Cet article fait partie de la série Demandez à un expert conformité.
L'essentiel en bref
- L'article 28, paragraphe 3, du RGPD impose cinq mentions de cadrage et huit obligations du sous-traitant aux points a) à h). Toute vérification d'un contrat de sous-traitance commence par cette liste, car elle est incomplète plus souvent qu'on ne l'imagine en 2026.
- Ne pas vérifier ni surveiller un sous-traitant expose à une amende. L'autorité fédérale allemande, la BfDI, a infligé en 2025 à Vodafone des amendes de 45 millions d'euros au total, dont 15 millions d'euros uniquement pour un contrôle et une surveillance insuffisants de ses agences partenaires au titre de l'article 28, paragraphe 1.
- Les sous-traitants ultérieurs constituent le point le plus critique. L'article 28, paragraphe 4, impose de leur faire porter les mêmes obligations en matière de protection des données, et le premier sous-traitant demeure responsable devant vous de leurs manquements.
- Une limitation contractuelle de responsabilité ne vaut qu'entre les parties au contrat. Devant la personne concernée, l'article 82, paragraphe 4, rend chaque partie impliquée responsable de la totalité du dommage.
- Décider si un contrat imparfait reste acceptable relève de la direction, pas du DPO. Le DPO informe et conseille au titre de l'article 39, paragraphe 1, point a) ; la décision de risque appartient au responsable du traitement, au titre de l'article 24, paragraphe 1.
Que vérifier en premier dans un contrat de sous-traitance ?
Que les mentions obligatoires de l'article 28, paragraphe 3, y figurent réellement toutes. Cela paraît élémentaire, et c'est pourtant là que la plupart des contrats échouent.
La première question de chaque vérification est toujours la même : le contrat contient-il l'ensemble des mentions imposées par le RGPD ? On pourrait croire la question réglée en 2026, puisqu'un projet de contrat propre se produit désormais en quelques minutes. Dans la pratique, elle ne l'est pas.
La première phrase de l'article 28, paragraphe 3, exige cinq mentions de cadrage : l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable du traitement. La seconde phrase énumère ensuite huit obligations précises du sous-traitant. Le tableau ci-dessous indique ce qu'il faut regarder pour chacune.
Idée reçue fréquente : puisque le prestataire fournit le contrat, quelqu'un l'aurait vérifié. C'est l'inverse. L'article 24, paragraphe 1, met la charge de la preuve sur le responsable du traitement, c'est-à-dire sur vous. Et l'article 28, paragraphe 1, vous impose de ne faire appel qu'à des sous-traitants présentant des garanties suffisantes.
La CNIL a publié un guide dédié à la sous-traitance qui reprend ces obligations point par point, ainsi que des clauses contractuelles types entre responsable du traitement et sous-traitant.
Ce que l'omission de ce devoir peut coûter, l'affaire Vodafone le montre. En 2025, l'autorité fédérale allemande de protection des données a prononcé contre Vodafone GmbH des amendes de 45 millions d'euros au total. 15 millions d'euros portaient uniquement sur des agences partenaires intervenant pour Vodafone, insuffisamment contrôlées et surveillées, en violation de l'article 28, paragraphe 1. Les amendes ont été acceptées et intégralement payées, comme l'indique le communiqué de l'autorité.
L'affaire est instructive parce qu'elle ne tenait pas à un contrat manquant, mais à un contrôle manquant. La place de l'article 28 parmi les autres obligations du règlement est traitée dans notre guide complet du RGPD pour les entreprises.
Pourquoi les sous-traitants ultérieurs sont-ils le point le plus critique ?
Parce que c'est là que les données arrivent réellement, et parce que la chaîne s'arrête rarement là où s'arrête le contrat.
Toute vérification sérieuse se concentre sur les sous-traitants ultérieurs. Presque plus aucun prestataire ne fournit son produit seul ; d'autres intervenants se trouvent dans la chaîne de traitement et manipulent les mêmes données. Deux questions décident de tout : quelles données partent vers ces prestataires, et où ces données se trouvent-elles ?
Deux paragraphes encadrent cela. L'article 28, paragraphe 2, exige une autorisation écrite préalable, spécifique ou générale. Si vous travaillez avec une autorisation générale, ce qui est le cas courant, vous devez être informé de tout changement envisagé et conserver un droit d'opposition. C'est précisément ce droit d'information et d'opposition que les contrats fournisseurs ont tendance à neutraliser. L'article 28, paragraphe 4, impose ensuite au sous-traitant ultérieur les mêmes obligations ; s'il ne les respecte pas, le premier sous-traitant reste responsable devant vous.
Vérifiez donc trois choses : la liste à jour des sous-traitants ultérieurs, le lieu de traitement pour chacun d'eux et le mécanisme par lequel vous êtes informé des changements. Une lettre d'information que personne n'a souscrite n'est pas un mécanisme. La chaîne elle-même a sa place dans votre registre des activités de traitement, faute de quoi vous ne pourrez pas dire où sont les données lorsqu'une personne concernée vous le demandera.
