Beaucoup de prestataires ignorent qu’ils sont sous-traitants au sens du RGPD et que des obligations directes pèsent sur eux. Cet article décrypte, clause par clause, ce que cette relation implique concrètement entre entreprises.
Le problème concret : la découverte en pleine négociation
La scène est fréquente. Une agence de communication, un cabinet de conseil, une société de services informatiques ou un centre d’appels est en train de finaliser un contrat commercial avec un nouveau client. Au moment de signer, le client envoie un document intitulé « accord de sous-traitance au sens du RGPD » ou « data processing agreement ». L’interlocuteur côté prestataire lit le titre, feuillette les dix ou quinze pages, et se retrouve face à une liste d’engagements qu’il n’a jamais anticipés : tenue d’un registre spécifique, notification de violations dans les meilleurs délais, droit d’audit sur site, interdiction de recourir à des prestataires tiers sans autorisation préalable, restitution ou destruction de toutes les données en fin de mission. Le contrat commercial est déjà finalisé, la date de démarrage est proche, et personne dans l’entreprise n’a de réponse aux questions techniques que soulève ce document.
Ce scénario se retrouve dans de nombreuses entreprises françaises, en particulier des TPE et des PME de services qui réalisent des prestations impliquant l’accès à des données personnelles appartenant à leurs clients, sans avoir jamais formalisé leur situation au regard du RGPD. Elles traitent des données personnelles pour le compte de leur donneur d’ordre, sans disposer ni d’un accord de sous-traitance conforme, ni d’un registre des traitements propre à leur activité de sous-traitant, ni de procédures internes adaptées.
Le problème de fond n’est pas d’ordre administratif. Il est juridique et financier. Le RGPD impose des obligations directes aux sous-traitants, indépendamment de ce que dit ou ne dit pas le contrat commercial. La CNIL, en tant qu’autorité de contrôle nationale, et le Comité européen de la protection des données, au niveau européen, ont toutes les deux confirmé que les sous-traitants peuvent être sanctionnés directement, que le responsable de traitement peut l’être pour avoir mal choisi ou mal surveillé son sous-traitant, et que l’absence d’un contrat conforme à l’article 28 du RGPD constitue en soi un manquement. La qualification de sous-traitant ne protège pas le prestataire : elle lui impose des obligations supplémentaires.
Ce que cet article propose est un tour complet de la question, du mécanisme de qualification jusqu’aux erreurs à éviter, en passant par les clauses obligatoires et les zones de risque juridique les plus fréquentes dans la relation entre deux entreprises.
Les trois qualifications possibles et comment les distinguer
Avant toute chose, il faut identifier son rôle. Cette identification n’est pas une formalité contractuelle : c’est une analyse de la réalité opérationnelle. Un point est central et mérite d’être posé d’emblée avec clarté : la qualification ne dépend pas du contrat ni de ce que les parties ont décidé d’écrire. Elle dépend exclusivement de qui détermine les finalités et les moyens du traitement dans les faits. Un contrat peut qualifier une partie de « sous-traitant » sans que cela soit juridiquement exact, et l’inverse est tout aussi vrai. La CNIL n’est pas liée par les qualifications contractuelles : elle examine les rôles réels et peut les requalifier en cas de contrôle, avec toutes les conséquences qui s’ensuivent en matière de sanctions.
Le responsable de traitement au sens de l’article 4 du RGPD
L’article 4, paragraphe 7, du RGPD définit le responsable de traitement comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ». Deux critères cumulatifs structurent cette définition : la détermination des finalités, c’est-à-dire le « pourquoi » du traitement, et la détermination des moyens essentiels, c’est-à-dire le « comment ». Le Comité européen de la protection des données a précisé que les moyens essentiels désignent les décisions structurantes : quelles catégories de données sont traitées, qui en est destinataire, quelle est la durée de conservation, quelle est la base juridique retenue. Les moyens non essentiels, comme le choix de l’outil technique ou l’organisation interne des équipes pour remplir la mission, peuvent en revanche être laissés au prestataire sans que cela ne l’élève au rang de responsable de traitement.
Le responsable de traitement porte la charge principale des obligations du RGPD : tenue du registre des activités de traitement, information des personnes concernées, réponse aux droits, notification des violations à la CNIL dans le délai prévu à l’article 33, paragraphe 1, réalisation des analyses d’impact prévues à l’article 35, et sélection rigoureuse de ses sous-traitants conformément à l’article 28. Il est aussi, en cas de dommage, le premier exposé à l’action en réparation des personnes concernées au titre de l’article 82.
Exemples de responsables de traitement : une entreprise qui collecte des données sur ses clients pour gérer ses ventes décide elle-même pourquoi ces données sont collectées et comment elles seront utilisées. Un cabinet médical qui tient les dossiers de ses patients est responsable de traitement pour ces dossiers. Une association qui gère ses adhérents est responsable de traitement pour ce fichier.
Le sous-traitant au sens de l’article 4 du RGPD
L’article 4, paragraphe 8, du RGPD définit le sous-traitant comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». L’expression « pour le compte de » est le critère central. Le sous-traitant agit sur instruction du responsable et n’est pas censé déterminer ni les finalités ni les moyens essentiels du traitement. Il exécute une mission dans un cadre défini par autrui.
Ce statut s’applique à une grande variété de métiers, et c’est là que réside la difficulté concrète pour les TPE et les PME de services. Une agence de communication qui gère le fichier client de son donneur d’ordre est sous-traitante de ce donneur d’ordre pour cette activité : c’est le donneur d’ordre qui a décidé de collecter ces données et dans quel but. Un prestataire informatique qui héberge des serveurs contenant des données personnelles pour le compte d’une entreprise cliente est sous-traitant, même s’il n’accède jamais au contenu des données. Un cabinet qui traite des dossiers pour le compte d’un client, y compris des données personnelles relatives aux tiers concernés, est sous-traitant pour cette activité. Une société de recouvrement qui reçoit un portefeuille de créances avec les données des débiteurs est sous-traitante si le créancier a défini les finalités et les conditions du traitement. Un centre d’appels qui traite des demandes de clients au nom d’une marque est sous-traitant de cette marque pour les données des appelants.
