Contrat avec un sous-traitant RGPD : les clauses obligatoires de l'article 28
Publie le 15/09/2026 · Temps de lecture : 10 min
Votre hebergeur, votre outil de CRM, votre prestataire d'emailing, votre comptable externe qui manipule votre fichier clients pour la facturation : chacun de ces prestataires traite des donnees personnelles pour votre compte. Le RGPD les appelle des « sous-traitants », au sens de son article 4.8, et impose un cadre contractuel precis avant de leur confier la moindre donnee. Ce n'est pas une formalite optionnelle : c'est une obligation directement issue de l'article 28 du RGPD, et son absence est l'un des manquements les plus frequemment releves lors des controles de la CNIL aupres des petites structures.
Beaucoup de dirigeants de TPE et PME pensent que ce sujet ne concerne que les grandes entreprises qui negocient des contrats complexes avec des editeurs de logiciels. En realite, des qu' un prestataire externe touche a des donnees de vos clients, de vos prospects ou de vos salaries, la question se pose. Voici ce que le texte exige precisement, et comment le mettre en place sans y passer des semaines.
Sommaire
- 1. Responsable de traitement, sous-traitant : qui fait quoi ?
- 2. Les huit clauses obligatoires de l'article 28.3
- 3. Sous-traitance en cascade : quand votre prestataire delegue a son tour
- 4. Cas pratiques : hebergeur, CRM, emailing, comptable
- 5. Que faire si le prestataire ne propose pas de contrat conforme ?
- 6. Ce que risque une entreprise sans contrat de sous-traitance
- Questions frequentes
1. Responsable de traitement, sous-traitant : qui fait quoi ?
Le RGPD distingue deux roles. Le responsable de traitement (article 4.7) determine les finalites et les moyens du traitement : c'est votre entreprise, qui decide de collecter des donnees clients pour facturer, livrer ou faire de la prospection. Le sous-traitant (article 4.8) traite des donnees personnelles pour le compte du responsable de traitement, selon ses instructions, sans determiner lui-meme les finalites du traitement. Un hebergeur qui stocke votre base clients, un outil d'emailing qui envoie vos newsletters, un CRM qui centralise vos contacts, ou un cabinet comptable qui traite vos fiches de paie sont, dans la tres grande majorite des cas, des sous-traitants au sens du RGPD.
Cette qualification a une consequence directe : des que vous confiez un traitement de donnees personnelles a un prestataire externe, l'article 28.1 vous impose de ne recourir qu'a des sous-traitants presentant des « garanties suffisantes » quant a la mise en oeuvre de mesures techniques et organisationnelles appropriees, et l'article 28.3 impose que ce traitement soit regi par un contrat ecrit.
2. Les huit clauses obligatoires de l'article 28.3
L'article 28.3 du RGPD liste precisement ce que le contrat, ou l'acte juridique equivalent, doit fixer. D'abord son objet : l'objet et la duree du traitement, sa nature et sa finalite, le type de donnees personnelles concernees, les categories de personnes concernees, ainsi que les obligations et droits du responsable de traitement. Ensuite, le contrat doit stipuler que le sous-traitant :
- ne traite les donnees que sur instruction documentee du responsable de traitement, y compris pour un transfert vers un pays tiers, sauf obligation legale contraire ;
- veille a ce que les personnes autorisees a traiter les donnees s'engagent a respecter la confidentialite ;
- met en oeuvre les mesures de securite exigees par l'article 32 du RGPD (chiffrement, controle d'acces, sauvegardes...) ;
- respecte les conditions strictes fixees par les articles 28.2 et 28.4 avant de recourir a un autre sous-traitant ;
- aide le responsable de traitement a repondre aux demandes d'exercice des droits des personnes concernees (acces, rectification, effacement...) ;
- aide le responsable de traitement a respecter ses obligations de securite, de notification des violations de donnees et, le cas echeant, d'analyse d'impact ;
- supprime ou restitue toutes les donnees personnelles au choix du responsable de traitement, a la fin de la prestation, et supprime les copies existantes, sauf obligation legale de conservation ;
- met a disposition du responsable de traitement toute information necessaire pour demontrer le respect de ces obligations, et permet la realisation d'audits.
