Contrat de sous-traitance (art. 28 RGPD) : quand et avec qui le signer

Sommaire

• Qu'est-ce que le contrat de sous-traitance ?
• Quand devez-vous le signer ?
• Avec qui le signez-vous (et avec qui non) ?
• Que doit contenir le contrat au minimum ?
• Que se passe-t-il si votre prestataire sous-traite à une autre entreprise ?
• Que se passe-t-il si vous ne le signez pas ?
• Comment le signer en pratique ?
• Questions fréquentes
• Sources officielles

Qu'est-ce que le contrat de sous-traitance ?

Sous-traitant (en espagnol : encargado del tratamiento) = une entreprise extérieure qui traite des données pour vous, en suivant vos instructions, sans décider à quoi elles servent. Votre gestoría, lorsqu'elle établit vos bulletins de paie, est un sous-traitant. Votre hébergeur, lorsqu'il stocke votre site avec les données de vos clients, l'est aussi.

Lorsque vous donnez à cette entreprise accès à des données à caractère personnel (de vos clients, de vos salariés ou de toute autre personne), la loi vous oblige à le formaliser dans un contrat. Un accord verbal ne suffit pas, pas plus qu'une clause générique perdue dans les conditions du prestataire : le contrat a un contenu minimal fixé par la loi, et nous l'expliquons plus bas.

Ce contrat ne remplace pas l'information que vous donnez déjà à vos clients ou à vos salariés sur le traitement de leurs données (ce sont les clauses d'information). C'est un accord distinct, entre votre entreprise et le prestataire, qui encadre ce que le prestataire peut et ne peut pas faire avec ces données.

Quand devez-vous le signer ?

Vous devez l'avoir signé avant que le prestataire ne commence à traiter les données, et non comme une formalité postérieure. En pratique, cela se produit à trois moments :

1. Lorsque vous engagez un nouveau prestataire qui va traiter des données à caractère personnel : hébergement, logiciel de gestion, agence de marketing, imprimerie qui envoie des courriers avec des adresses, société de messagerie ayant accès à votre base de données clients, etc.
2. Lorsque vous révisez d'anciens contrats. Si vous avez signé avec un prestataire avant 2018 ou avec une clause générique de confidentialité qui ne couvre pas le contenu exigé, ce contrat ne vaut pas en l'état. L'AEPD elle-même (l'autorité espagnole de protection des données) signale que les contrats antérieurs au RGPD doivent être mis à jour : un simple renvoi générique à la réglementation ne suffit pas.
3. Lorsque les conditions du service changent. Si le prestataire commence à traiter des données qu'il ne traitait pas auparavant, ou change le pays où il les héberge, il vous faut un nouveau contrat ou un avenant ; l'ancien ne suffit pas.

Il n'est pas nécessaire de le signer avec tous vos prestataires : uniquement avec ceux qui traitent des données à caractère personnel pour votre compte. Un fournisseur de papier de bureau n'a pas besoin de ce contrat ; votre logiciel de facturation ayant accès aux données de vos clients, si.

Avec qui le signez-vous (et avec qui non) ?

Vous le signez avec toute entreprise qui traite des données à caractère personnel en suivant vos instructions, sans décider elle-même la finalité ni les moyens du traitement. Exemples courants dans une PME :

• Votre gestoría ou asesoría (cabinets espagnols de gestion et de conseil), lorsqu'elle s'occupe de vos bulletins de paie, de votre comptabilité ou de vos déclarations d'embauche et de fin de contrat.
• Votre prestataire d'hébergement ou de logiciel (facturation, CRM, réservations, ERP) si ce logiciel stocke des données de vos clients ou de vos salariés.
• Votre agence de marketing ou d'email marketing, si vous lui transmettez des listes de contacts.
• Votre informaticien ou prestataire de support technique, s'il a un accès à distance à vos systèmes contenant des données à caractère personnel.
• Les entreprises de destruction de documents, la messagerie ayant accès aux données, les centres d'appels, les gestionnaires de paie externes.

