Introduction
Une entreprise sur deux découvre l'existence d'un sous-traitant de son sous-traitant le jour où celui-ci se fait pirater. Pas avant. Et à ce moment-là, c'est trop tard pour négocier quoi que ce soit.
Voilà le paradoxe du RGPD version B2B : vous pouvez confier vos données clients à un prestataire, lui déléguer l'hébergement, la maintenance, la relation support, l'emailing, la facturation. Vous ne déléguerez jamais la responsabilité. Elle vous colle à la peau. La CNIL le rappelle sanction après sanction, avec une constance qui devrait alerter tous les directeurs juridiques : quand un tiers fait défaut, c'est le donneur d'ordre qui répond.
Les chiffres sont têtus. Une part très majoritaire des violations de données notifiées à l'autorité française trouve son origine chez un prestataire, pas dans les murs de l'entreprise notifiante. Serveur mal configuré chez l'hébergeur. Compte administrateur compromis chez l'éditeur du CRM. Fichier exporté par un stagiaire d'une agence marketing. La faille est ailleurs, la sanction tombe chez vous.
Beaucoup d'organisations signent leurs DPA comme on signe des CGU : en scrollant vite, avec la vague certitude que « c'est le contrat standard, tout le monde le signe ». Cette approche fonctionne parfaitement jusqu'au premier contrôle. Après, elle coûte cher.
L'objectif de cet article est simple : sortir de la conformité de façade. Passer d'un document signé à l'aveugle à un dispositif contractuel qui tient debout devant un contrôleur, qui protège en cas d'incident, et qui reste gérable au quotidien quand on pilote quarante prestataires avec deux personnes.
Comprendre la chaîne de responsabilité avant de rédiger quoi que ce soit
Erreur classique : ouvrir un modèle de DPA trouvé en ligne et commencer à remplir les cases. Avant toute rédaction, une question doit être tranchée. Qui est quoi dans cette relation ?
Responsable de traitement, sous-traitant, responsable conjoint : la qualification détermine tout
La qualification ne dépend pas de ce qui est écrit dans le contrat. Elle dépend des faits. Le critère posé par le RGPD, repris sans ambiguïté par le Comité européen de la protection des données dans ses lignes directrices 07/2020, tient en une phrase : est responsable de traitement celui qui détermine les finalités et les moyens essentiels du traitement.
Autrement dit, celui qui décide pourquoi et comment.
On peut écrire « le Prestataire agit en qualité de sous-traitant » en gras dans un contrat. Si dans les faits ce prestataire décide seul de ce qu'il fait des données, la clause ne vaut rien. Les autorités de contrôle requalifient sans état d'âme.
Quelques situations B2B fréquentes, et ce qu'elles impliquent réellement.
L'agence marketing qui gère vos campagnes. Elle exécute votre stratégie, cible les segments que vous avez définis, envoie les emails depuis votre base : sous-traitant. Elle constitue son propre panel d'audience, croise vos contacts avec ses données pour affiner son offre commerciale, revend de l'insight sectoriel : responsable de traitement autonome. La frontière se joue parfois sur une seule fonctionnalité activée dans un outil.
Le prestataire de paie. Cas d'école. Il traite les bulletins pour votre compte, selon vos instructions : sous-traitant. Sauf qu'il est aussi tenu par ses propres obligations légales de conservation et de déclaration sociale. Sur ce périmètre précis, il redevient responsable. Une même relation, deux qualifications selon le traitement considéré. Le contrat doit le refléter.
L'éditeur SaaS. C'est là que ça se complique. Il est sous-traitant pour les données que vous injectez dans son outil. Mais il est responsable de traitement pour les données de connexion, les logs techniques, les statistiques d'usage agrégées qu'il exploite pour améliorer son produit. Lisez la DPA d'un grand éditeur : la distinction y figure toujours, souvent en petits caractères, section « Service Data » ou équivalent.
Le cabinet comptable, l'avocat, le commissaire aux comptes. Contre-intuitif pour beaucoup : ces professions agissent généralement comme responsables de traitement, pas comme sous-traitants. Leur déontologie, leurs obligations légales propres et leur indépendance professionnelle les placent hors du champ de l'instruction. Signer une DPA avec son expert-comptable est souvent un contresens juridique. Ça arrive pourtant tous les jours.
La zone grise à surveiller de près ? Le prestataire qui enrichit sa propre base avec vos données. Enrichissement de contacts, scoring, base de données sectorielle « anonymisée » qui ne l'est pas vraiment. Dès qu'il utilise vos données pour une finalité qui lui est propre, il bascule. Et vous, vous avez transféré des données à un tiers responsable sans base légale ni information des personnes. Double manquement.
Un test simple à appliquer en réunion fournisseur : si vous demandez au prestataire de supprimer toutes les données demain matin, peut-il refuser en invoquant son propre intérêt ? Si oui, ce n'est pas un sous-traitant.
La sous-traitance ultérieure : le maillon que personne ne vérifie
Déroulons une chaîne réelle. Rien d'inventé, c'est la configuration standard de n'importe quel outil SaaS B2B en 2024.
Vous utilisez un CRM. Le CRM est hébergé chez un fournisseur cloud, disons en Irlande. Ce cloud s'appuie sur un CDN pour la distribution des assets. L'éditeur du CRM externalise son support de niveau 1 à une société basée à Manille, dont les agents ont accès aux comptes clients pour diagnostiquer les incidents. Le même éditeur utilise un outil tiers de gestion des tickets, hébergé ailleurs. Et pour ses sauvegardes chiffrées, il passe par un quatrième prestataire.
