DPA et sous-traitant RGPD : les clauses indispensables du contrat de traitement de données

Le 11 décembre 2025, la CNIL a infligé une amende d'un million d'euros à la société Mobius Solutions Ltd, ancien sous-traitant de Deezer, pour avoir conservé les données de plus de 46 millions d'utilisateurs après la fin de leur relation contractuelle et les avoir réutilisées à ses propres fins sans instruction du responsable de traitement. Cette décision, fondée notamment sur le manquement à l'article 28, paragraphe 3, g) du RGPD, rappelle qu'un contrat de sous-traitance mal rédigé ou mal exécuté expose directement le prestataire, et non seulement son client, à des sanctions financières lourdes.

Le DPA (Data Processing Agreement), ou accord de sous-traitance de données personnelles, est précisément l'instrument censé prévenir ce type de situation. Ce contrat, ou cette annexe contractuelle, encadre les traitements réalisés par un sous-traitant pour le compte d'un responsable de traitement. Son contenu doit respecter l'article 28 du RGPD et décrire concrètement le traitement, les instructions, les mesures de sécurité, les sous-traitants ultérieurs, l'assistance et les audits. Cet article détaille les clauses que ce contrat doit impérativement comporter, depuis la qualification des parties jusqu'à la répartition des responsabilités en cas de manquement.

Le DPA, un contrat encadré par l'article 28 du RGPD

Cette section précise le fondement juridique du DPA avant d'en détailler les clauses. L'article 28, paragraphe 3, du RGPD impose la conclusion d'un contrat écrit, y compris sous forme électronique, entre le responsable de traitement et son sous-traitant, avant tout traitement de données pour son compte. Ce texte ne laisse pas la forme du document au libre choix des parties : il fixe un contenu minimal obligatoire, que le contrat s'appelle DPA, accord de sous-traitance ou simple annexe au contrat de prestation principal.

Le DPA ne doit pas être un document générique plaqué indifféremment sur tous les prestataires d'une entreprise. Il doit correspondre aux flux de données réellement traités, aux services effectivement fournis et au niveau de risque du traitement concerné. Un contrat de sous-traitance rédigé pour un hébergeur cloud ne couvre pas nécessairement les mêmes enjeux que celui conclu avec un prestataire de recrutement ou une société d'archivage physique.

Qui est sous-traitant, qui est responsable de traitement

Avant de rédiger la moindre clause, il faut déterminer avec certitude qui est sous-traitant dans la relation contractuelle. Un prestataire est sous-traitant lorsqu'il traite des données personnelles pour le compte et sur instruction d'un responsable de traitement. Cette qualification dépend de la réalité des fonctions exercées, et non du titre donné au contrat : un prestataire qui détermine lui-même les finalités et les moyens essentiels du traitement peut être considéré comme responsable de traitement pour l'opération concernée, quand bien même le contrat le désignerait comme simple sous-traitant.

Les profils de sous-traitants les plus fréquents en pratique sont l'hébergeur cloud, le fournisseur de logiciel SaaS, le prestataire de paie, le cabinet comptable, la société de marketing ou d'emailing, le centre d'appels, le prestataire de cybersécurité, la société d'archivage, le prestataire de recrutement, le service de maintenance informatique ou encore la plateforme de gestion des ressources humaines. Dans tous les cas, le responsable de traitement doit vérifier que le prestataire présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, cette vérification étant elle-même une obligation portée par l'article 28.

Les mentions minimales imposées par l'article 28, paragraphe 3

L'article 28, paragraphe 3, du RGPD impose que le contrat précise au minimum l'objet du traitement, sa durée, sa nature, sa finalité, le type de données personnelles traitées, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable de traitement. Cette description prend généralement la forme d'une annexe technique listant les services concernés, les opérations réalisées, les systèmes utilisés, les lieux d'hébergement, la durée de conservation et les éventuels transferts internationaux.

Une description trop générale, du type « toutes données nécessaires à la fourniture des services », fragilise la conformité du DPA et complique le contrôle des instructions données au sous-traitant. C'est précisément ce défaut de précision contractuelle, combiné à une absence de registre des traitements, que la CNIL a sanctionné dans l'affaire Mobius Solutions : l'entreprise ne disposait d'aucun registre des activités de traitement, en violation de l'article 30 du RGPD, ce qui a aggravé l'appréciation de sa défaillance globale.

