Aller au contenu principal
Quel Logiciel Contrats

Sous-traitants de données : que suivre après la signature ?

Vous tenez les contrats d’une entreprise qui confie des données personnelles à des prestataires, ou qui en traite pour ses clients, et vous cherchez quoi garder une fois l’accord signé.

Trois choses, rattachées au contrat principal : l’accord de sous-traitance (le DPA, Data Processing Agreement, en anglais), les avis de changement de sous-traitant ultérieur, et la décision sur le sort des données en fin de contrat. Elles découlent de l’article 28 du RGPD.

Le texte ne fixe aucune revue annuelle. Une revue périodique est notre conseil. Si la prestation ne touche aucune donnée personnelle, ce suivi n’a pas lieu d’être.

Notre avis

Rattachez l’accord au contrat principal, conservez les avis de changement de sous-traitant et décidez du sort des données en fin de contrat. Une revue périodique reste notre conseil, pas une règle.

Pourquoi

  • Un dossier d’accords isolés se périme : quand le contrat principal change ou s’arrête, personne ne pense à l’accord. Le comité européen recommande d’identifier ces éléments à un seul endroit, par exemple une annexe.
  • Le comité précise qu’un accès à une liste mise à jour de temps à autre ne suffit pas : le sous-traitant doit signaler activement. L’avis reçu est donc la pièce à garder.
  • La fin de contrat est le moment où le sujet disparaît des radars. La suppression ou le renvoi des données se décide à cette date, et le texte n’en fixe pas le délai.

Ce qui change notre avis

Aucune donnée personnelle dans la prestation : hors sujet. Un volume élevé de contrats clients dont vous êtes le sous-traitant : un modèle standard réduit le travail, sans changer ce qu’il faut garder.

Quatre situations à consigner

Un avis de changement ou un changement de pays n’arrive pas à une date connue d’avance. Il faut donc une personne qui reçoit l’information et une place où la poser.

Après la signature, côté responsable du traitement
ÉvénementCe que dit le texteCe que vous gardez
Votre prestataire ajoute ou remplace un sous-traitantAvec une autorisation écrite générale, il vous informe de tout changement prévu, ce qui vous laisse la possibilité d’objecter (article 28, paragraphe 2). Le texte ne fixe pas de délai d’objection ; le comité européen recommande de définir la procédure au contratL’avis, sa date, votre décision
Le contrat principal prend finLe prestataire supprime ou renvoie les données selon votre choix et détruit les copies, sauf obligation légale de conservation (article 28, paragraphe 3, point g)Votre choix écrit, la confirmation reçue
Le contrat date d’avant le 25 mai 2018Le comité européen considère que l’absence de mise à jour constitue une violation de l’article 28, paragraphe 3. Il interprète ; un juge peut trancher autrementL’accord à jour ou la décision de le réviser
Le prestataire ou son hébergeur change de paysUne instruction documentée doit couvrir les transferts (point a). Avec un prestataire américain, l’adéquation ne vaut que s’il participe au Data Privacy FrameworkLe pays, la base de transfert et sa date de vérification

Si c’est vous, le sous-traitant

Le raisonnement se retourne. Vos clients vous demandent l’accord de sous-traitance. Avec une autorisation générale, vous leur signalez vos changements de sous-traitants ultérieurs ; avec une autorisation spécifique, vous obtenez leur accord écrit avant de recruter (article 28, paragraphe 2). Le contrat lie aussi votre propre sous-traitant aux mêmes obligations (article 28, paragraphe 4).

Si vous signez des contrats clients en nombre, un modèle standard évite de négocier chaque annexe. Reste un travail que le modèle ne fait pas : retrouver, le jour où vous changez d’hébergeur, quels clients ont reçu quelle version et qui doit être prévenu. La version de l’accord, notée dans le registre des contrats, répond à cette question : c’est le seul champ que nous ajouterions.

Ce que nous laisserions à l’outil, et ce que nous ne lui confierions pas

Nous en déduisons qu’un logiciel de contrats peut identifier les contrats qui contiennent un accord de sous-traitance, leurs dates de fin, le lieu d’hébergement et la base de transfert, relancer sur le sort des données et conserver les avis. Il ne juge pas si vous êtes responsable ou sous-traitant, ni si un transfert est valide.

Nous en déduisons que l’éditeur qui héberge vos contrats, avec leurs noms et leurs signataires, est lui-même un sous-traitant : son accord entre dans la même liste. Nous traitons l’hébergement sur une page à part.