Ces entreprises ignorent régulièrement leur statut. Elles ne disposent ni du contrat requis par l’article 28, ni du registre propre prévu par l’article 30, paragraphe 2. Elles n’ont pas non plus de procédure de notification en cas de violation de données. Cette ignorance ne les protège pas : elle les expose directement.
Les responsables conjoints au sens de l’article 26 du RGPD
L’article 26 du RGPD traite du cas où deux organismes ou plus déterminent conjointement les finalités et les moyens d’un même traitement. On parle alors de responsables conjoints. Ce statut est régulièrement sous-estimé et mal compris. Il suppose que le traitement n’aurait pas lieu sans la participation active de chacun, et que leurs rôles sont indissociables l’un de l’autre. Ce n’est pas le cas d’un simple prestataire de service, mais cela peut l’être lorsque deux entreprises partagent une base de données commune, organisent ensemble une campagne dont chacune définit une partie des règles, ou exploitent une plateforme dont chacune détermine une partie des finalités.
Les responsables conjoints doivent formaliser leur relation par un accord transparent qui répartit leurs obligations respectives, notamment en matière d’information des personnes concernées et de réponse aux droits. Les personnes concernées peuvent exercer leurs droits auprès de l’un ou l’autre des coresponsables. Les grandes lignes de cet accord doivent leur être accessibles. Chacun engage sa responsabilité pour les manquements qui lui sont imputables, mais peut aussi être mis en cause pour ceux de l’autre en l’absence d’accord correctement rédigé.
Le tableau suivant résume les différences entre les trois qualifications :
| Critère | Responsable de traitement | Sous-traitant | Responsables conjoints |
|---|---|---|---|
| Qui détermine les finalités ? | Lui seul | Le responsable de traitement | Les deux ensemble |
| Qui décide des moyens essentiels ? | Lui seul | Le responsable de traitement (le sous-traitant choisit les moyens non essentiels) | Les deux ensemble |
| Qui répond devant la CNIL ? | En première ligne | Pour ses propres manquements | Chacun pour sa part, avec possible solidarité |
| Contrat requis | Contrat art. 28 avec ses propres sous-traitants | Contrat art. 28 signé avec le responsable | Accord de coresponsabilité (art. 26) |
| Registre obligatoire | Article 30, paragraphe 1 | Article 30, paragraphe 2 | Article 30, paragraphe 1 pour chacun |
| Information des personnes concernées | Obligation directe | Sur instruction du responsable | Obligation partagée, avec point de contact désigné |
Comment se qualifier soi-même : un arbre de décision en quatre questions
Face à un traitement de données donné, une entreprise doit s’interroger sur son rôle. La réponse n’est jamais globale : elle s’analyse traitement par traitement. Une même entreprise peut être responsable de traitement pour sa gestion commerciale propre et sous-traitante pour la prestation qu’elle rend à son client. Le tableau suivant propose quatre questions pour se qualifier correctement, en partant des critères retenus par le Comité européen de la protection des données.
| Question | Si la réponse est oui | Si la réponse est non |
|---|---|---|
| 1. Décidez-vous vous-même pourquoi ces données sont collectées ou traitées, c’est-à-dire la finalité du traitement ? | Vous êtes probablement responsable de traitement pour cette activité | Passez à la question 2 |
| 2. Décidez-vous quelles données sont collectées, auprès de qui, et pour quelle durée de conservation ? | Vous êtes probablement responsable de traitement ou coresponsable | Passez à la question 3 |
| 3. Agissez-vous uniquement sur instruction de votre client, qui a défini la mission, les règles et le cadre du traitement ? | Vous êtes probablement sous-traitant au sens de l’article 4, paragraphe 8, du RGPD | Passez à la question 4 |
| 4. Pouvez-vous réutiliser les données pour vos propres finalités, par exemple pour améliorer vos services, prospecter d’autres clients ou constituer vos propres bases de référence ? | Vous êtes responsable de traitement pour ces usages propres, qui nécessitent une base légale autonome | Votre rôle est celui d’un sous-traitant strict : l’article 28 du RGPD s’applique intégralement |
Cette réflexion doit être documentée. La CNIL rappelle qu’en cas de contrôle, les acteurs doivent être en mesure de justifier la qualification qu’ils ont retenue et de démontrer comment ils y sont parvenus. Cette documentation est un élément d’accountability au sens du RGPD. En cas de doute persistant, notamment dans des configurations complexes comme les plateformes numériques ou les partenariats multi-acteurs, il est prudent de consulter un conseil spécialisé avant de signer le moindre document contractuel.
Le cas particulier du prestataire qui est les deux à la fois
Une même entreprise peut simultanément être responsable de traitement pour ses propres activités et sous-traitante pour les données de ses clients, parfois vis-à-vis du même partenaire commercial. Ce cas est très fréquent et régulièrement mal appréhendé.
Prenons l’exemple d’un cabinet qui réalise des prestations de gestion administrative pour le compte de plusieurs clients. Pour la gestion de ses propres salariés, la tenue de sa comptabilité ou le suivi de ses propres prospects, ce cabinet est responsable de traitement : il décide lui-même pourquoi et comment ces données sont utilisées. Mais lorsqu’il traite les dossiers de ses clients (factures, données de débiteurs, fichiers de contacts), il agit sur instruction de ces clients, qui ont défini la finalité et les conditions du traitement. Pour cette seconde activité, il est sous-traitant au sens de l’article 4, paragraphe 8, du RGPD.
Cela signifie concrètement que ce cabinet peut avoir deux registres distincts : un registre au titre de l’article 30, paragraphe 1, pour ses traitements en tant que responsable, et un registre au titre de l’article 30, paragraphe 2, pour ses activités en tant que sous-traitant pour le compte de ses clients. Il doit également conclure un accord de sous-traitance conforme à l’article 28 avec chacun de ses clients pour lesquels il accède à des données personnelles.
Le même raisonnement s’applique à une agence de communication qui gère son propre fichier clients et qui, par ailleurs, administre les fichiers de contacts de ses donneurs d’ordre. Pour les premiers, elle est responsable de traitement. Pour les seconds, elle est sous-traitante. Cette dualité de rôles est une réalité que le RGPD oblige à traiter avec rigueur, car les obligations qui découlent de chaque rôle sont différentes et ne peuvent pas être confondues.