Comptez : cinq entités ont un accès potentiel à vos données clients. Vous en avez signé une seule.
L'article 28.2 du RGPD est pourtant limpide. Le sous-traitant ne peut recruter un autre sous-traitant sans autorisation écrite, préalable, spécifique ou générale, du responsable de traitement. En pratique, l'autorisation générale domine largement : le contrat prévoit une liste de sous-traitants ultérieurs, l'éditeur s'engage à vous informer de tout ajout, vous disposez d'un délai pour vous y opposer.
Deux problèmes surgissent aussitôt.
Le premier, c'est que ces notifications arrivent par email, à une adresse générique renseignée trois ans plus tôt par un chef de projet qui a quitté l'entreprise. Personne ne les lit.
Le second est plus fondamental. Le sous-traitant initial demeure pleinement responsable devant vous des manquements de son propre sous-traitant. C'est écrit noir sur blanc à l'article 28.4. Sur le papier, c'est rassurant. Dans la vraie vie, si le support offshore exfiltre une base de 200 000 contacts, vous notifiez la CNIL sous 72 heures, vous informez les personnes concernées, vous encaissez la crise médiatique. La responsabilité contractuelle en cascade ne vous rend pas les données.
Une chaîne à trois niveaux, c'est déjà trois DPA à vérifier, trois politiques de sécurité, trois localisations de données, trois politiques de conservation. Combien d'entreprises sont allées jusqu'au niveau 2 ? Très peu. Jusqu'au niveau 3 ? Presque aucune, hors secteurs régulés.
Ce que le RGPD vous impose vraiment en tant que donneur d'ordre
L'article 28.1 pose une obligation qu'on oublie systématiquement parce qu'elle précède le contrat : ne faire appel qu'à des sous-traitants « présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ».
Traduction opérationnelle : vous devez avoir évalué avant de signer. Et surtout, vous devez pouvoir le prouver.
C'est tout le principe d'accountability. Le RGPD ne se contente pas d'exiger la conformité, il exige la démonstrabilité de la conformité. Un contrôleur qui vous demande « comment avez-vous vérifié que ce prestataire offrait des garanties suffisantes ? » n'acceptera pas « il nous a été recommandé » ou « c'est un acteur connu du marché ».
Ce qu'il attend, c'est une trace. Un questionnaire fournisseur rempli et daté. Une certification vérifiée, avec le périmètre lu et non pas juste le logo aperçu sur le site. Un rapport d'audit SOC 2 Type II analysé, ou au minimum une note de synthèse interne expliquant pourquoi le niveau de garantie a été jugé suffisant au regard de la sensibilité des données confiées.
Cette obligation d'évaluation ne s'éteint pas à la signature. Elle se prolonge pendant toute la durée de la relation. Un prestataire conforme en 2021 qui a délocalisé son infrastructure et changé trois fois de sous-traitant depuis n'est plus le prestataire que vous avez évalué.
Les 8 clauses obligatoires de l'article 28.3 décryptées une par une
L'article 28.3 liste des mentions obligatoires. Toutes les DPA les reprennent. Presque aucune ne les rédige correctement. La différence entre une clause recopiée du règlement et une clause qui protège se joue toujours dans le niveau de précision.
Objet, durée, nature et finalité : la description qui protège
C'est la clause la plus bâclée du marché. On y lit invariablement des formules du type « traitement de données à caractère personnel des clients du Responsable de traitement dans le cadre de l'exécution du Contrat ».
Ça ne veut rien dire. Et surtout, ça ne protège personne.
Pourquoi c'est un piège en contrôle ? Parce qu'une description vague signifie que toute utilisation des données par le prestataire peut être présentée comme couverte par le contrat. Vous perdez votre principal levier : la capacité de démontrer qu'il est sorti du périmètre autorisé.
Une description utile détaille quatre dimensions, dans une annexe dédiée qui pourra être mise à jour sans renégocier tout le contrat.
Les catégories de personnes concernées. Prospects B2B, clients actifs, contacts d'anciens clients, salariés du client, candidats, visiteurs du site. Chaque catégorie a ses propres implications en matière de base légale et de durée.
Les catégories de données. Nom, prénom, fonction, email professionnel, téléphone, historique d'échanges, données de navigation, adresse IP, identifiants de connexion. Et surtout, mention explicite s'il y a des données sensibles au sens de l'article 9, ou des données bancaires, qui déclenchent des exigences renforcées.
La nature des opérations. Collecte, enregistrement, consultation, hébergement, extraction, rapprochement, effacement. Le RGPD en liste une dizaine à l'article 4. Cocher celles qui s'appliquent, pas toutes par précaution.
La finalité et la durée. Non pas « la durée du contrat » tout court, mais la durée de conservation par le sous-traitant, qui peut être plus courte, et les modalités en fin de relation.
Une annexe correctement rédigée tient sur deux pages. Elle vous sauvera trois jours de travail le jour où vous devrez répondre à un contrôle.
Instructions documentées : le point de bascule juridique
Le sous-traitant ne traite les données que sur instruction documentée du responsable. Cette phrase, tout le monde la connaît. Sa conséquence, beaucoup moins : un sous-traitant qui agit hors instruction devient responsable de traitement pour ce traitement (article 28.10). Il s'expose alors directement aux sanctions, mais vous restez exposé pour avoir laissé faire.