Les clauses obligatoires relatives aux obligations du sous-traitant

Cette section détaille les clauses que l'article 28 impose dans leur principe, la marge de négociation portant sur leur formulation opérationnelle plutôt que sur leur existence même.

Instructions documentées et confidentialité

Le sous-traitant ne doit traiter les données que sur instruction documentée du responsable de traitement, y compris pour les transferts vers un pays situé hors de l'Espace économique européen. Le DPA gagne à préciser la forme des instructions, les personnes habilitées à les donner, la procédure de modification, la conservation des instructions et la procédure applicable en cas d'urgence. Le sous-traitant doit par ailleurs informer le responsable s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre règle applicable — une obligation d'alerte qui protège autant le sous-traitant que le responsable de traitement.

Le contrat doit également prévoir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité, contractuelle ou légale. Il est utile d'y ajouter une limitation des accès au besoin d'en connaître, une procédure de retrait des habilitations en cas de départ ou de changement de poste, ainsi qu'une traçabilité des accès aux données sensibles.

Sécurité du traitement

Le sous-traitant doit mettre en œuvre des mesures techniques et organisationnelles appropriées au risque, conformément à l'article 32 du RGPD. Le DPA doit éviter les formulations abstraites telles que « sécurité conforme aux standards du marché », qui ne permettent ni contrôle ni preuve de conformité en cas d'audit. Il est préférable de prévoir une annexe de sécurité précisant le chiffrement en transit et au repos, la gestion des identités et des accès, l'authentification multifacteur, la journalisation, les sauvegardes et leurs tests de restauration, la gestion des vulnérabilités, les tests d'intrusion, ainsi que la continuité et la reprise d'activité.

Le DPA peut renvoyer à une certification, à une politique de sécurité ou à un référentiel existant, à condition que ces documents soient réellement accessibles au responsable de traitement et effectivement appliqués par le sous-traitant — un simple renvoi à un label affiché sur un site web ne suffit pas à démontrer une mise en œuvre effective.

Notification des violations de données

Le sous-traitant doit notifier au responsable de traitement toute violation de données personnelles dans les meilleurs délais après en avoir pris connaissance. Cette obligation, prévue à l'article 33, paragraphe 2, du RGPD, ne doit pas être confondue avec le délai de 72 heures qui s'impose au responsable de traitement pour notifier l'autorité de contrôle compétente en application de l'article 33, paragraphe 1 : ce délai de 72 heures concerne la relation entre le responsable de traitement et la CNIL, et non celle entre le sous-traitant et son client. Le DPA doit donc prévoir un délai opérationnel suffisamment court pour permettre au responsable de traitement de respecter, à son tour, son propre délai légal.

Le DPA doit préciser le canal de notification, les personnes à contacter, les informations minimales à transmettre — nature de la violation, catégories et nombre approximatif de personnes concernées, conséquences prévisibles, mesures prises ou proposées pour y remédier — ainsi que la conservation des preuves et l'interdiction de communiquer publiquement sur l'incident sans accord préalable, sauf obligation légale contraire.

Assistance pour les droits des personnes et les obligations réglementaires

Le sous-traitant doit assister le responsable de traitement pour répondre aux demandes d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition. Le contrat doit préciser si le sous-traitant répond directement ou transmet la demande, le délai maximal de transmission, et le traitement des demandes reçues directement par le prestataire — étant précisé que le sous-traitant ne doit généralement pas répondre de sa propre initiative à la personne concernée, sauf instruction du responsable ou obligation légale contraire.

Le sous-traitant doit également aider le responsable de traitement à respecter ses obligations relatives à la sécurité du traitement, aux violations de données, aux analyses d'impact relatives à la protection des données et aux consultations préalables de l'autorité de contrôle. Cette coopération doit être organisée en pratique par le DPA : délais, format des informations, interlocuteurs désignés, disponibilité des équipes.

Les clauses opérationnelles à ne pas négliger dans la négociation

Ces clauses, souvent moins détaillées dans les contrats standards proposés par les grands fournisseurs SaaS, se révèlent pourtant déterminantes en cas de litige, de contrôle ou de fin de relation contractuelle.