Les obligations propres du sous-traitant
Le RGPD a profondément modifié la situation du sous-traitant. Avant son entrée en vigueur, le sous-traitant était principalement un exécutant dont les obligations étaient définies par le contrat. Depuis 2018, il est un acteur à part entière de la conformité, porteur d’obligations directes que nul contrat ne peut effacer. La CNIL peut le contrôler et le sanctionner directement sur le fondement de ses propres manquements. Voici le détail de chacune de ces obligations.
N’agir que sur instruction documentée
L’article 28, paragraphe 3, alinéa a, et l’article 29 du RGPD établissent un principe cardinal : le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable de traitement. Cette instruction doit être écrite, précise et traçable. Si le sous-traitant reçoit une instruction qu’il estime contraire au RGPD ou à toute autre règle de droit de l’Union ou d’un État membre, il a l’obligation d’en informer immédiatement le responsable de traitement. Il ne peut pas simplement exécuter une instruction illicite en se réfugiant derrière le contrat : son obligation d’alerte est une composante directe de sa mission.
En pratique, cette obligation impose de conserver une trace de toutes les instructions reçues : courriels, bons de commande, spécifications techniques, notes de réunion. En cas de litige ou de contrôle, cette documentation est la preuve que le sous-traitant a agi dans le cadre de ses attributions. L’absence de traçabilité des instructions est ce qui transforme souvent un problème contractuel en problème RGPD.
Garantir la confidentialité des personnes autorisées
L’article 28, paragraphe 3, alinéa b, impose au sous-traitant de veiller à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité. Cela concerne l’ensemble des collaborateurs qui ont accès aux données : salariés, stagiaires, prestataires indépendants, intervenants occasionnels.
En pratique, cette exigence se traduit par des clauses de confidentialité insérées dans les contrats de travail et les conventions avec les prestataires, ainsi que par des formations régulières sensibilisant les équipes aux risques liés au traitement de données personnelles. L’engagement de confidentialité doit être documenté et accessible en cas de contrôle de l’autorité compétente.
Assurer la sécurité du traitement au sens de l’article 32
L’article 32 du RGPD impose à la fois au responsable de traitement et au sous-traitant de mettre en oeuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Ces mesures doivent tenir compte de l’état des connaissances, des coûts de mise en oeuvre, ainsi que de la nature, de la portée, du contexte et des finalités du traitement, et des risques pour les droits et libertés des personnes physiques.
Le sous-traitant est tenu de cette obligation en son nom propre, pas seulement sur instruction du responsable. S’il constate qu’une mesure de sécurité demandée par le responsable est insuffisante au regard du risque réel, il doit en informer ce dernier. Si sa propre négligence en matière de sécurité entraîne une violation de données, sa responsabilité est directement engagée, indépendamment de celle du responsable de traitement.
Respecter le régime de la sous-traitance ultérieure
L’article 28, paragraphe 2, du RGPD interdit au sous-traitant de recruter un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable de traitement. Cette règle est souvent méconnue des prestataires qui recourent à des tiers pour certaines parties de leur mission sans en informer leur client.
Deux modalités d’autorisation existent : l’autorisation spécifique, qui nomme chaque sous-traitant ultérieur, et l’autorisation générale, qui suppose un mécanisme d’information et de droit d’objection du responsable. Dans tous les cas, le sous-traitant initial reste pleinement responsable devant le responsable de traitement des actes du sous-traitant ultérieur. Le contrat avec ce dernier doit imposer les mêmes obligations de protection des données que celles prévues dans le contrat initial, conformément à l’article 28, paragraphe 4.
Aider le responsable pour les droits des personnes concernées
Le sous-traitant doit, dans la mesure du possible et compte tenu de la nature du traitement, aider le responsable de traitement à s’acquitter de son obligation de répondre aux demandes d’exercice des droits des personnes concernées : droit d’accès, droit de rectification, droit à l’effacement, droit à la limitation du traitement, droit à la portabilité et droit d’opposition. Cette obligation figure à l’article 28, paragraphe 3, alinéa e.
En pratique, cela suppose que le sous-traitant soit en mesure d’identifier rapidement les données qu’il détient pour un client donné, de les extraire, de les corriger ou de les supprimer selon les instructions du responsable. Un sous-traitant incapable de retrouver les données qu’il traite pour un client ne peut pas remplir cette obligation et expose les deux parties à une incapacité de répondre aux droits dans les délais applicables.
Notifier les violations sans délai au sens de l’article 33
L’article 33, paragraphe 2, du RGPD impose au sous-traitant de notifier toute violation de données à caractère personnel au responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Cette notification doit permettre au responsable de respecter sa propre obligation de déclaration à l’autorité de contrôle, dans le délai prévu à l’article 33, paragraphe 1.
Le sous-traitant doit donc disposer d’une procédure interne de détection et de remontée des incidents, permettant d’identifier rapidement si un incident constitue une violation de données au sens du RGPD et d’alerter le responsable de traitement sans délai. L’absence de procédure est en elle-même un manquement à l’obligation de sécurité.
Tenir son propre registre au titre de l’article 30, paragraphe 2
L’article 30, paragraphe 2, du RGPD impose aux sous-traitants de tenir un registre distinct de celui du responsable de traitement. Ce registre propre au sous-traitant recense, pour chaque responsable de traitement pour lequel il intervient : le nom et les coordonnées du responsable (et du délégué à la protection des données le cas échéant), les catégories de traitements effectués pour son compte, les éventuels transferts de données vers des pays tiers et les garanties correspondantes, ainsi qu’une description générale des mesures de sécurité mises en oeuvre.
Ce registre est propre au sous-traitant et reflète sa réalité opérationnelle : quels clients, quelles données traitées pour leur compte, avec quels prestataires en cascade. De nombreuses TPE et PME prestataires n’ont pas ce registre et ignorent même qu’elles doivent le tenir. La CNIL peut en demander la production lors d’un contrôle : son absence constitue un manquement direct.
Mettre à disposition les informations nécessaires aux audits
L’article 28, paragraphe 3, alinéa h, du RGPD impose au sous-traitant de mettre à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect de ses obligations et de permettre la réalisation d’audits, y compris des inspections, par le responsable de traitement ou tout auditeur mandaté par lui. Le sous-traitant est tenu de coopérer à ces contrôles. Un refus ou une obstruction constituerait en lui-même une violation de ses obligations contractuelles et réglementaires, et un signal d’alarme que l’autorité de contrôle est fondée à prendre en compte.