Vous ne le signez pas avec celui qui décide de son propre chef à quoi il utilise les données : ce n'est plus un sous-traitant, c'est un autre responsable du traitement (par exemple, un organisme public auquel vous envoyez des données en vertu d'une obligation légale, ou un partenaire avec qui vous partagez des clients sur un pied d'égalité). Ce n'est pas non plus nécessaire avec les prestataires qui ne touchent à aucun moment à des données à caractère personnel.

Un cas que l'on néglige souvent : votre propre gestoría, lorsqu'elle gère vos bulletins de paie ou votre comptabilité, est un sous-traitant à l'égard des données de vos salariés. L'art. 28 ne fait pas d'exception selon le type de prestataire : il s'applique à une gestoría comme à une entreprise d'hébergement.

Que doit contenir le contrat au minimum ?

L'art. 28.3 du RGPD fixe un contenu minimal obligatoire. Ce n'est pas une liste indicative : s'il manque l'un de ces points, le contrat n'est pas conforme. Il doit prévoir :

1. L'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées.
2. Que le prestataire ne traite les données qu'en suivant vos instructions écrites — jamais de sa propre initiative (art. 28.3.a).
3. Que tout le personnel du prestataire qui voit les données s'engage à la confidentialité (art. 28.3.b et art. 5 de la LOPDGDD (la loi espagnole de protection des données), qui fait en outre que cet engagement subsiste même si la personne cesse d'y travailler).
4. Que le prestataire applique des mesures de sécurité adaptées (art. 28.3.c et art. 32 RGPD).
5. Les conditions dans lesquelles le prestataire peut sous-traiter à une autre entreprise (sous-traitants ultérieurs) — nous le voyons dans la section suivante.
6. Que le prestataire vous aide lorsque quelqu'un vous demande à consulter, corriger ou effacer ses données (art. 28.3.e).
7. Que le prestataire vous avertit s'il détecte une faille de sécurité, afin que vous puissiez respecter le délai de 72 heures auprès de l'AEPD (art. 28.3.f et art. 33 RGPD).
8. Ce qu'il advient des données à la fin du contrat : le prestataire les efface ou vous les restitue, à vous de choisir (art. 28.3.g).
9. Que le prestataire vous fournit les informations nécessaires pour démontrer qu'il respecte ses obligations, et permet des audits (art. 28.3.h).
10. Que le contrat soit établi par écrit, y compris sous forme électronique (art. 28.9).

C'est un contrat par prestataire, et non un contrat générique pour tous : chaque entreprise traite des données différentes, à des finalités différentes. L'AEPD publie un modèle de clauses indicatif que vous pouvez utiliser comme référence de départ (voir les sources).

Que se passe-t-il si votre prestataire sous-traite à une autre entreprise ?

C'est courant : votre hébergeur utilise à son tour le centre de données d'une autre entreprise, ou votre gestoría sous-traite l'envoi des bulletins de paie à une gestoría de paie spécialisée. Le RGPD le permet, mais à une condition claire : le prestataire a besoin de votre autorisation écrite préalable, générale ou spécifique, avant de sous-traiter (art. 28.2 RGPD).

• Autorisation générale : vous acceptez que le prestataire puisse recourir à des sous-traitants ultérieurs sous certaines conditions, et il vous informe des changements pour que vous puissiez vous y opposer.
• Autorisation spécifique : vous approuvez chaque sous-traitant ultérieur un par un, avant qu'il ne commence à traiter des données.

Dans tous les cas, le prestataire reste responsable devant vous du respect, par ce sous-traitant ultérieur, des mêmes obligations que les siennes. Si votre prestataire sous-traite sans vous le dire ou sans votre autorisation, il manque à ses obligations contractuelles.

Que se passe-t-il si vous ne le signez pas ?

L'AEPD (Agencia Española de Protección de Datos) est l'autorité qui contrôle cela en Espagne. Elle peut demander des explications, ordonner des changements ou, dans les cas les plus graves, infliger une sanction. Le RGPD fixe les maximums possibles à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et jusqu'à 20 millions ou 4 %, selon l'infraction (art. 83 RGPD) ; c'est le plus élevé des deux montants qui s'applique.

