Accord de sous-traitance RGPD : méthode complète pour petite entreprise

Dernière mise à jour : 26 août 2026.

Un accord de sous-traitance RGPD utile ne commence pas par une page de signatures. Il commence par une activité qualifiée, une carte factuelle du service et une comparaison des documents déjà contraignants. La petite entreprise peut alors compléter ce qui manque sans acheter une rédaction sur mesure par réflexe.

Réponse rapide Un accord de sous-traitance RGPD doit lier les entités, décrire le traitement réel et rendre opérantes toutes les obligations de l’article 28. Vérifiez d’abord les conditions existantes. Si elles sont insuffisantes, utilisez gratuitement les clauses officielles de la Commission 2021/915, complétez leurs annexes, puis testez l’accord dans des situations réelles.

La signature n’est pas le point de départ

Vérifiez d’abord que le fournisseur traite des données à caractère personnel pour le compte de l’entreprise et sur ses instructions. Si chacun poursuit sa propre finalité, ou si les parties déterminent conjointement les finalités et moyens essentiels, l’article 28 n’est pas la bonne route. Une annexe de sous-traitance ne corrige pas une qualification contraire aux faits.

Délimitez une activité à la fois : fonction utilisée, personnes concernées, données reçues ou générées, opérations, durée et résultat attendu. Une même relation commerciale peut contenir un traitement pour le compte du client et une utilisation distincte décidée par le fournisseur. Le premier peut relever de l’article 28 tandis que la seconde exige sa propre analyse. N’étendez pas mécaniquement l’accord à « toutes les données » sans distinguer les finalités.

Le contrat requis peut prendre la forme d’un acte distinct ou d’un ensemble de conditions fournisseur, annexes et documents incorporés, pourvu que l’ensemble soit contraignant, complet et cohérent ¹. La question n’est donc pas « avons-nous un PDF signé ? », mais « quelles clauses lient quelles entités, dans quelle version, pour quelles opérations ? » Un clic d’acceptation traçable peut avoir une force contractuelle ; une politique modifiable unilatéralement et non incorporée ne remplit pas nécessairement la même fonction.

Il existe une option officielle gratuite : les clauses contractuelles types entre responsables du traitement et sous-traitants adoptées par la décision d’exécution (UE) 2021/915 ^{2 3}. Elles doivent être nommées tôt parce qu’elles permettent de partir d’un texte européen complet plutôt que d’un modèle commercial opaque. Elles ne dispensent pas de choisir les options pertinentes, de décrire les faits dans les annexes et de vérifier les documents qui les entourent.

La rédaction payante ou entièrement personnalisée vient après un écart démontré : montage inhabituel, allocation qui ne tient pas dans les options, exigences sectorielles vérifiées ou conflit réel avec les conditions du service. Sans registre d’écarts, personnaliser chaque phrase augmente le coût et le risque de contradiction sans améliorer le contrôle.

Cartographier le service réel avant de choisir le document

Une carte de traitement transforme un achat abstrait en opérations vérifiables. Réunissez le responsable métier, la personne qui administre le service, la fonction sécurité et le contact contractuel. Les réponses doivent décrire le fonctionnement actuel et la configuration retenue, non toutes les possibilités présentées dans une brochure.

Cette carte est la base des annexes, du registre d’écarts et des tests. Si une réponse reste inconnue, attribuez un propriétaire et une échéance ; n’inscrivez pas une hypothèse comme un fait contractuel. Une annexe qui promet un lieu unique alors que le fournisseur ne peut pas cartographier ses accès crée une fausse assurance.

Revenez aussi aux données libres et aux fonctions activables. Un champ de commentaire, une pièce jointe ou une synchronisation peut élargir fortement le traitement. L’accord doit couvrir le service que l’entreprise autorise réellement et prévoir comment une nouvelle fonction sera évaluée avant activation.

Comparer toutes les conditions et annexes du fournisseur

Commencez par dessiner la hiérarchie des documents, pas par rechercher le mot « RGPD ». Inventoriez le bon de commande, les conditions principales, l’annexe de protection des données, la politique de sécurité incorporée, la liste des sous-traitants ultérieurs, la description du service, les engagements d’assistance et les modalités de suppression. Pour chacun, notez la version, la date d’acceptation, les entités, la méthode d’incorporation et le texte qui prévaut en cas de conflit.