Le sort des données en fin de contrat
L’article 28, paragraphe 3, alinéa g, du RGPD impose qu’à l’issue de la prestation, le sous-traitant restitue ou supprime toutes les données à caractère personnel selon le choix exprimé par le responsable de traitement, et détruise les copies existantes, sauf obligation légale de conservation contraire. Cette clause est régulièrement traitée comme une formalité, alors qu’elle est source de contentieux importants. Un sous-traitant qui conserve des données au-delà de la fin du contrat sans base légale engage directement sa responsabilité. La procédure de restitution ou de destruction doit être formalisée, attestée et documentée.
Le point de bascule de l’article 28, paragraphe 10 : quand le sous-traitant devient responsable de traitement
L’article 28, paragraphe 10, du RGPD pose une règle aux conséquences majeures : si un sous-traitant détermine lui-même les finalités et les moyens du traitement, en violation du contrat qui l’encadre, il est considéré comme responsable de traitement pour ce qui concerne ce traitement. Toutes les obligations du responsable de traitement lui incombent alors, y compris en matière de sanctions.
Ce mécanisme de bascule est le risque juridique majeur pour tout prestataire qui traite des données pour le compte de ses clients. La situation la plus fréquente est celle d’un prestataire qui réutilise les données de ses clients pour améliorer ses propres services, entraîner ses propres modèles, constituer des bases de référence ou prospecter d’autres clients. Chacun de ces usages constitue une finalité propre, non couverte par les instructions du responsable de traitement. Le prestataire devient alors responsable de traitement pour ces usages, sans en avoir les garanties ni les processus adaptés, et s’expose à des sanctions directes.
Ce n’est pas une hypothèse théorique. Des prestataires numériques ont vu leur qualification requalifiée par des autorités de contrôle parce qu’ils utilisaient les données de leurs clients pour des finalités propres, comme la production d’analyses agrégées revendues à des tiers ou l’amélioration de leurs propres algorithmes. La leçon est claire : toute utilisation des données au-delà des instructions reçues du responsable de traitement sort le prestataire de son rôle de sous-traitant. Il se retrouve alors soumis à l’intégralité du régime applicable aux responsables de traitement, sans les protections contractuelles que lui offrait son rôle initial et, le cas échéant, sans avoir respecté les obligations correspondantes.
Les mentions obligatoires du contrat de sous-traitance selon l’article 28
L’article 28 du RGPD impose que le traitement confié à un sous-traitant soit régi par un contrat écrit, ou par un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre. Ce document, souvent désigné par l’acronyme DPA (data processing agreement), doit contenir un ensemble de mentions obligatoires. Son absence ou son insuffisance constitue un manquement direct pour les deux parties. Voici chacune de ces mentions, avec ce qu’il convient d’y écrire et une formulation type.
L’objet et la durée du traitement
Le contrat doit préciser quelle mission le sous-traitant réalise et pour quelle période. Ces éléments délimitent le périmètre du contrat et définissent à partir de quand la clause sur le sort des données en fin de contrat s’applique.
Formulation type : « Le sous-traitant est autorisé à traiter, pour le compte du responsable de traitement, les données à caractère personnel nécessaires à la réalisation de la mission suivante : [description précise de la prestation]. Cette autorisation est valable pour la durée du contrat de prestation, soit jusqu’au terme prévu au contrat principal ou, en cas de reconduction, jusqu’à la fin de la dernière période de reconduction. »
La nature et la finalité du traitement
Le contrat doit décrire le type d’opérations réalisées sur les données (collecte, hébergement, analyse, envoi, suppression, etc.) et la finalité poursuivie par le responsable de traitement. C’est ce qui permet de vérifier que le sous-traitant n’excède pas son mandat.
Formulation type : « Le traitement consiste en [hébergement, gestion, envoi, analyse, etc.] de données à caractère personnel. La finalité du traitement est [gestion de la relation client, envoi de communications, gestion des dossiers de personnel, etc.] telle que définie par le responsable de traitement. Le sous-traitant ne peut en aucun cas traiter ces données pour des finalités autres que celles expressément indiquées par le responsable de traitement. »
Le type de données personnelles et les catégories de personnes concernées
Le contrat doit lister les catégories de données traitées (noms, coordonnées, données financières, données de santé, etc.) et les catégories de personnes auxquelles elles appartiennent (clients, salariés, prospects, patients, etc.). Cette précision permet d’évaluer le niveau de risque du traitement et d’adapter les mesures de protection.
Formulation type : « Les données traitées dans le cadre du présent contrat appartiennent aux catégories suivantes : [liste]. Elles concernent les personnes des catégories suivantes : [liste]. Toute extension du périmètre des données ou des catégories de personnes doit faire l’objet d’un avenant écrit signé par les deux parties. »
Les obligations et droits du responsable de traitement
Le contrat doit préciser les droits que le responsable peut exercer vis-à-vis du sous-traitant, notamment son droit de donner des instructions, de réaliser des audits et d’exiger des informations sur la conformité. C’est la contrepartie des obligations du sous-traitant.
