'un tiers.

Il n'y a pas de sous-traitance lorsqu'un prestataire n'a aucun accès aux données à caractère personnel ou qu'il détermine lui-même les finalités et les moyens du traitement.

En vertu de l'article 28, paragraphe 3, du RGPD, le contrat définit l'objet et la durée, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Le sous-traitant s'engage notamment : à ne traiter les données que sur instruction documentée (point a), à garantir la confidentialité (point b), à prendre les mesures requises en vertu de l'article 32 (point c), à respecter les conditions applicables aux sous-traitants ultérieurs (point d), à apporter son aide pour l'exercice des droits des personnes concernées (point e) et pour le respect des obligations prévues aux articles 32 à 36 (point f), à supprimer ou à renvoyer les données au terme de la prestation (point g) et à mettre à disposition toutes les informations nécessaires ainsi qu'à permettre la réalisation d'audits (point h).

Le contrat doit être conclu par écrit, y compris en format électronique (article 28, paragraphe 9). Les clauses contractuelles types de la Commission européenne peuvent servir de base (décision d'exécution (UE) 2021/915).

Dès avant la conclusion du contrat, le client doit vérifier si le fournisseur présente des garanties suffisantes (article 28, paragraphe 1). Il s'agit notamment de mesures techniques et organisationnelles documentées au sens de l'article 32 – par exemple la protection des accès, le chiffrement, la sauvegarde des données et des procédures de vérification régulière.

L'application d'un code de conduite approuvé ou d'un mécanisme de certification approuvé au titre du RGPD peut servir d'élément pour démontrer l'existence de garanties suffisantes (article 28, paragraphe 5). Elle ne remplace pas la vérification elle-même.

Le fournisseur ne peut recruter d'autres sous-traitants qu'avec une autorisation écrite préalable, spécifique ou générale (article 28, paragraphe 2). En cas d'autorisation générale, il informe le client de tout changement envisagé, et celui-ci peut émettre des objections.

Les mêmes obligations en matière de protection des données doivent être imposées au sous-traitant ultérieur ; s'il ne s'en acquitte pas, le fournisseur demeure responsable envers le client (article 28, paragraphe 4).

Souvent, le contrat fait totalement défaut, ou il a été signé une fois et n'a jamais été relu. Tout aussi fréquents : des listes de sous-traitants ultérieurs obsolètes, des mesures techniques et organisationnelles rédigées sous forme de clauses types générales sans lien avec la prestation, et l'absence de règles sur la suppression des données en fin de contrat.

En vertu de l'article 83, paragraphe 4, du RGPD, les manquements aux obligations découlant de l'article 28 peuvent faire l'objet d'amendes allant jusqu'à 10 millions d'euros ou jusqu'à 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Le catalogue de Vendo4u interroge les points déterminants pour le contrôle au titre de l'article 28 – l'existence d'un contrat de sous-traitance, le lieu de traitement des données, les sous-traitants ultérieurs auxquels il est fait appel –, et les fournisseurs y joignent les documents correspondants. Les acheteurs voient ces informations pour tous les fournisseurs dans la même structure et les archivent avec l'export dans leur propre dossier.