Prenons une ligne du futur registre : « sort des données à la fin du service ». L’annexe promet une restitution ou une suppression au choix du client, mais une page d’aide indique que les sauvegardes expirent selon un calendrier non défini. Si la page d’aide n’est pas incorporée, elle peut décrire une capacité sans créer d’engagement. Si elle l’est et que son calendrier contredit l’annexe, la ligne n’est pas « présente deux fois » : elle est contradictoire jusqu’à ce que la priorité, l’exception et l’échéance soient résolues.

Attribuez ensuite l’un de quatre états à chaque obligation. Complet signifie que le devoir est contraignant, cohérent et adapté aux faits. Incomplet signifie qu’un élément requis ou le mécanisme d’exécution manque. Contradictoire signale des effets incompatibles entre documents. Absent signifie qu’aucun engagement identifiable ne traite le point. La ligne conserve la citation du document, son effet, l’écart, le propriétaire et l’action de fermeture.

Cette méthode distingue aussi une explication d’une promesse. Une page d’assistance peut montrer comment exporter un fichier sans obliger le fournisseur à aider le responsable lors d’une demande de droit. À l’inverse, une clause concise peut être complète si elle incorpore une annexe factuelle et si le canal fonctionne. Lisez toujours ensemble l’obligation juridique, le document qui la rend contraignante et la preuve qu’elle peut être exécutée.

Enfin, cherchez les clauses transversales qui changent la valeur de toutes les autres : modification unilatérale, priorité, limitation d’accès à la preuve, finalités propres non décrites, suspension ou transfert de toute responsabilité au client. Le but n’est pas de négocier chaque préférence. Il est de produire une liste bornée des lacunes qui empêchent de satisfaire l’article 28 ou de contrôler le risque réel du service.

Choisir entre trois routes conformes

Le registre d’écarts indique la route la moins complexe qui produit un instrument complet. Les trois options ne sont pas des niveaux de prestige ; chacune peut convenir à une petite entreprise si les faits, les entités et les clauses sont cohérents.

Cartographiez d’abord le service et comparez tous les documents contraignants. Si les conditions sont complètes, conservez leurs versions ; sinon, choisissez les clauses 2021/915 adaptées et complétez les annexes, ou préparez un avenant borné ². Attribuez ensuite les rôles et testez l’accord.

La décision 2021/915 autorise l’intégration des clauses dans un contrat plus large et l’ajout de clauses ou garanties supplémentaires, à condition qu’elles ne contredisent pas les clauses types ni ne portent atteinte aux droits fondamentaux des personnes ². Cela permet de conserver les modalités commerciales ailleurs tout en donnant un socle clair à la sous-traitance.

Documentez pourquoi la route a été retenue. Une note de quelques lignes reliant les écarts au choix évite qu’un renouvellement reparte de zéro. Si les conditions fournisseur deviennent complètes plus tard, vérifiez leur priorité avant de retirer l’avenant antérieur ; deux instruments simultanés peuvent être plus dangereux qu’un seul document imparfait.

Transformer l’article 28 en clauses qui fonctionnent

Une clause est complète lorsqu’elle énonce l’obligation et permet de l’exécuter. La simple reproduction de mots du RGPD ne suffit pas si personne ne sait quel canal utiliser, quelle annexe fait foi ou quelle preuve sera conservée. Le tableau ci-dessous conserve les neuf blocs indispensables tout en les reliant à des mécanismes concrets ¹.

Trois devoirs demandent une attention particulière parce qu’ils disparaissent facilement derrière des formulations générales. Premièrement, le sous-traitant informe immédiatement le responsable lorsqu’il considère qu’une instruction enfreint le droit applicable à la protection des données. L’accord doit donner une route d’escalade et éviter que l’équipe poursuive aveuglément l’opération contestée.

Deuxièmement, l’assistance ne s’arrête pas aux demandes de droits ou aux violations. Les articles 32 à 36 couvrent aussi la sécurité, l’analyse d’impact relative à la protection des données et, lorsque nécessaire, la consultation préalable de l’autorité de contrôle. Le fournisseur doit fournir les informations qu’il détient et la coopération adaptée à la nature de son service, sans promettre de prendre à la place du responsable la décision qui incombe à celui-ci.