Formulation type : « Le responsable de traitement est en droit de donner des instructions au sous-traitant sur la manière de traiter les données à caractère personnel. Il peut à tout moment demander des informations sur les mesures de sécurité mises en oeuvre, procéder à des audits ou mandater un tiers à cet effet, moyennant un préavis raisonnable sauf urgence justifiée. Le sous-traitant s’engage à coopérer pleinement à ces vérifications. »
L’engagement de ne traiter que sur instruction documentée
Formulation type : « Le sous-traitant s’engage à ne traiter les données à caractère personnel que sur instruction documentée du responsable de traitement, conformément aux articles 28 et 29 du RGPD. Si le sous-traitant estime qu’une instruction viole le règlement général sur la protection des données ou toute autre disposition de droit applicable, il en informe sans délai le responsable de traitement par écrit et se réserve le droit de surseoir à l’exécution de cette instruction dans l’attente d’une réponse. »
L’engagement de confidentialité des personnes autorisées
Formulation type : « Le sous-traitant s’assure que toutes les personnes autorisées à accéder aux données à caractère personnel dans le cadre du présent contrat sont soumises à une obligation de confidentialité, contractuelle ou légale. Il tient à la disposition du responsable de traitement la liste de ces personnes et la documentation justifiant leur engagement de confidentialité, et la met à jour à chaque changement. »
Les mesures de sécurité au titre de l’article 32
Formulation type : « Le sous-traitant met en oeuvre, et maintient pendant toute la durée du contrat, des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données traitées, conformément à l’article 32 du RGPD. Ces mesures incluent notamment [liste des mesures adaptées au contexte du traitement, intégrée en annexe technique]. Elles sont révisées régulièrement et adaptées à l’évolution des risques et des connaissances disponibles. »
Le régime de la sous-traitance ultérieure
Formulation type : « Le sous-traitant ne peut faire appel à un autre prestataire pour réaliser tout ou partie des opérations de traitement objet du présent contrat qu’avec l’autorisation écrite préalable du responsable de traitement. En cas d’autorisation générale accordée, le sous-traitant informe le responsable de traitement de tout changement prévu concernant l’ajout ou le remplacement de prestataires et lui accorde un délai de [à définir entre les parties] pour formuler une objection. Le contrat conclu avec tout sous-traitant ultérieur impose les mêmes obligations de protection des données que celles prévues au présent contrat. »
L’assistance au responsable pour les droits et les obligations de conformité
Formulation type : « Le sous-traitant s’engage à assister le responsable de traitement, dans la mesure du possible et en tenant compte de la nature du traitement, dans l’accomplissement de son obligation de répondre aux demandes d’exercice des droits des personnes concernées. Il s’engage également à l’assister dans le respect de ses obligations au titre des articles 32 à 36 du RGPD, notamment en ce qui concerne la sécurité, la notification des violations de données et l’analyse d’impact relative à la protection des données. »
Le sort des données en fin de contrat
Formulation type : « À l’issue du présent contrat, le sous-traitant s’engage, au choix du responsable de traitement notifié par écrit, à restituer l’ensemble des données à caractère personnel concernées par le contrat ou à les supprimer de manière sécurisée, et à détruire toutes les copies existantes, à l’exception de celles dont la conservation est imposée par une obligation légale applicable au sous-traitant. Le sous-traitant atteste par écrit de la destruction ou de la restitution effective dans un délai convenu entre les parties. »
La sous-traitance ultérieure : autorisation, information et responsabilité en cascade
La sous-traitance ultérieure est l’une des zones de risque les plus régulièrement négligées dans les relations entre entreprises. Un prestataire qui fait appel à des sous-traitants pour assurer tout ou partie de sa mission sans en informer son client et sans obtenir son accord préalable enfreint l’article 28, paragraphe 2, du RGPD. Cette règle s’applique même si le recours au sous-traitant ultérieur est habituel dans le secteur d’activité concerné.
Deux modalités d’autorisation sont prévues par le RGPD. La première est l’autorisation spécifique : le responsable de traitement nomme expressément chaque sous-traitant ultérieur autorisé. Tout remplacement ou ajout nécessite une nouvelle autorisation expresse. C’est la modalité la plus protectrice pour le responsable de traitement, mais la plus contraignante opérationnellement pour le sous-traitant. La seconde est l’autorisation générale : le responsable donne un accord de principe, à condition que le sous-traitant l’informe de tout changement prévu et lui laisse la possibilité de s’y opposer avant le recours au nouveau prestataire. Cette modalité est plus souple, mais impose un processus d’information structuré et documenté.
Dans tous les cas, l’article 28, paragraphe 4, du RGPD impose que le sous-traitant ultérieur soit soumis aux mêmes obligations de protection des données que celles imposées au sous-traitant initial. Le sous-traitant initial reste pleinement responsable devant le responsable de traitement de l’exécution par le sous-traitant ultérieur. Si ce dernier commet une violation, c’est d’abord le sous-traitant initial qui en répond vis-à-vis du responsable de traitement, avant tout recours interne entre eux.
Pour le responsable de traitement, la gestion de la chaîne de sous-traitance est un exercice de vigilance continue. Le Comité européen de la protection des données a précisé, dans ses lignes directrices et dans son avis d’octobre 2024 sur la sous-traitance en cascade, que le responsable doit disposer à tout moment des informations relatives à l’identité de chaque acteur de la chaîne et être en mesure de vérifier les garanties offertes par chacun, en proportionnant le niveau de vérification au niveau de risque du traitement concerné.
Les transferts hors Union européenne : questions à se poser avant de signer
La question des transferts de données hors de l’Union européenne est directement liée à la sous-traitance. Un sous-traitant qui recourt à des prestataires ou à des ressources situées en dehors de l’Espace économique européen transfère potentiellement des données vers des pays tiers, ce qui déclenche les exigences des articles 44 à 49 du RGPD. L’accès à distance depuis un pays tiers, même à des fins de maintenance ou de support technique, constitue un transfert au sens du RGPD.
Trois mécanismes principaux permettent de sécuriser un transfert hors Union européenne. Le premier est la décision d’adéquation prévue à l’article 45 : la Commission européenne a constaté que certains pays tiers offrent un niveau de protection substantiellement équivalent à celui de l’Union. Pour ces pays, le transfert est autorisé sans garantie supplémentaire, sous réserve que le traitement entre bien dans le champ d’application de la décision et que celle-ci soit toujours en vigueur. Le second mécanisme est celui des clauses contractuelles types, au titre de l’article 46 : des clauses standardisées adoptées par la Commission européenne et insérées dans le contrat entre l’exportateur et l’importateur de données. Ces clauses doivent s’accompagner d’une analyse d’impact du transfert, permettant de vérifier que la législation du pays de destination ne compromet pas les engagements pris. Le troisième mécanisme est celui des règles d’entreprise contraignantes, réservé aux transferts au sein d’un groupe de sociétés et soumis à l’approbation de l’autorité de contrôle compétente.