Ces huit points forment le socle minimal. Un contrat qui se contente d'une phrase generique du type « le prestataire s'engage a respecter le RGPD » ne suffit pas : il doit detailler concretement chacune de ces obligations. La CNIL publie sur son site des clauses contractuelles types reprenant exactement cette structure, reutilisables par toute entreprise sans avoir a les rediger de zero.
3. Sous-traitance en cascade : quand votre prestataire delegue a son tour
Votre outil d'emailing s'appuie souvent lui-meme sur un hebergeur cloud, votre CRM sur un prestataire d'envoi de SMS, votre agence web sur un service de stockage tiers. Ces prestataires de second niveau sont des sous-sous-traitants, et le RGPD encadre precisement cette delegation. L'article 28.2 interdit a un sous-traitant de recourir a un autre sous-traitant sans une autorisation ecrite prealable du responsable de traitement, specifique a un prestataire nomme ou generale pour une categorie de prestataires.
Quand l'autorisation est generale, l'article 28.2 impose au sous-traitant d'informer le responsable de traitement de tout changement prevu concernant l'ajout ou le remplacement d'un sous-sous-traitant, en lui laissant la possibilite de s'opposer a ce changement. C'est exactement ce que font, en pratique, les grands editeurs de logiciels SaaS : ils publient une liste de leurs sous-traitants a jour et notifient leurs clients en cas de modification. Verifiez que votre prestataire propose ce mecanisme, et consultez regulierement sa liste de sous-traitants pour vous assurer qu'elle correspond a ce que vous avez accepte.
L'article 28.4 ajoute une garantie : le sous-sous-traitant doit etre lie par un contrat lui imposant des obligations de protection des donnees au moins equivalentes a celles fixees dans votre propre contrat. Et si ce sous-sous-traitant manque a ses obligations, c'est le sous-traitant initial, celui avec lequel vous avez contracte, qui reste pleinement responsable envers vous. Vous n'avez donc pas a signer directement avec chaque maillon de la chaine : votre responsabilite s'arrete a votre contractant direct, a condition que ce contrat couvre bien la sous-traitance en cascade.
4. Cas pratiques : hebergeur, CRM, emailing, comptable
Concretement, voici les prestataires les plus courants d'une TPE ou PME francaise qui necessitent un contrat de sous-traitance :
- Hebergeur du site web et de la base de donnees : traite l'ensemble des donnees des formulaires, comptes clients et logs de connexion. Presque tous les hebergeurs serieux proposent un DPA standard, accessible depuis l'espace client ou sur demande ;
- Outil de CRM ou de gestion commerciale : centralise les coordonnees et l'historique des clients et prospects. Verifier notamment ou sont hebergees les donnees (Union europeenne ou pays tiers) ;
- Prestataire d'emailing ou de SMS marketing : traite les adresses e-mail et numeros de telephone de vos contacts pour l'envoi de campagnes. Le DPA doit couvrir la gestion des desabonnements et la duree de conservation des statistiques d'ouverture ;
- Cabinet comptable ou expert-comptable externe : traite les donnees de paie de vos salaries et, souvent, votre fichier clients pour la facturation. Un contrat de sous-traitance est necessaire en complement de la lettre de mission comptable classique ;
- Agence web ou freelance ayant acces a l'administration du site : des qu'il peut consulter ou exporter des donnees clients dans le cadre de sa prestation de maintenance.
Dans chacun de ces cas, le reflexe a adopter est le meme : avant de signer, demander explicitement le DPA du prestataire, verifier qu'il couvre les huit points de l'article 28.3, et le conserver avec le reste de votre registre des traitements, qui doit justement lister vos sous-traitants pour chaque traitement concerne.
5. Que faire si le prestataire ne propose pas de contrat conforme ?
Face a un prestataire qui n'a pas de DPA pret a l'emploi, deux options existent. La premiere consiste a utiliser un modele de clauses contractuelles, comme celles publiees par la CNIL, et a les faire signer par le prestataire en complement de son contrat commercial habituel. C'est souvent la solution la plus rapide face a un petit prestataire local qui n'a pas encore formalise sa propre documentation RGPD.
La seconde consiste a exiger du prestataire qu'il produise ses propres garanties : politique de securite, certifications (ISO 27001, HDS pour les donnees de sante), localisation precise de l'hebergement. Un prestataire incapable de repondre a ces questions basiques, ou qui refuse purement et simplement d'encadrer contractuellement le traitement, ne presente pas les garanties suffisantes exigees par l'article 28.1. Dans ce cas, la seule option conforme reste de ne pas lui confier de donnees personnelles, ou de changer de prestataire.