Sous-traitants ultérieurs

Le sous-traitant ne peut recruter un autre sous-traitant sans l'autorisation écrite préalable du responsable de traitement, qui peut être spécifique ou générale. En cas d'autorisation générale, le sous-traitant doit informer le responsable de tout ajout ou remplacement projeté afin de lui permettre de s'y opposer. Le DPA doit préciser la liste des sous-traitants ultérieurs, leur identité et leur localisation, les services qui leur sont confiés, ainsi que le mécanisme et le délai de notification des changements.

Point souvent sous-estimé en négociation : le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l'exécution des obligations de protection des données par le sous-traitant ultérieur. Cette responsabilité en cascade, prévue à l'article 28, paragraphe 4, du RGPD, justifie que le DPA impose au sous-traitant initial de répercuter sur ses propres sous-traitants des obligations équivalentes à celles qu'il a lui-même souscrites.

Transferts internationaux

Le DPA doit identifier les transferts de données hors Espace économique européen et leur fondement juridique : décision d'adéquation, clauses contractuelles types de la Commission européenne, règles d'entreprise contraignantes, ou, dans les hypothèses strictes où elle est applicable, une dérogation de l'article 49. Le contrat doit également préciser le pays de destination, le destinataire, les catégories de données concernées et les obligations applicables en cas de demande d'accès par une autorité étrangère.

Une clause déclarant simplement que les transferts sont « conformes au RGPD » est insuffisante si elle ne permet pas d'identifier concrètement les flux et le mécanisme juridique utilisé — cette insuffisance rédactionnelle est l'un des points les plus fréquemment relevés lors des contrôles portant sur des prestataires SaaS hébergés hors Union européenne.

Audit et démonstration de conformité

Le sous-traitant doit mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre les audits, y compris les inspections sur site. La clause doit encadrer les audits documentaires, les questionnaires de conformité, les délais de préavis, les restrictions d'accès justifiées par la confidentialité, la répartition des coûts et les mesures correctives à mettre en œuvre après un audit.

Une clause limitant tout audit à la remise d'une certification annuelle peut se révéler insuffisante lorsque le risque est élevé ou lorsqu'un incident sérieux est constaté — c'est d'ailleurs l'absence de tout mécanisme de contrôle effectif, combinée à l'absence de registre des traitements, qui a pesé dans l'appréciation de la CNIL à l'encontre de Mobius Solutions.

Fin de contrat : restitution et suppression des données

À la fin de la prestation, le responsable de traitement doit pouvoir choisir entre la restitution des données, leur suppression, et la destruction des copies existantes, y compris les sauvegardes. C'est précisément ce point que Mobius Solutions n'a pas respecté : la société a conservé une copie des données de plus de 46 millions d'utilisateurs de Deezer après la fin de leur relation contractuelle, en violation directe de l'article 28, paragraphe 3, g) du RGPD, et les a en outre réutilisées pour ses propres finalités sans instruction du responsable de traitement, en violation de l'article 29 qui interdit tout traitement hors instruction documentée.

Le tableau suivant synthétise les différences opérationnelles entre les deux options de fin de contrat que le DPA doit organiser.

Responsabilité et sanctions en cas de DPA non conforme

Le DPA organise les obligations contractuelles entre les parties, mais il ne peut pas neutraliser les responsabilités prévues par le RGPD lui-même. Le sous-traitant doit notamment respecter directement les obligations qui lui sont imposées par le règlement, tenir un registre des activités de traitement lorsqu'il y est tenu, mettre en œuvre des mesures de sécurité, coopérer avec l'autorité de contrôle et ne pas utiliser les données pour ses propres finalités. Si le sous-traitant détermine les finalités et les moyens du traitement en violation du RGPD, il peut être considéré comme responsable de traitement pour l'opération concernée, avec toutes les conséquences que cela emporte en matière de responsabilité.