Pour un sous-traitant, les questions pratiques à se poser vis-à-vis de tout prestataire auquel il recourt sont les suivantes : où sont physiquement localisées les données hébergées ? Qui y a accès et depuis quel pays ? Des collaborateurs ou des sous-traitants situés hors de l’Union européenne peuvent-ils accéder aux données, même à titre ponctuel, pour assurer la maintenance ou le support ? Si la réponse à l’une de ces questions implique un pays tiers, le mécanisme de transfert applicable doit être identifié, documenté et intégré dans le contrat de sous-traitance. L’existence d’une décision d’adéquation applicable ne dispense pas de vérifier que la situation reste conforme : ces décisions sont réexaminées périodiquement et peuvent être suspendues.
L’audit : ce que chaque partie peut exiger ou accepter
L’article 28, paragraphe 3, alinéa h, du RGPD confère au responsable de traitement un droit d’audit sur son sous-traitant. Ce droit permet de vérifier que les engagements pris dans le contrat sont effectivement respectés. Il peut être exercé par le responsable lui-même ou par tout auditeur qu’il mandate. Le sous-traitant est tenu de coopérer pleinement. Un refus constitue une violation directe de ses obligations réglementaires et contractuelles.
En pratique, un audit sur site peut être coûteux, intrusif et difficile à organiser, surtout dans les relations entre structures de taille modeste. Le contrat peut aménager les modalités pratiques de l’audit : préavis raisonnable sauf urgence, périmètre défini à l’avance, engagement de confidentialité applicable à l’auditeur, fréquence et conditions de prise en charge des coûts. Ces aménagements sont acceptables dès lors qu’ils ne privent pas le droit d’audit de son effectivité. En revanche, une clause qui subordonne tout audit à l’accord préalable du sous-traitant, ou qui en limite indûment la portée, est susceptible d’être considérée comme contraire à l’article 28.
Une alternative reconnue par les autorités de contrôle est le recours à des rapports d’audit ou à des certifications réalisés par des tiers indépendants. Le sous-traitant peut proposer de fournir ces documents en lieu et place d’un audit sur site. Cette solution est raisonnable pour les traitements à risque modéré. Pour les traitements à risque élevé, notamment ceux portant sur des données de santé, des données financières sensibles ou des données de mineurs, le responsable de traitement est en droit d’exiger un niveau de vérification plus approfondi, incluant une inspection sur site ou des tests techniques. La CNIL a rappelé à plusieurs reprises que l’existence d’un contrat conforme à l’article 28 ne suffit pas : le responsable doit démontrer qu’il a effectivement vérifié que son sous-traitant met en oeuvre les garanties annoncées.
La responsabilité en cas de dommage selon l’article 82 : qui paie et qui récupère ?
L’article 82 du RGPD organise le régime de réparation des dommages causés par un traitement non conforme. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD a le droit d’obtenir réparation du responsable de traitement ou du sous-traitant. Ce droit d’action direct contre le sous-traitant est une innovation majeure du RGPD par rapport au droit antérieur.
Le paragraphe 2 de l’article 82 organise la répartition de la responsabilité entre les acteurs. Le responsable de traitement est responsable de plein droit dès lors qu’il a participé au traitement non conforme. Le sous-traitant n’est tenu responsable que s’il n’a pas respecté les obligations qui lui incombent spécifiquement en tant que sous-traitant, notamment celles des articles 28 et 32, ou s’il a agi en dehors des instructions licites du responsable de traitement ou contrairement à celles-ci. L’exonération est possible pour l’un ou l’autre s’il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable, conformément au paragraphe 3 du même article.
Lorsque plusieurs acteurs participent au même traitement et sont responsables d’un dommage, l’article 82, paragraphe 4, organise une responsabilité solidaire : chacun peut être tenu de réparer le dommage dans sa totalité, ce qui garantit une réparation effective à la personne lésée. L’acteur qui a intégralement indemnisé la victime dispose ensuite d’un recours en contribution contre les autres, à proportion de leur part de responsabilité dans le dommage, en vertu du paragraphe 5 de ce même article.
Une clause de limitation de responsabilité insérée dans le contrat de sous-traitance peut valablement régir les relations internes entre les parties, c’est-à-dire déterminer qui supporte in fine le coût d’un incident dans leur rapport contractuel. Mais cette clause ne peut pas être opposée aux personnes concernées qui exercent leur droit à réparation sur le fondement de l’article 82, ni à la CNIL qui prononce une sanction administrative. La sanction administrative est prononcée par l’autorité de contrôle en fonction des manquements constatés, indépendamment des stipulations que les parties ont pu prévoir entre elles. Un sous-traitant dont le contrat limitait sa responsabilité à un montant symbolique peut tout aussi bien faire l’objet d’une sanction administrative significative si ses manquements sont avérés.
Checklist de négociation : ce que chaque partie doit exiger ou encadrer
La négociation d’un contrat de sous-traitance au sens du RGPD implique des intérêts partiellement divergents. Le tableau suivant présente, pour chaque partie, les points à défendre lors de la négociation.
| Ce que le responsable de traitement doit exiger | Ce que le sous-traitant doit refuser ou encadrer |
|---|---|
| Une description précise du périmètre des données traitées, avec une liste des catégories | Un périmètre indéfini qui l’exposerait à des obligations de traitement non anticipées |
| L’interdiction explicite de réutiliser les données pour des finalités propres au sous-traitant | Une interdiction totale et non nuancée qui empêcherait tout traitement licite de données anonymisées |
| Une procédure de notification des violations avec un délai court clairement défini | Un délai de notification irréaliste qui ne tient pas compte du temps nécessaire à l’analyse de l’incident |
| La liste des sous-traitants ultérieurs autorisés dès la signature du contrat | L’interdiction absolue de tout sous-traitant ultérieur, incompatible avec le fonctionnement normal de l’activité |
| Un droit d’audit effectif, avec des modalités pratiques définies (préavis, périmètre, fréquence) | Un droit d’audit sur site illimité et sans préavis, source de désorganisation de l’activité |
| La restitution ou la destruction certifiée de toutes les données en fin de contrat | Une obligation de destruction immédiate sans tenir compte des délais légaux de conservation applicables au sous-traitant |
| La description des mesures de sécurité effectives en annexe technique du contrat | Un engagement de sécurité sans contenu précis, qui ne serait pas opposable en cas d’incident |
| L’identification claire du mécanisme de transfert si des données sont traitées hors de l’Union européenne | L’acceptation d’une localisation indéterminée des données sans engagement sur les garanties applicables |
| Une clause de responsabilité précisant qui supporte les conséquences des manquements respectifs de chaque partie | Un plafond de responsabilité si bas qu’il ne couvrirait pas les coûts réels d’un incident significatif |
| La communication du registre propre au sous-traitant sur demande, pour les traitements concernés | Une obligation de communication systématique incluant des informations confidentielles sur d’autres clients |
Les erreurs fréquentes dans les relations de sous-traitance
Plusieurs catégories d’erreurs reviennent régulièrement lorsque l’on examine les relations de sous-traitance entre entreprises au regard du RGPD. Les identifier permet d’éviter les expositions les plus courantes.