La difficulté est ailleurs. Comment documente-t-on des instructions dans la vraie vie opérationnelle ?
Parce que sur le terrain, les instructions passent par Slack, par téléphone, par un ticket support, par un chef de projet qui demande « vous pouvez extraire la liste des inactifs depuis 18 mois ? ». Rien de tout ça n'est documenté au sens du RGPD.
La solution pragmatique tient en trois éléments à inscrire au contrat.
D'abord, le contrat lui-même et ses annexes constituent l'instruction initiale. Tout ce qui est décrit dedans est réputé instruit. C'est le socle.
Ensuite, désigner nommément les personnes habilitées à émettre des instructions complémentaires, par fonction plutôt que par nom pour éviter les avenants à chaque départ. « Le DPO, le Directeur des Systèmes d'Information et le Responsable des Achats sont seuls habilités. »
Enfin, définir un canal unique et traçable : une adresse email dédiée, ou mieux, un espace partagé où les instructions sont horodatées. Et prévoir la clause miroir, souvent oubliée : le sous-traitant s'engage à refuser toute instruction émanant d'une personne non habilitée, et à vous alerter le cas échéant.
Ajoutez l'obligation, prévue par le règlement, pour le sous-traitant de vous signaler immédiatement s'il estime qu'une instruction viole le RGPD. C'est un garde-fou qui ne coûte rien et qui a déjà évité des catastrophes.
Confidentialité, sécurité, assistance : les obligations de moyens
L'article 32 impose des mesures de sécurité appropriées. Le contrat doit les traduire. Or la formulation dominante dans les DPA du marché est d'une inutilité remarquable : « le Sous-traitant met en œuvre des mesures techniques et organisationnelles conformes à l'état de l'art ».
L'état de l'art de quand ? Selon quel référentiel ? Vérifiable comment ?
Une annexe sécurité digne de ce nom nomme les mesures. Voici le socle minimal à exiger, à moduler selon la sensibilité.
Chiffrement des données au repos et en transit, avec mention des protocoles acceptés et exclusion explicite des versions obsolètes. Authentification multifacteur obligatoire pour tous les accès administrateurs, sans exception pour les comptes de service. Gestion des habilitations selon le principe du moindre privilège, avec revue documentée au moins semestrielle. Journalisation des accès conservée douze mois minimum, et rendue consultable sur demande.
Ajoutez la séparation stricte des environnements de production et de test, avec interdiction formelle d'utiliser des données réelles en recette. Cette règle est violée dans une entreprise sur deux. C'est une source majeure de fuites, et elle passe totalement sous les radars.
Complétez par la politique de gestion des vulnérabilités : délais de correction selon la criticité, fréquence des tests d'intrusion, engagement de communication des résultats de synthèse.
Côté confidentialité, exigez que l'engagement soit individuel et écrit pour chaque personne accédant aux données, pas une clause générale dans le contrat de travail. Et prévoyez la sensibilisation périodique, avec preuve à fournir sur demande.
Enfin, l'obligation d'assistance. Le sous-traitant doit vous aider sur les demandes d'exercice de droits, les analyses d'impact, les consultations préalables. Précisez les délais : un prestataire qui répond en trois semaines à une demande d'accès vous met hors délai, puisque vous devez répondre à la personne concernée sous un mois. Cinq jours ouvrés est un standard raisonnable. Et tranchez la question du coût : cette assistance est-elle incluse ou facturée ? Les mauvaises surprises tarifaires en gestion de crise sont fréquentes.
Notification de violation : le délai contractuel qui sauve les 72 heures
Voilà probablement la clause la plus mal calibrée du marché, et celle qui produit le plus de dégâts.
Le RGPD vous impose de notifier une violation à la CNIL dans les 72 heures suivant la prise de connaissance. Le règlement impose au sous-traitant de vous alerter « dans les meilleurs délais ». Aucun chiffre. Aucun délai maximum.
Résultat prévisible : le prestataire vous informe au bout de six jours, après avoir bouclé son investigation interne et fait relire le communiqué par son avocat. Vous êtes hors délai. La CNIL ne sanctionne pas le prestataire pour ça. Elle vous sanctionne, vous.
La parade est simple : imposer contractuellement un délai chiffré. Vingt-quatre heures maximum à compter de la prise de connaissance, y compris en cas de simple suspicion de violation. Ce point est essentiel. Ne pas attendre la certitude. Une suspicion sérieuse doit déclencher l'alerte, quitte à lever l'alerte ensuite.
Listez aussi le contenu minimal de la notification, sinon vous recevrez un email de trois lignes qui ne permet aucune décision. Ce que la notification doit contenir : la nature de la violation, la date et l'heure de survenance ainsi que celles de la découverte, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables, les mesures déjà prises pour contenir l'incident, et un contact technique joignable immédiatement.
Prévoyez un point de suivi obligatoire toutes les 24 heures tant que l'incident n'est pas clos. Et surtout, interdisez formellement au sous-traitant de notifier l'autorité de contrôle ou les personnes concernées à votre place, sauf accord écrit. C'est votre responsabilité, c'est votre communication, c'est votre relation client.
Un détail qui compte : exigez un canal de notification qui ne dépend pas de l'email. Si l'incident est un ransomware qui a chiffré la messagerie du prestataire, l'email ne partira pas. Un numéro de téléphone d'astreinte figurant au contrat, ça a l'air désuet. Ça fonctionne.