La deuxième idée reçue porte sur l'hébergement en Europe. Les équipes voient un contrat conclu avec la filiale irlandaise d'un fournisseur américain, lisent « données hébergées dans l'UE » et arrêtent là leur vérification. Ce n'est pas un point d'arrivée. Derrière la filiale se trouve la maison mère américaine, et le droit américain peut permettre l'accès à des données que cette filiale traite dans l'Union.
Cette lecture n'a rien de nouveau ni d'exotique. Le Comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données ont indiqué, dans leur réponse commune à la commission LIBE du 10 juillet 2019, qu'une injonction de communication américaine fondée sur le CLOUD Act ne constitue pas à elle seule une base licite de transfert. Contracter avec la filiale européenne est donc un avantage, mais pas la fin de la vérification. Savoir quand cela déclenche une analyse d'impact des transferts est un sujet en soi, hors du champ de cet article.
Quelles clauses sont rédigées à l'avantage du prestataire ?
Le plus souvent des pénalités contractuelles en cas de manquement au contrat, et des limitations de responsabilité. Aucune n'est illicite en soi, et les deux relèvent d'un examen en deux temps.
Les contrats fournisseurs contiennent souvent les mentions obligatoires, mais formulées à l'avantage du prestataire. Les pénalités applicables si le client manque lui-même au contrat en sont un exemple, les limitations de responsabilité un autre.
Le premier temps est la question de la licéité de la clause. Une stipulation qui vide de sa substance une obligation de l'article 28, paragraphe 3, par exemple un droit d'audit qui n'existe que sur le papier, ne l'est pas. Le second temps est la question commerciale : voulez-vous accepter cette clause ?
Pour les limitations de responsabilité, il vaut la peine de regarder ce qu'elles limitent réellement. Au titre de l'article 82, paragraphe 4, chaque responsable du traitement et chaque sous-traitant impliqué dans le même traitement répond envers la personne concernée de la totalité du dommage. Un plafond inscrit au contrat n'y change rien. Il ne joue qu'au niveau suivant, celui de l'action récursoire interne prévue à l'article 82, paragraphe 5. Accepter un plafond équivalent à une redevance annuelle ne signifie donc pas que votre exposition est plafonnée. Cela signifie que vous en supporterez l'essentiel vous-même en cas de sinistre.
Un troisième point apparaît rarement dans l'examen des clauses alors qu'il y a sa place : l'article 28, paragraphe 10. Le sous-traitant qui détermine, en violation du règlement, les finalités et les moyens du traitement est considéré comme responsable du traitement pour ce traitement. Les clauses accordant au prestataire un usage propre de vos données, par exemple pour améliorer son produit, déplacent exactement ce rôle. Pour vous, cela veut dire que le traitement documenté comme sous-traitance n'en est plus tout à fait un.
Que faire si le prestataire refuse de modifier le contrat ?
Vous documentez l'écart, vous évaluez le risque et vous portez la décision là où elle appartient, à la direction.
Prenons une entreprise SaaS de 30 personnes qui utilise un outil marketing d'un très grand fournisseur américain. Le DPO relève trois écarts dans le contrat : un droit d'audit réduit à la production d'un certificat, une autorisation générale de sous-traitance ultérieure sans droit d'opposition effectif et un plafond de responsabilité fixé au montant de la redevance annuelle. Il écrit à l'adresse « privacy » du fournisseur. Il reçoit une réponse type.
C'est la règle et non l'exception. Une entreprise de 30 personnes qui adresse des demandes de modification précises à l'adresse « privacy » d'un très grand fournisseur américain n'obtiendra pratiquement jamais le résultat souhaité. Le rapport de force n'existe pas, et aucun surcroît de vérification n'y changera quoi que ce soit.
C'est à ce moment que beaucoup d'équipes commettent la même erreur. Elles traitent le résultat comme une pure question de conformité et attendent du DPO un oui ou un non sur l'outil. Ce n'est pas son rôle.
Vous ne pourrez pas conclure dans tous les cas un contrat de sous-traitance parfaitement conforme au RGPD. La question devient alors de savoir si le résultat est acceptable pour votre entreprise, et cette décision appartient à la direction. Le DPO conseille et appuie l'évaluation ; la décision doit être portée par la direction.
Le règlement répartit les rôles ainsi de façon explicite. L'article 39, paragraphe 1, point a), charge le DPO d'informer et de conseiller ; l'article 24, paragraphe 1, fait porter la responsabilité au responsable du traitement, qui doit être en mesure de la démontrer. Concrètement, le DPO remet une évaluation écrite listant les écarts précis, le risque attaché à chacun et, lorsque c'est possible, des mesures compensatoires telles que la minimisation des données, la pseudonymisation ou le renoncement à certaines catégories de données. La direction valide. Cette validation constitue elle-même une preuve au sens de l'article 5, paragraphe 2, et a sa place au dossier, pas dans un fil Slack.
Si vous ne pouvez pas ou ne souhaitez pas assurer ce rôle en interne, un délégué à la protection des données externe s'en charge. Juridiquement, une désignation externe équivaut à une désignation interne. En France, aucun seuil d'effectif ne déclenche l'obligation : elle découle uniquement de l'article 37, et une fois le DPO désigné, la déclaration à la CNIL est obligatoire.