La première erreur est de signer un accord de sous-traitance sans le lire. Le document est envoyé par le client, présenté comme une formalité, et signé sans analyse. Or un accord de sous-traitance est un document juridique contraignant qui impose des obligations spécifiques, parfois difficiles à remplir sans organisation interne adaptée. Signer sans lire, c’est s’engager sans savoir sur quoi.
La deuxième erreur est la réutilisation des données pour améliorer son propre service. Un prestataire qui utilise les données de ses clients pour entraîner ses modèles, construire des statistiques sectorielles ou alimenter ses propres bases sort de son rôle de sous-traitant. Il devient responsable de traitement pour ces usages, sans base légale identifiée et sans en avoir informé les personnes concernées. Le risque juridique est direct.
La troisième erreur est l’absence de registre au titre de l’article 30, paragraphe 2. Nombre de prestataires, même ceux ayant signé des accords de sous-traitance, ignorent qu’ils doivent tenir un registre propre listant les traitements réalisés pour le compte de chacun de leurs clients. Ce registre est une exigence légale autonome, indépendante de ce que demande ou non le client.
La quatrième erreur est l’absence de déclaration des sous-traitants ultérieurs. Un prestataire qui recourt à des tiers pour assurer sa mission sans en informer son client enfreint l’article 28, paragraphe 2. Cette situation est particulièrement fréquente lorsque des prestations sont externalisées sans formalisation préalable.
La cinquième erreur est l’absence de procédure de notification des violations. Un incident de sécurité survient chez le prestataire, mais personne n’a de procédure pour l’identifier, le qualifier et alerter le client dans les délais. Le responsable de traitement apprend la violation par un autre canal, bien après le délai applicable à sa propre notification à la CNIL. Cette défaillance expose le sous-traitant directement.
La sixième erreur est la non-restitution ou la non-suppression des données en fin de contrat. La mission se termine, les données restent dans les systèmes du prestataire, personne ne demande leur restitution ni ne procède à leur suppression. Ces données continuent d’être hébergées sans base contractuelle ni juridique valable.
La septième erreur est la qualification acceptée par confort sans analyse. Un client propose à son prestataire d’accepter une qualification qui ne correspond pas à la réalité des rôles, pour simplifier les négociations contractuelles. Un prestataire accepte d’être qualifié de « sous-traitant » alors qu’il détermine lui-même les finalités et les moyens, ou à l’inverse accepte d’être qualifié de « responsable conjoint » sans en mesurer les conséquences. Cette qualification de complaisance ne protège aucune des parties en cas de contrôle : la CNIL analyse la réalité des rôles, pas les étiquettes contractuelles.
Savoir où sont les données est le préalable à toute obligation
Un sous-traitant qui ne sait pas précisément quelles données il détient pour le compte de quel client se trouve dans une situation paradoxale : il est soumis à des obligations précises (restitution, suppression, réponse aux droits, notification des violations) sans avoir les moyens de les remplir. L’identification des données est donc le préalable indispensable à toute conformité effective.
Concrètement, cela suppose d’être capable, pour chaque client donneur d’ordre, de répondre aux questions suivantes : quelles données personnelles sont stockées dans mes systèmes pour ce client ? De qui s’agit-il ? Où sont-elles ? Sous quelle forme ? Comment puis-je les extraire, les corriger ou les supprimer ? Un prestataire incapable de répondre à ces questions ne peut ni restituer les données en fin de contrat, ni répondre à une demande d’exercice des droits, ni notifier précisément une violation. L’incapacité opérationnelle se transforme alors en manquement réglementaire.
C’est précisément dans cette logique que Djaboo centralise, pour chaque client, les données qui lui sont rattachées : contacts, devis, factures et dépenses sont regroupés dans un dossier client unique. Cette organisation permet à chaque utilisateur d’identifier immédiatement les données qu’il détient pour un client donné, ce qui constitue le point de départ indispensable à toute démarche de conformité, que l’on agisse en tant que sous-traitant ou en tant que responsable de traitement.
Questions fréquentes
Un prestataire peut-il refuser de signer un accord de sous-traitance que lui soumet son client ?
L’article 28 du RGPD impose que la relation entre un responsable de traitement et un sous-traitant soit encadrée par un contrat écrit. Le refus du sous-traitant de signer un tel document ne supprime pas l’obligation : il met les deux parties en situation de manquement. En pratique, un prestataire peut négocier le contenu du document, proposer des modifications ou demander des clarifications, mais il ne peut pas se dispenser de toute formalisation dès lors qu’il traite effectivement des données personnelles pour le compte de son client. Le client, de son côté, a l’obligation de s’assurer que la relation est contractualisée : si le prestataire refuse toute négociation, le client doit envisager de changer de prestataire ou d’encadrer la relation par un autre acte juridique conforme à l’article 28.
La qualification contractuelle lie-t-elle la CNIL lors d’un contrôle ?
Non. La CNIL n’est pas liée par les qualifications que les parties ont retenues dans leurs contrats. Elle procède à une analyse des rôles réels en fonction des faits : qui décide de quoi, qui a le pouvoir sur les finalités, qui définit les moyens essentiels du traitement. Un contrat qui qualifie une partie de sous-traitant alors qu’elle détermine en réalité les finalités et les moyens peut être requalifié. Cette requalification a des conséquences directes en matière de sanctions, notamment si la partie requalifiée en responsable de traitement ne respectait pas les obligations correspondantes. La CNIL a rappelé à plusieurs reprises que la qualification est avant tout factuelle et que la rigueur de l’analyse initiale est un élément d’accountability au sens du RGPD.
Que désignent les « moyens non essentiels » qu’un sous-traitant peut librement choisir ?