Sort des données en fin de contrat
Le RGPD vous laisse le choix : suppression ou restitution. Le choix vous appartient, mais il doit être exprimé par écrit. Une DPA qui laisse l'option au sous-traitant est une DPA mal rédigée.
Optez pour la restitution puis suppression. Dans cet ordre, et avec des délais distincts. Trente jours pour restituer, trente jours supplémentaires pour supprimer après confirmation par vos soins de la bonne réception des données. Une suppression déclenchée avant vérification de l'export, c'est une perte de données sèche, et ça arrive plus souvent qu'on ne le croit.
Le format de restitution mérite d'être négocié avant la signature, pas au moment de la rupture. Un export en PDF de 40 000 fiches clients est techniquement une restitution. Opérationnellement, c'est une punition. Exigez un format structuré, couramment utilisé et lisible par machine : CSV, JSON, ou dump SQL selon le contexte. Précisez que la restitution inclut les métadonnées et l'historique, pas seulement les enregistrements courants.
Puis vient le sujet que tout le monde élude : les sauvegardes.
Un prestataire supprime la donnée de sa base de production, vous adresse un certificat de destruction, et la donnée continue d'exister dans les sauvegardes pendant six mois, parfois un an. Ce n'est pas de la mauvaise foi, c'est une contrainte technique réelle. Restaurer une sauvegarde chiffrée pour en extraire chirurgicalement un enregistrement n'a pas de sens.
La rédaction adaptée reconnaît cette réalité au lieu de la nier : suppression immédiate des systèmes actifs, purge des sauvegardes à l'expiration du cycle de rétention documenté au contrat, et engagement formel de ne procéder à aucune restauration des données concernées pendant cette période intermédiaire, sauf obligation légale. Exigez que la durée du cycle de sauvegarde soit chiffrée dans l'annexe. « Selon notre politique interne » ne convient pas.
Le certificat de destruction, enfin. Signé par une personne identifiée et habilitée, daté, précisant les systèmes concernés et la méthode employée. Un email « c'est fait » n'est pas une preuve.
Audit et mise à disposition des informations
Le droit d'audit est la clause la plus universellement présente et la plus universellement inutilisée de tout le droit des contrats informatiques.
Soyons honnêtes sur les raisons. Auditer un prestataire coûte entre quinze et cinquante mille euros. Il faut mobiliser des compétences que la plupart des entreprises n'ont pas en interne. Le préavis contractuel est souvent de trente jours, ce qui laisse au prestataire tout le temps de préparer la visite. Et déclencher un audit est un acte diplomatiquement lourd qui dégrade la relation commerciale.
Conséquence : la clause dort. Sauf qu'un droit qu'on n'exerce jamais ne prouve rien devant un contrôleur.
Les alternatives réalistes existent, et elles fonctionnent mieux.
Le questionnaire annuel de conformité, d'abord. Vingt à trente questions, envoyées à date fixe, avec obligation contractuelle de réponse sous quinze jours. Peu coûteux, traçable, et surtout : les incohérences entre deux millésimes sont beaucoup plus parlantes qu'un audit ponctuel.
Les rapports de certification, ensuite. ISO 27001, SOC 2 Type II, HDS pour les données de santé. Le contrat doit prévoir leur communication annuelle automatique. Un point de vigilance majeur : lisez le périmètre. Une certification ISO 27001 peut ne couvrir qu'un seul datacenter, ou qu'une filiale, pendant que vos données sont ailleurs. Le scope statement est plus informatif que le certificat.
La clause d'audit sur incident, enfin. C'est la plus utile de toutes. Elle prévoit qu'en cas de violation de données, de manquement contractuel constaté ou de changement significatif dans l'organisation du prestataire, le droit d'audit s'exerce sans préavis, ou avec un préavis de 48 heures, aux frais du prestataire si un manquement est établi. Là, la clause a des dents.
Prévoyez également l'audit par tiers mandaté, avec engagement de confidentialité, et acceptez le principe d'un audit mutualisé : les grands éditeurs proposent des audits groupés pour leurs clients, c'est un compromis acceptable.
Rédiger et négocier : la DPA face à la réalité du rapport de force
Tout ce qui précède décrit le contrat idéal. Reste à le faire signer. Et là, la théorie juridique rencontre le rapport de force commercial.
Contrat cadre, DPA annexée ou clauses intégrées : quel montage choisir
Trois montages coexistent, et le choix n'est pas neutre.
Les clauses intégrées au contrat principal. Les dispositions RGPD figurent directement dans le corps du contrat de prestation. Avantage : un seul document, une seule signature, une cohérence naturelle avec les clauses de responsabilité et de résiliation. Inconvénient sérieux : toute évolution réglementaire ou tout changement de périmètre impose un avenant au contrat commercial. Sur un parc de quarante prestataires, c'est ingérable. Réservez ce montage aux relations simples et stables.
La DPA annexée. Un document distinct, annexé au contrat, avec ses propres annexes techniques. C'est le standard du marché, et c'est le bon choix dans la grande majorité des cas. L'annexe décrivant les traitements et l'annexe sécurité peuvent évoluer par simple échange écrit, sans toucher au contrat commercial. Point de vigilance : soignez l'articulation entre les deux documents. Précisez explicitement laquelle prévaut en cas de contradiction, sur les questions de protection des données ce doit être la DPA.
Le contrat cadre avec DPA unique. Pertinent quand vous travaillez de façon récurrente avec un même prestataire sur des missions distinctes. Une DPA chapeau, des annexes par mission. Gain de temps considérable côté achats.