En pratique, ces chiffres sont le plafond légal, pas la norme : la sanction est graduée selon la gravité, la taille de l'entreprise et le fait que vous ayez coopéré ou non. Le plus fréquent, si ce contrat vous manque, ce n'est pas l'amende en elle-même, mais qu'on le découvre au milieu d'un autre contrôle (par exemple, après une réclamation d'un client ou une violation de données) et que vous deviez régulariser dans l'urgence, sans marge. C'est pourquoi il vaut mieux l'avoir fait au calme, et non lorsqu'il y a déjà un problème sur les bras.

Comment le signer en pratique ?

1. Dressez la liste de vos prestataires qui traitent des données à caractère personnel : hébergement, logiciels, gestoría, marketing, support technique, messagerie ayant accès aux données.
2. Pour chacun d'eux, rédigez ou utilisez un modèle reprenant les 10 points de la section précédente, adapté à ce que ce prestataire fait exactement avec vos données.
3. Envoyez-le-lui pour signature. De nombreux grands prestataires (hébergement, logiciels) ont déjà leur propre modèle : vérifiez qu'il couvre les points minimaux avant de le signer tel quel.
4. Conservez la copie signée par les deux parties dans le dossier de ce prestataire, pendant toute la durée de la relation et quelques années de plus, au cas où vous devriez prouver que vous respectiez la loi.
5. Si vous changez de prestataire ou si les conditions du service changent, établissez un nouveau contrat : l'ancien est archivé comme preuve de ce qui était en vigueur à l'époque.

Tranquilia génère ce contrat automatiquement pour chaque prestataire que vous enregistrez dans votre dossier, avec les 8 clauses obligatoires de l'art. 28.3 déjà incluses et prêt à être envoyé pour signature par e-mail. Vous pouvez l'essayer avec jusqu'à 2 entreprises, avec toutes les fonctions actives, sans carte et sans limite de temps — c'est le plan gratuit, pas une démo bridée.

Questions fréquentes

Ai-je besoin d'un contrat différent pour chaque prestataire ? Oui. Chaque prestataire traite des données différentes, avec une finalité et une durée différentes. Un contrat générique pour tous n'est pas conforme à l'art. 28.3, qui exige de détailler l'objet et la nature du traitement dans chaque cas.

Un contrat signé avant 2018 est-il valable ? Non, s'il ne fait qu'un renvoi générique à la réglementation sur la protection des données. L'AEPD signale que ces contrats doivent être adaptés au contenu exigé par l'art. 28 RGPD ; une ancienne clause de confidentialité ne suffit pas.

Ma propre gestoría doit-elle le signer avec moi ? Oui, si elle traite les données de vos salariés ou de vos clients pour votre compte (bulletins de paie, comptabilité, déclarations d'embauche et de fin de contrat). L'art. 28 n'exonère pas les gestorías : elles sont un sous-traitant comme n'importe quel autre prestataire.

Le prestataire peut-il signer puis sous-traiter sans me prévenir ? Non. Il a besoin de votre autorisation écrite préalable, générale ou spécifique, avant de sous-traiter à une autre entreprise (art. 28.2 RGPD). S'il le fait sans prévenir, il manque à ses obligations contractuelles.

Où dois-je conserver le contrat signé ? Dans le dossier de ce prestataire, pendant toute la durée de la relation commerciale et quelques années de plus, afin de pouvoir prouver que vous respectiez la loi si on vous le demande.

Sources officielles

• Reglamento (UE) 2016/679 (RGPD), article 28 (et art. 83, sanctions) — texte consolidé sur EUR-Lex.
• AEPD — «Responsable y encargado del tratamiento», questions fréquentes.
• AEPD — «¿Cuál sería el contenido del contrato de encargo de tratamiento?»
• AEPD — Modelo de cláusulas para contratos entre responsables y encargados del tratamiento (PDF).
• BOE — Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), article 5 (devoir de confidentialité).

---

Rapport de contenu élaboré à partir de sources officielles vérifiées — il ne constitue ni une certification officielle ni un avis juridique. Si vous avez des doutes sur un cas précis, consultez votre gestoría ou un professionnel du droit.

Vous voulez voir comment ce contrat est généré automatiquement pour chacun de vos prestataires ? Consultez le guide pour les asesorías et gestorías ou parcourez le plan gratuit.