Troisièmement, la chaîne ne dilue pas la responsabilité. Lorsque le sous-traitant initial engage un sous-traitant ultérieur, les mêmes obligations de protection doivent lui être imposées par contrat. Si celui-ci manque à ses obligations, le sous-traitant initial demeure pleinement responsable envers le responsable du traitement de l’exécution des obligations du sous-traitant ultérieur au titre de l’article 28, paragraphe 4 ¹.

Lisez enfin les limitations de responsabilité, exclusions, droits de suspension et mécanismes de modification avec l’instrument complet. Une clause opérationnelle parfaite peut être neutralisée par une priorité défavorable ou une faculté de changement sans préavis. Le registre d’écarts doit expliquer l’effet, pas seulement relever la présence de mots attendus.

Remplir les annexes avec des faits opérationnels

Les annexes sont le lieu où le modèle devient l’accord de cette activité. Reprenez la carte du service, sans la réduire à « hébergement de données clients ». Décrivez les opérations réelles, les catégories de personnes, les champs et contenus, la fréquence, les systèmes, les accès, les lieux, les flux et la durée. Une autre équipe doit pouvoir comprendre ce qui est autorisé sans consulter la brochure du fournisseur.

Pour la sécurité, consignez les mesures pertinentes et vérifiables : contrôle des accès, authentification, chiffrement dans les contextes applicables, journalisation, sauvegarde, résilience, gestion des vulnérabilités, réponse aux incidents et contrôle des changements. Évitez les promesses absolues. L’annexe doit permettre d’évaluer les garanties et de détecter un changement matériel, non transformer une description de contrôle en garantie de résultat impossible.

La fin du service mérite sa propre séquence. Précisez les données restituées, le format, le canal, le délai, la suppression des environnements actifs, le traitement des sauvegardes et les exceptions légales. Pour chaque exception, indiquez la base invoquée, l’isolement, les accès restants et la date ou l’événement de suppression. « Suppression selon la politique » ne suffit pas si cette politique n’est ni incorporée, ni versionnée, ni accessible.

Attribuez un propriétaire à chaque annexe et une méthode de mise à jour. Une modification de système, de lieu, de sous-traitant ou de mesure importante doit atteindre le propriétaire contractuel avant de devenir un fait accompli. Les annexes ne doivent pas rester figées pendant que le service change.

Maîtriser les sous-traitants ultérieurs et les preuves

Le responsable ne doit pas gérer chaque fournisseur de la chaîne comme s’il l’avait engagé directement, mais il doit conserver une maîtrise réelle des garanties. L’avis 22/2024 du Comité européen de la protection des données souligne notamment la responsabilité du responsable quant à l’identité des acteurs de la chaîne et à la vérification de garanties suffisantes, avec une intensité adaptée au risque ⁶.

Ne créez pas une obligation imaginaire de recevoir systématiquement chaque contrat de la chaîne. Dans certains cas, un examen ciblé peut être nécessaire, mais l’approche normale combine transparence, engagement contractuel, éléments de sécurité, droit d’obtenir des informations supplémentaires et escalade en fonction du risque. L’exigence doit être assez forte pour vérifier, pas assez mécanique pour produire des milliers de pages jamais lues.

Conservez un historique des changements et des objections. Une liste actuelle sans date ne montre pas quel acteur intervenait au moment d’un incident. Le dossier doit relier la notification, l’analyse, la décision, les mesures demandées et la date d’effet.

Traiter les transferts dans une voie séparée

Un instrument conforme à l’article 28 ne résout pas automatiquement les transferts relevant du chapitre V. La carte doit identifier les lieux d’hébergement, de sauvegarde, d’assistance et d’accès à distance, ainsi que les transferts ultérieurs. Chaque flux potentiellement concerné ouvre une analyse distincte : destination, mécanisme de transfert, garanties, évaluation nécessaire et mesures complémentaires.

Ne confondez pas les clauses 2021/915 entre responsables et sous-traitants avec les instruments destinés à encadrer certains transferts. Le même projet peut nécessiter un accord de sous-traitance et un mécanisme de transfert, mais ces documents répondent à deux questions différentes ^{2 4}. Le registre d’écarts doit donc comporter une ligne séparée pour le chapitre V.