Quel que soit le montage, la vraie recommandation est ailleurs : construisez votre socle DPA standard côté acheteur.
Un document de référence, validé par votre juridique et votre DPO, que vous présentez systématiquement en premier. Le simple fait de dégainer votre modèle plutôt que d'attendre celui du prestataire change la dynamique de négociation. Vous partez de vos exigences, il négocie des retraits. C'est infiniment plus confortable que l'inverse.
Prévoyez deux versions : une complète pour les prestataires critiques, une allégée pour les prestations à faible enjeu. Imposer quinze pages de DPA à un prestataire de traduction qui traite trois noms propres est contre-productif, et vous décrédibilise sur les dossiers qui comptent.
Quand votre prestataire impose sa DPA (et qu'il ne la négociera pas)
Passons à la situation la plus fréquente et la plus frustrante. Vous souscrivez à un outil SaaS américain. La DPA est un PDF en ligne, non modifiable, identique pour les 80 000 clients de l'éditeur. Votre pouvoir de négociation est rigoureusement nul.
Que faire ? Certainement pas renoncer à l'outil, qui est souvent le meilleur du marché. Mais accepter en connaissance de cause, et compenser.
Voici les cinq points sur lesquels ne jamais céder, quels que soient l'éditeur et son arrogance contractuelle.
Premièrement, la localisation des données et l'encadrement des transferts. Si vous ne savez pas où sont vos données, ou si les transferts hors UE ne reposent sur aucun mécanisme valide, c'est rédhibitoire. Pas de compensation possible.
Deuxièmement, l'existence d'une notification de violation avec un délai chiffré. Si la DPA dit « dans les meilleurs délais » sans plus, exigez au minimum un engagement séparé par écrit, ne serait-ce qu'un email d'un commercial habilité. C'est faible, mais c'est mieux que rien.
Troisièmement, l'interdiction d'utiliser vos données à des fins propres, notamment pour l'entraînement de modèles d'intelligence artificielle. Ce point est devenu critique depuis 2023. Lisez attentivement les clauses sur les « improvements to the Services », elles cachent parfois beaucoup de choses.
Quatrièmement, la liste accessible et à jour des sous-traitants ultérieurs, assortie d'un mécanisme de notification des changements. Une page web publique fait l'affaire, à condition de la surveiller.
Cinquièmement, la réversibilité. Format d'export, délai, et absence de rétention des données en cas de litige commercial. La clause « nous conservons vos données jusqu'au règlement des sommes dues » est une prise d'otage, et elle est juridiquement contestable.
Sur quoi transiger, alors ? Le droit d'audit sur site, qu'un grand éditeur n'accordera jamais, remplacé par les rapports de certification. Le délai de notification, s'il reste raisonnable, 48 ou 72 heures plutôt que 24. Les plafonds de responsabilité, dans une certaine mesure. Le droit applicable et la juridiction compétente, sujets sur lesquels aucun éditeur américain ne bougera.
Reste la compensation par des mesures internes, et c'est souvent là que se joue la vraie protection. Chiffrez vous-même les données sensibles avant injection dans l'outil, quand la fonctionnalité existe. Limitez drastiquement le périmètre des données transmises, un CRM n'a pas besoin des données bancaires. Cloisonnez les accès côté client. Documentez formellement l'analyse du risque résiduel et faites-la valider au bon niveau hiérarchique. Le jour du contrôle, cette note d'analyse démontre que le choix était éclairé, et non subi par négligence.
Transferts hors UE : après Schrems II, le sujet qui reste explosif
L'arrêt Schrems II de juillet 2020 a invalidé le Privacy Shield et posé une exigence qui reste largement ignorée : les clauses contractuelles types ne suffisent pas à elles seules. Il faut vérifier que le droit du pays de destination n'empêche pas leur respect effectif.
Les clauses contractuelles types adoptées par la Commission européenne en juin 2021 restent l'outil principal. Quatre modules selon la configuration des parties. Le module 2, responsable vers sous-traitant, couvre la majorité des situations B2B. Attention à un piège récurrent : beaucoup de contrats renvoient encore aux anciennes clauses de 2010, caduques depuis décembre 2022. Vérifiez la date de la version annexée.
Le Data Privacy Framework, adopté en juillet 2023, permet les transferts vers les entreprises américaines certifiées. C'est plus simple, mais deux précautions s'imposent. D'abord, vérifiez la certification sur la liste officielle, avec le périmètre couvert, certaines entreprises ne certifient qu'une partie de leurs activités. Ensuite, gardez à l'esprit la fragilité du dispositif : c'est le troisième mécanisme après Safe Harbor et Privacy Shield, tous deux invalidés. Un recours est pendant. Prévoyez contractuellement le mécanisme de repli automatique vers les clauses types en cas d'invalidation. Cette clause coûte une phrase et vous évitera une renégociation d'urgence.
L'analyse d'impact des transferts, ou TIA, est théoriquement obligatoire pour chaque transfert reposant sur les clauses types. Peu d'entreprises la réalisent. Une TIA proportionnée tient sur trois pages : pays concerné, nature des données, législations d'accès des autorités locales, mesures supplémentaires mises en place, conclusion motivée.
Et puis il y a le cas fréquent, celui que personne n'anticipe. Vos données sont hébergées à Francfort, tout va bien. Mais le support technique de niveau 2 est assuré depuis Bangalore, et les ingénieurs y accèdent en lecture à la base de production pour diagnostiquer les incidents. Cet accès à distance est un transfert au sens du RGPD. Il doit être encadré exactement comme si les données étaient stockées en Inde.
