RGPD : la checklist d'une clause de sous-traitance article 28 vraiment opposable
Sept points à vérifier avant de signer un DPA avec un sous-traitant tech ou cloud — y compris pour les transferts hors UE.
L'article 28 du RGPD impose un cadre contractuel précis pour toute sous-traitance de données personnelles. Pourtant, beaucoup de PME signent encore des DPA standards sans en mesurer la portée. Voici la checklist minimale.
1. Périmètre et finalité explicites
Le DPA doit décrire la nature, la durée, l'objet, le type de données et les catégories de personnes concernées. Une formulation générique (« traitement nécessaire à la prestation ») ne suffit pas en cas de contrôle CNIL.
2. Instructions documentées
Le sous-traitant ne peut agir que sur instructions documentées. Insérez une clause obligeant le sous-traitant à refuser toute instruction contraire au RGPD — et à le signaler par écrit.
3. Confidentialité et habilitations
Tous les collaborateurs accédant aux données doivent être soumis à une obligation de confidentialité écrite. Demandez la liste des personnes habilitées sur simple demande.
4. Mesures de sécurité
Référez-vous explicitement à l'annexe technique (souvent appelée « TOMs »). À défaut, vous portez la charge de la preuve en cas d'incident.
5. Sous-sous-traitance
Exigez une autorisation préalable écrite pour tout nouveau sous-sous-traitant, ou au minimum un préavis de 30 jours avec droit d'opposition motivé.
6. Transferts hors UE
Depuis l'arrêt Schrems II, tout transfert hors UE doit être encadré par des clauses contractuelles types (SCC 2021) et une évaluation d'impact (TIA). Pour les États-Unis, le DPF n'est pas une garantie absolue : maintenez les SCC en parallèle.
7. Assistance et restitution
Le sous-traitant doit assister gratuitement le responsable de traitement pour les demandes d'exercice de droits, les notifications de violation (sous 24-72 h) et les AIPD. À la fin du contrat, il restitue ou supprime les données — au choix du responsable.