Le Comité européen de la protection des données a distingué les moyens essentiels, qui doivent être définis par le responsable de traitement, des moyens non essentiels, que le sous-traitant peut choisir librement dans le cadre de la mission confiée. Les moyens essentiels incluent les catégories de données traitées, les catégories de personnes concernées, la durée de conservation et les destinataires des données. Les moyens non essentiels concernent des choix techniques d’implémentation : l’organisation interne des équipes, les outils spécifiques retenus pour remplir les engagements de sécurité contractuels, ou les méthodes techniques utilisées pour réaliser la prestation. Ce que le sous-traitant choisit librement ne modifie pas son statut, à condition qu’il reste dans le cadre des instructions du responsable pour tout ce qui concerne les finalités et les moyens essentiels.
Un travailleur indépendant peut-il être sous-traitant au sens du RGPD ?
Oui. La qualification de sous-traitant ne dépend pas du statut juridique de l’intervenant, ni de sa taille, ni de son régime fiscal. Un travailleur indépendant qui traite des données personnelles pour le compte d’un client est sous-traitant au sens de l’article 4, paragraphe 8, du RGPD, dès lors que ce client détermine les finalités et les moyens du traitement. Les mêmes obligations s’appliquent : accord de sous-traitance conforme à l’article 28, registre propre au titre de l’article 30, paragraphe 2, mesures de sécurité, notification des violations. La taille de la structure ne dispense d’aucune obligation réglementaire, même si la mise en oeuvre pratique peut être adaptée au contexte opérationnel.
Que se passe-t-il si le responsable de traitement donne des instructions illicites au sous-traitant ?
L’article 28, paragraphe 3, alinéa a, du RGPD impose au sous-traitant d’informer immédiatement le responsable de traitement s’il estime qu’une instruction viole le règlement ou toute autre règle de droit applicable. Le sous-traitant ne peut pas se réfugier derrière la relation contractuelle pour exécuter une instruction contraire au droit. S’il exécute une instruction illicite sans la contester, sa responsabilité propre peut être engagée. Le fait de n’avoir fait qu’obéir aux instructions du responsable ne l’exonère pas automatiquement s’il avait ou devait avoir connaissance du caractère illicite de l’instruction. Cette obligation d’alerte est une composante directe du rôle du sous-traitant, pas une faculté.
Le sous-traitant doit-il contribuer à une analyse d’impact au titre de l’article 35 du RGPD ?
L’obligation principale de réaliser une analyse d’impact relative à la protection des données incombe au responsable de traitement, en vertu de l’article 35 du RGPD, lorsque le traitement envisagé est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Toutefois, l’article 28 du RGPD impose au sous-traitant d’aider le responsable à s’acquitter de cette obligation. En pratique, le sous-traitant doit fournir au responsable les informations techniques nécessaires : mesures de sécurité mises en oeuvre, flux de données, accès existants, risques liés à son environnement technique. Il ne réalise pas l’analyse d’impact à la place du responsable, mais il y contribue de manière déterminante en apportant les éléments que le responsable ne peut pas obtenir seul.
Que doit contenir le registre propre du sous-traitant au titre de l’article 30, paragraphe 2 ?
Contrairement au registre du responsable de traitement, qui recense toutes ses activités de traitement propres, le registre du sous-traitant est organisé par client (responsable de traitement). Pour chacun d’eux, il mentionne : le nom et les coordonnées du responsable de traitement et, le cas échéant, du délégué à la protection des données ; les catégories de traitements effectués pour son compte ; les éventuels transferts de données vers des pays tiers avec les garanties correspondantes ; une description générale des mesures techniques et organisationnelles de sécurité mises en oeuvre. Ce registre doit être tenu à la disposition de l’autorité de contrôle sur demande. Son absence constitue un manquement autonome, indépendant des autres obligations.
Une clause contractuelle de limitation de responsabilité protège-t-elle le sous-traitant contre une sanction administrative de la CNIL ?
Non. La clause de limitation de responsabilité ne joue qu’entre les parties au contrat, dans leurs relations privées. Elle peut définir qui supporte les coûts d’un incident dans la relation interne entre le responsable de traitement et son sous-traitant. En revanche, elle n’est pas opposable à la CNIL, qui prononce ses sanctions administratives en fonction des manquements constatés et des critères prévus par le RGPD, sans être tenue par les stipulations contractuelles des parties. Une sanction administrative peut donc être prononcée contre le sous-traitant même si le contrat limitait sa responsabilité à un montant modeste. La limitation contractuelle ne constitue pas non plus un bouclier contre les actions en responsabilité civile exercées par les personnes concernées sur le fondement de l’article 82 du RGPD.
Comment identifier si un prestataire est sous-traitant ou responsable de traitement autonome pour son propre service ?
Le critère déterminant reste identique : qui décide des finalités et des moyens essentiels du traitement ? Si le prestataire traite les données uniquement pour réaliser la mission confiée par le client et conformément aux instructions de celui-ci, il est sous-traitant. S’il utilise ces données pour ses propres finalités, comme améliorer ses propres algorithmes, produire des analyses qu’il revend à d’autres, ou constituer des bases de données pour son propre compte, il est responsable de traitement pour ces usages propres. Un même prestataire peut être sous-traitant pour la partie de son activité réalisée sur instruction du client et responsable de traitement pour la partie qu’il mène de sa propre initiative. La qualification se fait traitement par traitement, pas de manière globale.
Le responsable de traitement peut-il être sanctionné si son sous-traitant commet une violation ?
Oui. Le responsable de traitement a l’obligation de ne recourir qu’à des sous-traitants offrant des garanties suffisantes au sens de l’article 28, paragraphe 1, de contractualiser la relation par un accord conforme, et de vérifier régulièrement que les engagements sont respectés. Si un sous-traitant commet une violation, l’autorité de contrôle peut examiner si le responsable a correctement rempli ses obligations de sélection et de surveillance. Si ce n’est pas le cas, le responsable peut être sanctionné parallèlement au sous-traitant, selon les circonstances et les manquements propres à chacun. La CNIL a rappelé que la responsabilité du responsable de traitement vis-à-vis de ses sous-traitants ne disparaît pas une fois le contrat signé : elle implique une vigilance continue tout au long de la relation contractuelle, proportionnée au niveau de risque du traitement concerné.