Trois questions à poser systématiquement, et à faire figurer dans le contrat : depuis quels pays les équipes support accèdent-elles aux données ? Les astreintes de nuit sont-elles assurées par des équipes situées hors UE, en mode « follow the sun » ? Les sauvegardes et les environnements de secours sont-ils localisés dans l'UE ?
Sur ce dernier point, la réponse est souvent non. Et elle ne figure jamais dans la documentation commerciale.
Clause de responsabilité et assurance cyber
Vous avez négocié une DPA exemplaire. Puis vous lisez l'article 12 du contrat principal : « la responsabilité du Prestataire est limitée aux sommes effectivement versées au titre des douze derniers mois ».
Votre abonnement coûte 18 000 euros par an. L'amende potentielle se chiffre en centaines de milliers. Votre DPA vient d'être vidée de sa substance en une phrase.
Trois mécanismes doivent être articulés, et ils sont souvent confondus.
L'amende administrative vous est infligée directement par l'autorité de contrôle. Elle n'est pas assurable en France, l'assurance d'une sanction punitive étant contraire à l'ordre public. Elle reste donc à votre charge, définitivement.
L'action récursoire est prévue par l'article 82.5 du RGPD : celui qui a indemnisé la totalité du préjudice peut se retourner contre les autres acteurs à hauteur de leur part de responsabilité. Ce mécanisme est d'ordre public. Un plafond contractuel ne peut pas l'écarter totalement, mais il peut le rendre économiquement dérisoire.
L'assurance cyber du prestataire est le seul mécanisme qui apporte une garantie réelle de solvabilité. Encore faut-il en vérifier la substance.
Ce qu'il faut obtenir concrètement : une attestation d'assurance nominative et à jour, un montant de garantie proportionné au volume de données confiées, la confirmation que la garantie couvre bien la responsabilité civile professionnelle liée aux données personnelles et pas seulement les frais de restauration informatique, et l'engagement de maintenir cette couverture pendant toute la durée du contrat plus la période de prescription.
En négociation, exigez que les manquements aux obligations de protection des données soient exclus du plafond général, ou fassent l'objet d'un sous-plafond spécifique et significatif. C'est un point sur lequel les prestataires de taille moyenne cèdent plus souvent qu'on ne l'imagine, parce qu'ils sont eux-mêmes assurés.
Et vérifiez l'assiette du plafond. « Les sommes versées au titre des douze derniers mois » sur un contrat en phase de démarrage peut représenter deux mois de facturation. La formulation compte autant que le principe.
Piloter dans la durée : le contrat n'est que le point de départ
Un contrat signé et rangé dans un répertoire partagé ne protège personne. La conformité en matière de sous-traitance est un processus, pas un événement.
Construire et tenir son registre des sous-traitants
Le registre des activités de traitement est obligatoire. Le registre des sous-traitants, en tant que tel, ne l'est pas formellement. Il est pourtant l'outil le plus utile du dispositif.
Le minimum légal, c'est l'identité et les coordonnées du sous-traitant. Le contenu utile va bien au-delà.
Pour chaque prestataire, consignez : les traitements concernés avec renvoi au registre principal, les catégories de données confiées et leur volumétrie approximative, le niveau de criticité selon votre propre échelle, la localisation réelle des données incluant sauvegardes et accès support, la liste des sous-traitants ultérieurs autorisés, la référence et la date de la DPA avec sa version, la date et le résultat de la dernière évaluation, la date d'expiration des certifications, le contact du DPO ou du référent protection des données chez le prestataire, et enfin la date d'échéance contractuelle avec le préavis de dénonciation.
Ce dernier point est sous-estimé. Un contrat qui se reconduit tacitement pendant que vous vouliez en sortir, c'est douze mois de plus avec un prestataire que vous jugiez non conforme.
Sur le format : un tableur suffit jusqu'à trente ou quarante prestataires. Au-delà, la maintenance devient un sujet en soi et un outil dédié se justifie. L'essentiel n'est pas l'outil, c'est la fréquence de mise à jour. Une revue trimestrielle des prestataires critiques et une revue annuelle complète constituent un rythme tenable. Avec un déclencheur systématique à chaque nouveau contrat signé, sinon le registre dérive en six mois.
Un conseil issu du terrain : rattachez le registre au processus achats, pas au juridique. Si aucun bon de commande ne peut être émis sans passage par la case protection des données, le registre se tient tout seul. Si c'est le DPO qui court après les informations, il ne les aura jamais toutes.
Évaluer avant de contracter : la due diligence proportionnée
Évaluer tous les prestataires avec la même intensité est impossible et inutile. Une approche à trois niveaux, calibrée sur la sensibilité des données confiées, est à la fois défendable et applicable.
Niveau 1, allégé. Données non sensibles, volumétrie faible, pas de transfert hors UE. Un questionnaire de dix questions, une vérification de l'existence d'une DPA conforme, et une recherche rapide d'antécédents publics d'incidents. Une demi-journée de travail.
Niveau 2, standard. Données clients, volumétrie significative, ou transferts encadrés. Questionnaire complet de trente à quarante questions, examen des certifications avec lecture du périmètre, analyse de l'annexe sécurité, vérification de la chaîne de sous-traitance ultérieure, et entretien avec le référent technique. Deux à trois jours.