Une date à relire sur les transferts vers les États-Unis

Le Tribunal de l’Union a rejeté le 3 septembre 2025 le recours contre la décision d’adéquation du 10 juillet 2023. Un pourvoi formé le 31 octobre 2025 est affiché pendant au 5 novembre 2026. La colonne « base de transfert » de vos prestataires américains peut donc encore changer : notez la date de votre dernière vérification.

Limites de cette page

Cette page ne dit pas si un prestataire donné est votre sous-traitant au sens du RGPD. Nous avons lu la version initiale du règlement, pas sa version consolidée, et la page de synthèse de la CNIL sur les transferts, pas ses fiches détaillées. Les lignes directrices sont une interprétation : un juge peut décider autrement. Les amendes de l’article 83 sont des plafonds (10 millions d’euros ou 2 % du chiffre d’affaires mondial pour l’article 28), pas un montant probable.

Et maintenant ?

Sortez la liste des prestataires qui touchent des données personnelles et vérifiez trois points : accord rattaché au contrat, avis de changement conservés, décision prévue en fin de contrat. Ignorez les prestations sans donnée personnelle.

Preuves et sources

RGPD (version initiale de 2016), lignes directrices 07/2020 du comité européen de la protection des données, pages de la CNIL et de la Commission européenne, arrêt du Tribunal et fiche de la Cour de justice lus le 5 novembre 2026. Guide du sous-traitant de la CNIL non lu.

Voir les 8 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis

  • Fait lu. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique, écrit, y compris sous forme électronique, qui fixe notamment l’objet, la durée, les données, les instructions, la sécurité, le recrutement d’autres sous-traitants, le sort des données en fin de prestation et les audits.

    Portée : Article 28, paragraphes 3 et 9 ; applicable depuis le 25 mai 2018.

    Réserve : Version initiale du règlement lue. Aucune périodicité de revue dans le texte.

    Relevé le 5 novembre 2026.

  • Fait lu. Avec une autorisation écrite générale, le sous-traitant informe le responsable de tout ajout ou remplacement de sous-traitant, ce qui lui donne la possibilité d’objecter ; le comité européen précise qu’il doit indiquer ou signaler activement ces changements.

    Portée : Article 28, paragraphe 2 ; lignes directrices 07/2020, version 2.0, paragraphe 128.

    Réserve : Aucun délai d’objection fixé par ces textes.

    Relevé le 5 novembre 2026.

  • Fait lu. Au terme de la prestation, le sous-traitant supprime ou renvoie les données selon le choix du responsable et détruit les copies, sauf obligation de conservation.

    Portée : Article 28, paragraphe 3, point g.

    Réserve : Délai non fixé par le texte.

    Relevé le 5 novembre 2026.

  • Fait lu. Le comité européen considère que l’absence de mise à jour d’un contrat antérieur au RGPD constitue une violation de l’article 28, paragraphe 3, et recommande d’identifier les éléments de l’article 28 à un seul endroit, par exemple une annexe.

    Portée : Lignes directrices 07/2020, version 2.0, paragraphe 103.

    Réserve : Le comité interprète ; un juge peut trancher différemment.

    Relevé le 5 novembre 2026.

  • Fait lu. Les manquements aux articles 25 à 39 exposent à une amende jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

    Portée : Article 83, paragraphe 4.

    Réserve : Plafond, pas un barème.

    Relevé le 5 novembre 2026.

  • Fait lu. La Commission a adopté le 10 juillet 2023 une décision d’adéquation pour les entreprises américaines participant au Data Privacy Framework ; le Tribunal a rejeté le recours Latombe le 3 septembre 2025 ; un pourvoi formé le 31 octobre 2025 est affiché pendant au 5 novembre 2026.

    Portée : Droit de l’Union.

    Réserve : Inscription à vérifier pour chaque prestataire. Issue du pourvoi inconnue.

    Relevé le 5 novembre 2026.

  • Notre déduction. Un logiciel peut identifier les contrats contenant un accord, leurs dates de fin, l’hébergement et la base de transfert, relancer et conserver les avis ; il ne juge ni la qualité de responsable ou de sous-traitant, ni la validité d’un transfert.

    Portée : Raisonnement.

    Réserve : Aucun produit testé. Aucune périodicité légale n’est créée par une alerte.

    Relevé le 5 novembre 2026.

  • Notre avis. Une revue périodique des accords est un conseil de notre part.

    Portée : Textes lus : aucune fréquence fixée.

    Réserve : Sans valeur de règle.

    Relevé le 5 novembre 2026.

Notre méthode