Contrat de sous-traitance : définition

Ce qu'il faut comprendre

L'article 28 du RGPD impose qu'un contrat, ou un autre acte juridique, lie le responsable de traitement et son sous-traitant. Il précise l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées. On le trouve souvent sous la forme d'une annexe appelée DPA, pour data processing agreement.

Le contrat doit prévoir que le sous-traitant agit uniquement sur instruction documentée, que son personnel est tenu à la confidentialité, qu'il met en œuvre des mesures de sécurité, qu'il ne recourt à un autre sous-traitant qu'avec autorisation écrite, qu'il aide le responsable à répondre aux droits et aux violations, qu'il supprime ou restitue les données en fin de contrat et qu'il permet les audits.

La Commission européenne a adopté des clauses contractuelles types pour ce contrat. Elles ne doivent pas être confondues avec les clauses contractuelles types destinées aux transferts hors Union européenne. Erreur fréquente : accepter les conditions générales d'un éditeur sans vérifier qu'elles contiennent ces clauses, notamment la liste des sous-traitants ultérieurs et le lieu d'hébergement.

Exemple concret

Une mairie confie la gestion des inscriptions périscolaires à un éditeur de logiciel en ligne. Avant la signature, la secrétaire de mairie vérifie que le contrat prévoit l'hébergement des données dans l'Union européenne, la liste des sous-traitants ultérieurs, la notification des violations, la restitution des données en fin de marché et un droit d'audit au profit de la commune.

Textes de référence

• RGPD, art. 28

Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.