Niveau 3, renforcé. Données sensibles, santé, données bancaires, ou volumétrie très importante. Tout ce qui précède, plus analyse du rapport SOC 2 Type II ou audit sur site, revue juridique approfondie, analyse d'impact si nécessaire, et validation formelle par le comité approprié.
Quelles questions font vraiment la différence dans un questionnaire ? Certainement pas « êtes-vous conforme au RGPD ? », à laquelle personne n'a jamais répondu non.
Les questions qui révèlent quelque chose sont plus concrètes. Combien de personnes chez vous ont un accès technique aux données de production, et comment cet accès est-il tracé ? Quelle est la durée de rétention de vos sauvegardes, et combien de temps une donnée supprimée y survit-elle ? Avez-vous connu une violation de données au cours des 36 derniers mois, et si oui, quelles mesures correctives ont été déployées ? Depuis quels pays vos équipes techniques accèdent-elles aux données ? Quel est le délai de correction d'une vulnérabilité critique, et pouvez-vous produire un exemple récent ?
Les signaux d'alerte, maintenant. Ils sont assez constants d'un appel d'offres à l'autre. Un prestataire qui n'a pas de DPO ni de référent identifié alors que son activité repose sur le traitement de données. Une DPA fournie en anglais uniquement, non négociable et sans interlocuteur juridique joignable. Des réponses évasives sur la localisation des sauvegardes, systématiquement. L'absence de tout historique d'incident déclaré, ce qui traduit souvent une absence de détection plutôt qu'une sécurité parfaite. Et le classique : le commercial qui répond aux questions techniques à la place de l'équipe technique.
Une remarque de bon sens pour finir : intégrez ces questions dès le cahier des charges de l'appel d'offres, pas après la sélection. Une fois le prestataire choisi et le budget arbitré, votre pouvoir de négociation s'est évaporé.
Le suivi opérationnel : réversibilité, changements de sous-traitants ultérieurs, incidents
Trois mécanismes contractuels demandent un pilotage actif. Sans lui, ils ne servent à rien.
La notification de nouveau sous-traitant ultérieur. Le scénario est banal. Votre éditeur SaaS annonce l'ajout d'un nouveau prestataire d'hébergement. Vous avez trente jours pour vous y opposer. L'email arrive sur une adresse générique, personne ne le traite, le délai expire, l'autorisation est réputée acquise.
Trois mesures corrigent ça. Une adresse dédiée du type dpo@ ou conformite@, inscrite au contrat et relevée quotidiennement. Un abonnement aux pages « sub-processors » des éditeurs critiques, la plupart proposent un flux RSS ou une alerte email. Et un point trimestriel de revue de ces notifications, même s'il ne dure que vingt minutes.
Que faire quand une notification arrive et que le nouveau sous-traitant pose problème ? Le délai de trente jours est court. Priorisez : localisation des données, nature de l'accès, existence de garanties documentées. Si l'opposition est justifiée, formalisez-la par écrit et par recommandé, en rappelant la clause contractuelle. Anticipez la réponse habituelle de l'éditeur : « en cas d'opposition, vous pouvez résilier ». C'est exact, et c'est précisément pourquoi la clause de réversibilité doit être solide avant d'en arriver là.
La réversibilité. Elle doit être testée, pas seulement écrite. Demandez un export complet au bout de six mois de relation, sans motif particulier. Vérifiez le format, le délai réel, l'exhaustivité. Un test de réversibilité coûte une demi-journée et révèle des surprises considérables. Les entreprises qui le pratiquent découvrent régulièrement que l'export « complet » omet les pièces jointes, l'historique, ou les champs personnalisés.
La gestion des incidents. Le contrat prévoit une notification sous 24 heures. Encore faut-il que quelqu'un soit en mesure de la traiter à trois heures du matin un samedi. Définissez la chaîne d'alerte interne, désignez les personnes d'astreinte, préparez les modèles de notification CNIL, et testez le dispositif au moins une fois par an par un exercice de simulation.
Un exercice de crise sur un scénario de violation chez un prestataire dure deux heures et révèle systématiquement des angles morts. Qui décide de notifier ? Qui parle aux clients ? Où sont les coordonnées de l'astreinte du prestataire à minuit ? Ces questions se posent beaucoup mieux à froid.
Les erreurs qui coûtent cher (et ce que dit la jurisprudence CNIL)
La doctrine de la CNIL sur la sous-traitance s'est nettement durcie. Les décisions récentes envoient un message clair : la défaillance du prestataire n'exonère pas le donneur d'ordre, elle révèle sa propre défaillance de contrôle.
Plusieurs sanctions notables sont venues rappeler ce principe. Des responsables de traitement sanctionnés parce que leur sous-traitant avait laissé des données accessibles sans authentification. Des amendes prononcées pour absence de contrat conforme à l'article 28, alors même qu'aucune violation de données n'avait eu lieu. Ce dernier point mérite d'être souligné : le manquement contractuel est sanctionnable en lui-même, sans qu'il soit besoin d'un incident.
Cinq manquements reviennent avec une régularité frappante.
L'absence pure et simple de DPA. Le plus fréquent, et le plus difficile à défendre. Souvent sur des prestations anciennes, antérieures à 2018, jamais reprises depuis. Ou sur des prestataires « informels » : le développeur freelance qui a un accès à la base, l'agence qui gère le site depuis huit ans, le prestataire de destruction d'archives.