Un fournisseur qui répond « nous avons des clauses types » n’a pas encore répondu. Demandez le numéro ou le titre de l’instrument, les modules retenus, les parties, les flux couverts et les annexes. Cette précision évite d’accepter une référence correcte dans un contexte qui ne correspond pas au transfert réel.

Rendre l’accord contraignant et attribuer les rôles

Identifiez les entités par leur nom juridique exact et leur rôle pour l’activité : vérifiez qui accepte au nom de l’entreprise, quelle société fournit le service et si une entité affiliée intervient comme partie ou comme sous-traitant ultérieur. Une marque commerciale n’est pas toujours la partie au contrat.

Définissez l’incorporation, la version et l’ordre de priorité ; si l’annexe prévaut pour la protection des données, dites-le. Lorsque certaines clauses types doivent rester inchangées, évitez qu’une condition générale ne les contredise et conservez la preuve de signature, d’acceptation électronique ou de tout autre mécanisme qui rend l’ensemble obligatoire.

Attribuez ensuite des propriétaires internes : service métier pour la finalité et la configuration, fonction technique pour les accès et changements, sécurité pour les garanties et incidents, et responsable contractuel pour les versions, avis et renouvellements ; une petite équipe peut cumuler ces rôles, mais chacun doit être nommé.

Vérifiez les canaux du fournisseur, car le contact commercial n’est pas nécessairement le canal d’une violation ou d’une demande de droit. Envoyez un message de test non sensible, confirmez la réception et inscrivez les coordonnées dans le dossier opérationnel.

Tester l’accord après la signature

Un document qui n’a jamais été testé peut être complet en apparence et inutilisable le jour critique. Organisez des exercices courts avec des faits fictifs et mesurez la route, la preuve produite, le délai interne et la personne qui décide. Les cinq scénarios couvrent les principaux points de rupture.

Le test ne doit pas exposer de vraies données ni provoquer une fausse alerte. Prévenez les participants, marquez les scénarios comme exercices et utilisez des identifiants factices. L’objectif est d’éprouver la mécanique, pas de surprendre les équipes.

Chaque défaut devient une action avec propriétaire et échéance. Mettez à jour l’annexe, le canal, la procédure ou le contrat selon la cause. Puis rejouez la partie défaillante : une note « corrigé » sans nouvel essai ne montre pas que la route fonctionne.

Suivre une échelle fixe face au refus du fournisseur

Un refus ne se traite ni par résignation ni par une négociation sans fin. Utilisez six étapes, avec une décision explicite à chacune. Le but est de distinguer un malentendu documentaire d’une impossibilité réelle de satisfaire l’article 28.

Documentez le refus, les options offertes et la décision. L’argument « tout le monde accepte nos conditions » ne répond pas à une lacune. À l’inverse, ne concluez pas au refus avant d’avoir vérifié que l’accord existe déjà dans un portail, un bon de commande ou des conditions incorporées.

Une organisation française peut utiliser le point de contact de la Commission nationale de l’informatique et des libertés (CNIL) pour être orientée. Ce canal ne transforme pas la CNIL en rédacteur du contrat et ne fonde aucune règle nationale ajoutée à l’article 28 ; il aide seulement à trouver l’interlocuteur compétent.

Maintenir un dossier vivant

L’accord reste fiable si le dossier suit le service : conservez ensemble la carte de traitement, les conditions contraignantes, annexes, versions, chaîne de sous-traitance, preuves examinées, propriétaires, tests et actions ouvertes. Un index d’une page doit permettre de retrouver chaque élément sans dépendre de la boîte de réception d’une personne.

Déclenchez une revue en cas de nouvelle finalité, donnée, catégorie de personnes, fonction, intégration, lieu, accès, sous-traitant ultérieur, transfert, mesure de sécurité, canal d’assistance ou règle de suppression ; ajoutez une revue périodique bornée pour détecter les changements silencieux, avec une fréquence proportionnée à la stabilité et au risque du service.

À chaque changement, reprenez la chaîne complète : rôle par activité, carte, registre d’écarts, route contractuelle, annexes, transfert éventuel, propriétaires et tests touchés. La maintenance n’est pas une nouvelle négociation générale. Elle consiste à modifier les éléments affectés, vérifier les voisins et conserver la preuve que l’instrument correspond encore aux faits.