DPA et sous-traitance : ce que l'article 28 du RGPD impose au contrat

Au 4 novembre 2026, l'article 28 du RGPD impose un contrat écrit entre l'employeur et tout fournisseur qui traite des données pour son compte. Ce contrat doit couvrir au moins huit points, dont les instructions documentées, la sécurité, l'accord préalable pour tout autre sous-traitant, la suppression ou le renvoi des données en fin de contrat et le droit d'audit.

Qui est sous-traitant

La CNIL rappelle, dans une page publiée le 6 juin 2025, que la qualification dépend des faits et non du contrat. Le responsable de traitement détermine les finalités et les moyens essentiels, comme les données collectées, leur durée de conservation et leurs destinataires. Le sous-traitant agit pour son compte et suit ses instructions, tout en pouvant choisir des moyens techniques. Un fournisseur d'outil RH qui traite les données de vos salariés pour vous rendre le service est en général sous-traitant. S'il les réutilise pour ses propres fins sans autorisation écrite valable, la CNIL indique qu'il peut être considéré comme responsable de ce traitement et sanctionné.

Les mentions obligatoires

L'article 28, paragraphe 3, liste ce que le contrat doit prévoir. Le sous-traitant traite les données uniquement sur instruction documentée, garantit la confidentialité des personnes autorisées, applique les mesures de sécurité de l'article 32, respecte les conditions de recours à un autre sous-traitant, aide à répondre aux demandes d'exercice des droits, aide à respecter les articles 32 à 36, supprime ou renvoie les données au terme de la prestation selon votre choix, et fournit les informations nécessaires en permettant des audits, y compris des inspections. Le contrat précise aussi objet, durée, nature, finalité et catégories de données.

Clauses types et sous-traitants ultérieurs

La Commission européenne a adopté le 4 juin 2021 des clauses contractuelles types entre responsable et sous-traitant (décision 2021/915). Elles ne sont pas obligatoires mais reprennent les exigences de l'article 28 ; elles ne servent pas à encadrer les transferts hors Union. Le sous-traitant ne peut recruter un autre sous-traitant qu'avec une autorisation écrite préalable, spécifique ou générale. Pour un outil d'IA, cela concerne souvent l'hébergeur et le fournisseur du modèle de langage : leur liste doit être connue.

Réutilisation des données par le fournisseur

La CNIL précise qu'un sous-traitant ne peut pas réutiliser pour son propre compte des données confiées sans autorisation écrite du responsable, portant sur un traitement déterminé, et après un test de compatibilité avec la finalité initiale. Dans sa foire aux questions sur l'IA générative, elle recommande de s'opposer, lorsque c'est possible, à la réutilisation des données d'usage par le fournisseur. Écrire noir sur blanc dans le contrat que les données RH ne servent pas à entraîner ou améliorer un modèle évite toute ambiguïté.

À faire

1. Vérifier que le contrat reprend les huit points de l'article 28, paragraphe 3.
2. Obtenir la liste à jour des sous-traitants ultérieurs (hébergeur, fournisseur du modèle) et leur localisation.
3. Ajouter une clause interdisant la réutilisation des données RH pour entraîner ou améliorer un modèle.
4. Fixer le sort des données en fin de contrat : renvoi, suppression, délais et preuve.
5. Prévoir un délai de notification des violations de données par le fournisseur.
6. Conserver le contrat signé avec la documentation RGPD de l'outil.

Textes de référence

• Article 28 du RGPD (CNIL, chapitre IV)
• CNIL : clauses contractuelles types entre responsable de traitement et sous-traitant
• CNIL : responsable du traitement et sous-traitants, comment identifier son rôle
• CNIL : réutilisation par un sous-traitant de données confiées

Questions fréquentes

Contenu d'information générale, qui ne constitue pas un conseil juridique.