La DPA non conforme à l'article 28.3. Un document existe, mais il lui manque des mentions obligatoires. Typiquement la clause de sous-traitance ultérieure, ou la description précise des traitements, ou le sort des données en fin de contrat. Un contrôleur vérifie les huit points, un par un, avec la liste sous les yeux.
L'absence de vérification des garanties. Article 28.1. Aucune trace d'évaluation avant contractualisation. Aucun questionnaire, aucune analyse, aucune décision documentée. Le prestataire a été choisi sur le prix et la recommandation d'un confrère.
Les transferts hors UE non encadrés. Souvent involontaires. L'entreprise ignore sincèrement que son outil réplique les données aux États-Unis ou que le support y accède. L'ignorance n'est pas une défense recevable : elle constitue précisément le manquement à l'obligation de vérification.
L'absence de suivi post-contractuel. La DPA a été signée en 2019, elle n'a jamais été relue. Le prestataire a changé de propriétaire, migré son infrastructure, ajouté quatre sous-traitants. Le contrat décrit une réalité qui n'existe plus.
À ces cinq manquements s'ajoute une constante dans les décisions : l'aggravation liée au défaut de réactivité. Une entreprise qui découvre une faille chez son prestataire et met trois mois à réagir sera plus lourdement sanctionnée qu'une entreprise qui a documenté une réaction immédiate, même imparfaite.
La leçon générale ? La CNIL sanctionne moins l'imperfection que la passivité. Un dispositif imparfait mais documenté, suivi et amélioré est bien mieux traité qu'une conformité déclarative sans aucune trace.
Checklist opérationnelle : votre contrat prestataire est-il conforme ?
Quinze questions à passer en revue lors de toute revue contractuelle. Chaque « non » identifie une action à mener. Comptez vingt minutes par contrat.
- La qualification des parties (responsable de traitement, sous-traitant, responsable conjoint) a-t-elle été analysée au regard des faits, et non seulement affirmée dans le contrat ?
- Une annexe décrit-elle précisément les catégories de données, les catégories de personnes concernées, la nature des opérations et les finalités ?
- La durée de conservation des données par le prestataire est-elle chiffrée, distinctement de la durée du contrat ?
- Les personnes habilitées à émettre des instructions sont-elles désignées par fonction, avec un canal de transmission traçable identifié ?
- L'annexe sécurité nomme-t-elle des mesures concrètes et vérifiables, plutôt qu'un renvoi générique à l'état de l'art ?
- Un délai chiffré de notification des violations est-il imposé au prestataire, incluant les cas de simple suspicion ?
- Le contenu minimal de la notification de violation est-il listé au contrat, avec un contact d'astreinte joignable hors messagerie ?
- Le sort des données en fin de contrat est-il tranché, avec un format de restitution structuré, des délais distincts et un certificat de destruction ?
- Le traitement des sauvegardes après suppression est-il explicitement encadré, avec une durée de cycle chiffrée ?
- La liste des sous-traitants ultérieurs est-elle accessible et à jour, avec un mécanisme de notification et un délai d'opposition praticable ?
- La localisation réelle des données est-elle documentée, y compris les sauvegardes, les environnements de secours et les accès du support technique ?
- Les transferts hors UE reposent-ils sur un mécanisme valide et à jour, avec une clause de repli en cas d'invalidation ?
- Le droit d'audit est-il complété par des modalités réalistes : questionnaire annuel, certifications communiquées, audit renforcé sur incident ?
- Les manquements en matière de protection des données échappent-ils au plafond général de responsabilité, ou bénéficient-ils d'un sous-plafond significatif ?
- Une attestation d'assurance cyber nominative et à jour a-t-elle été obtenue, avec vérification de l'étendue réelle de la garantie ?
Une remarque sur l'usage de cette liste : elle sert aussi à prioriser. Un contrat qui échoue sur les questions 1, 6, 11 et 12 appelle une action immédiate. Un contrat qui n'échoue que sur la 13 peut attendre la prochaine échéance contractuelle.
Conclusion
Un principe directeur mérite d'être retenu au-dessus de tous les autres : en matière de sous-traitance, la conformité contractuelle est un mode de preuve, pas une formalité administrative.
Le jour du contrôle, personne ne demandera si vous étiez de bonne foi. On demandera de produire les documents. La DPA, l'annexe sécurité, le questionnaire d'évaluation daté, le registre, la trace des notifications traitées, l'analyse du risque résiduel. Ce qui n'est pas écrit n'existe pas.
La bonne nouvelle, c'est que ce dispositif se construit progressivement. Personne ne remet quarante contrats à niveau en un trimestre. La démarche efficace commence par le recensement, puis la priorisation sur les prestataires les plus critiques, puis la construction d'un socle DPA réutilisable qui évitera de repartir de zéro à chaque nouveau contrat.
Reste une question qui vaut la peine d'être posée en interne : combien de temps faudrait-il, aujourd'hui, pour produire la liste complète des entités qui accèdent à vos données clients ? Si la réponse dépasse la journée, il y a un chantier à ouvrir.
Trois portes d'entrée existent pour l'aborder sereinement. L'audit de conformité des contrats existants, qui donne une photographie du risque réel et une feuille de route hiérarchisée. La refonte du socle DPA, qui transforme chaque nouvelle contractualisation en formalité maîtrisée plutôt qu'en négociation improvisée. Et la formation des équipes achats et métiers, sans doute l'investissement au meilleur rendement, parce que la conformité se gagne au moment du choix du prestataire, bien plus qu'au moment de la relecture du contrat.