Ce sujet merite d'etre traite avant la signature du contrat commercial, pas apres coup : renegocier des clauses RGPD une fois l'outil deploye et les donnees deja transferees est nettement plus complique que de les exiger des le depart, lors du choix du prestataire.
6. Ce que risque une entreprise sans contrat de sous-traitance
L'absence de contrat de sous-traitance conforme, ou un contrat incomplet au regard des exigences de l'article 28, constitue un manquement au RGPD releve a l'article 83.4, qui fixe un plafond d'amende administrative de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'exercice precedent, le montant le plus eleve etant retenu. Ce plafond concerne les groupes internationaux ; pour une TPE ou une PME, la CNIL applique une procedure graduee, en commencant generalement par une mise en demeure fixant un delai pour se mettre en conformite avant d'envisager une sanction financiere.
Au-dela de la sanction elle-meme, l'absence de contrat prive l'entreprise d'un element essentiel en cas de probleme : si un prestataire subit une violation de donnees ou traite vos donnees hors de tout controle, c'est le contrat qui determine qui doit faire quoi, dans quel delai, et qui supporte quelle part de responsabilite. Sans lui, chaque incident devient une negociation a l'aveugle, au pire moment possible.
Centralisez vos contrats de sous-traitance RGPD
ConformiteFacile vous aide a lister vos sous-traitants, suivre leurs DPA et tenir a jour votre registre des traitements, sans tableur ni oubli.
Decouvrir les tarifsQuestions frequentes
Un simple echange d'e-mails suffit-il a la place d'un contrat signe ?
L'article 28.9 du RGPD exige que le contrat soit etabli par ecrit, y compris sous forme electronique. Un e-mail confirmant les conditions peut, en theorie, constituer cet ecrit s'il couvre l'ensemble des clauses obligatoires de l'article 28.3. En pratique, ce n'est jamais suffisant : un e-mail informel ne liste presque jamais toutes les clauses requises (duree, nature, obligations d'assistance, sort des donnees en fin de contrat...). Il faut un document contractuel dedie, souvent appele DPA (Data Processing Agreement) ou accord de traitement des donnees, annexe ou integre au contrat commercial.
Le prestataire me fournit deja ses propres conditions RGPD : dois-je quand meme verifier ?
Oui. La plupart des grands prestataires (hebergeurs, CRM, outils d'emailing) proposent un DPA standard a accepter en ligne, souvent complet. Mais la responsabilite de choisir un sous-traitant presentant des garanties suffisantes reste celle du responsable de traitement, selon l'article 28.1. Il faut donc verifier que le DPA propose couvre bien les huit points de l'article 28.3, notamment le lieu d'hebergement des donnees et les conditions de sous-traitance en cascade, avant de l'accepter tel quel.
Que se passe-t-il si mon sous-traitant refuse de signer un contrat conforme ?
Continuer a lui confier des donnees personnelles sans contrat conforme constitue un manquement a l'article 28 du RGPD, imputable au responsable de traitement autant qu'au sous-traitant. Si un prestataire refuse d'encadrer contractuellement le traitement, ou ne peut pas demontrer de garanties suffisantes en matiere de securite, la seule option conforme est de ne pas lui confier les donnees, ou d'en changer. Le cout d'un changement de prestataire est presque toujours inferieur au risque d'un manquement constate lors d'un controle CNIL.
Un sous-traitant peut-il lui-meme faire appel a un autre prestataire pour traiter mes donnees ?
Oui, mais seulement dans les conditions de l'article 28.2 et 28.4 : le sous-traitant doit obtenir une autorisation ecrite prealable, specifique ou generale, du responsable de traitement avant d'engager un sous-sous-traitant. En cas d'autorisation generale, le sous-traitant doit informer le responsable de traitement de tout changement prevu et lui laisser la possibilite de s'y opposer. Le sous-sous-traitant doit ensuite etre lie par des obligations de protection des donnees au moins equivalentes a celles du contrat initial, et le sous-traitant reste pleinement responsable envers vous si ce sous-sous-traitant manque a ses obligations.