Qu'est-ce qui change quand le contrat porte sur des composants d'IA ?
La méthode de vérification reste la même, mais une question s'ajoute que les contrats anciens n'avaient pas à traiter.
Les composants d'IA font de plus en plus partie des contrats de sous-traitance, en particulier chez les prestataires qui fournissent des modèles d'IA. La question de détail devient alors : qu'advient-il de vos données une fois qu'elles alimentent ces modèles ?
Deux engagements décident ici de presque tout. Premièrement : vos saisies servent-elles à entraîner le modèle ? L'exclusion est généralement standard dans les contrats entreprise, souvent absente des offres en libre-service, et elle a sa place dans le contrat plutôt que sur une page de questions fréquentes. Deuxièmement : existe-t-il une rétention nulle des données, c'est-à-dire un traitement limité à la production du résultat suivi d'une suppression chez le prestataire ? Cela réduit la durée de conservation et, avec elle, une bonne part du risque.
Ce n'est pas une simple question contractuelle. Le CEPD a précisé dans son avis 28/2024 du 17 décembre 2024 qu'un modèle d'IA n'est pas anonyme du seul fait qu'il n'est pas une base de données, et que la licéité de la phase de développement peut rejaillir sur les traitements ultérieurs. Pour votre vérification, la conséquence pratique tient en une phrase : les engagements sur lesquels vous vous appuyez doivent figurer au contrat et être vérifiables.
Tant que la finalité de votre traitement ne change pas, le recours à un prestataire d'IA n'exige pas de nouvelle base légale propre ; le contrat de sous-traitance au titre de l'article 28 constitue la base du transfert. Si la finalité change, ce sont les six bases légales de l'article 6, paragraphe 1, qui s'appliquent, et nous les reprenons une à une dans le guide du RGPD.
Comment Kertos accompagne la vérification des contrats de sous-traitance
La plateforme Kertos réunit le paysage fournisseurs en un seul endroit. Pour chaque prestataire, le contrat de sous-traitance, la chaîne de sous-traitance ultérieure, le lieu de traitement et l'évaluation du risque figurent sur la même fiche, et l'activité de traitement est reliée au registre de l'article 30. La gestion des fournisseurs est la brique qui manque le plus souvent en pratique : non pas le contrat isolé, mais la vue d'ensemble des contrats existants et de leur dernière date de vérification.
La vérification elle-même reste un travail d'expert. Les clients de Kertos travaillent avec un interlocuteur attitré, issu d'une équipe d'experts certifiés, qui évalue le contrat, formule les écarts et prépare le document soumis à la direction. Sur demande, Kertos assure l'intégralité du mandat de délégué à la protection des données externe.
Pour voir ce que cela donne sur votre propre paysage fournisseurs, réservez une démonstration.
Questions fréquentes
Que doit contenir un contrat de sous-traitance RGPD ?
L'article 28, paragraphe 3, impose cinq mentions de cadrage : l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées ainsi que les obligations et les droits du responsable du traitement. S'y ajoutent huit obligations du sous-traitant aux points a) à h), de l'instruction documentée aux mesures techniques et organisationnelles jusqu'à la suppression ou la restitution des données en fin de prestation.
Qui doit conclure le contrat, le client ou le prestataire ?
Les deux le signent, mais l'obligation de s'assurer qu'il existe et qu'il est complet pèse sur le responsable du traitement. L'article 24, paragraphe 1, lui impose de démontrer la licéité du traitement. En pratique, c'est presque toujours le prestataire qui fournit le projet, ce qui ne déplace en rien le devoir de vérification du côté client.
Un contrat de sous-traitance est-il valable sans signature ?
Oui. L'article 28, paragraphe 9, exige la forme écrite, mais autorise expressément un format électronique. Un accord en ligne accepté ou un document contractuel confirmé par courriel suffit ; une signature manuscrite n'est pas requise. Ce qui compte, c'est de pouvoir produire à tout moment la version en vigueur.
Que se passe-t-il en l'absence de contrat de sous-traitance ?
Le manquement relève de l'article 83, paragraphe 4, et expose à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Que les autorités de contrôle utilisent cette fourchette, l'affaire Vodafone le montre, avec 15 millions d'euros pour le seul défaut de contrôle des prestataires. S'y ajoute la responsabilité envers les personnes concernées au titre de l'article 82.
Les sous-traitants ultérieurs doivent-ils être nommés dans le contrat ?
Le règlement n'impose pas de liste nominative dans le contrat lui-même. L'article 28, paragraphe 2, exige une autorisation écrite préalable, spécifique ou générale. En cas d'autorisation générale, le sous-traitant doit vous informer de tout changement envisagé et vous laisser la possibilité de vous y opposer. Une liste de sous-traitants ultérieurs tenue à jour, accessible par lien et assortie d'une notification des changements, est la manière habituelle de le mettre en œuvre.
État du droit au 20 août 2026. Cet article reflète la pratique de vérification des délégués à la protection des données de Kertos et constitue une orientation professionnelle. Il ne remplace pas un conseil juridique sur un cas particulier.