Sur le plan des sanctions, l'article 83, paragraphe 4, du RGPD prévoit que les manquements aux obligations des articles 25 à 39 — parmi lesquels figure l'article 28 relatif à la sous-traitance — sont passibles d'une amende administrative pouvant atteindre 10 millions d'euros ou, pour une entreprise, 2 % de son chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. La décision CNIL du 11 décembre 2025 à l'encontre de Mobius Solutions Ltd, qui a retenu des manquements aux articles 28.3.g (suppression des données), 29 (interdiction de traitement hors instruction) et 30 (registre des traitements), illustre concrètement l'application de ce plafond : l'amende d'un million d'euros a été fixée en tenant compte de la gravité des manquements, du nombre de personnes concernées et du chiffre d'affaires de la société sanctionnée.

Le contrat doit donc répartir clairement les responsabilités entre les parties, sans prétendre transférer intégralement sur le responsable de traitement les obligations propres au sous-traitant — une telle clause serait de toute façon sans effet à l'égard de l'autorité de contrôle, qui peut sanctionner directement le sous-traitant pour ses propres manquements.

Foire aux questions sur le DPA et la sous-traitance RGPD

Qu'est-ce qu'un DPA et est-il obligatoire ?

Le DPA, ou Data Processing Agreement, est le contrat écrit qui encadre les traitements de données personnelles réalisés par un sous-traitant pour le compte d'un responsable de traitement. Sa conclusion est une obligation légale prévue par l'article 28, paragraphe 3, du RGPD dès lors qu'un prestataire traite des données personnelles pour le compte d'une autre entité, quelle que soit la taille de cette dernière.

Une clause RGPD générale dans les conditions générales suffit-elle ?

Non. Une clause générale renvoyant simplement à la conformité RGPD, sans détailler l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, ainsi que les obligations précises du sous-traitant, ne satisfait pas aux exigences de l'article 28, paragraphe 3, du RGPD et fragilise la position des deux parties en cas de contrôle.

Quel délai le sous-traitant doit-il respecter pour notifier une violation ?

Le RGPD n'impose pas de délai chiffré au sous-traitant : l'article 33, paragraphe 2, prévoit une notification « dans les meilleurs délais ». Ce délai doit toutefois être suffisamment court pour permettre au responsable de traitement de respecter son propre délai de 72 heures envers l'autorité de contrôle ; c'est pourquoi le DPA doit fixer un délai opérationnel précis, généralement exprimé en heures.

Le sous-traitant peut-il recruter librement un autre prestataire ?

Non. Le sous-traitant doit obtenir l'autorisation écrite préalable du responsable de traitement, qu'elle soit spécifique à chaque nouveau sous-traitant ou générale avec droit d'opposition. Le sous-traitant initial reste en toute hypothèse pleinement responsable de l'exécution des obligations de protection des données par son propre sous-traitant.

Que deviennent les données à la fin du contrat ?

Le responsable de traitement doit pouvoir choisir entre la restitution des données et leur suppression, y compris celle des copies de sauvegarde. Le DPA doit organiser concrètement cette étape : format de restitution, délai, éventuel certificat de destruction, et articulation avec les obligations légales de conservation qui pourraient subsister par ailleurs.

Le sous-traitant peut-il être sanctionné directement par la CNIL ?

Oui. La décision du 11 décembre 2025 à l'encontre de Mobius Solutions Ltd, ancien sous-traitant de Deezer, le confirme : le sous-traitant est directement responsable de ses propres manquements au RGPD et peut faire l'objet d'une amende administrative pouvant atteindre 10 millions d'euros ou 2 % de son chiffre d'affaires annuel mondial, indépendamment de toute sanction prononcée à l'encontre du responsable de traitement.

Conclusion

Un DPA n'est solide que s'il est adapté au risque réel du traitement qu'il encadre, et non un gabarit générique recopié d'un prestataire à l'autre. La décision CNIL du 11 décembre 2025 à l'encontre de Mobius Solutions Ltd rappelle avec force que le sous-traitant engage sa propre responsabilité, indépendamment de celle du responsable de traitement, et que les clauses les plus négligées en pratique — fin de contrat, sous-traitants ultérieurs, audits — sont précisément celles qui font l'objet des sanctions les plus lourdes lorsqu'elles font défaut. Rédiger ou négocier un DPA suppose donc une analyse fine des flux de données et des obligations réciproques des parties, plutôt qu'une simple validation d'un modèle standard.

Article rédigé sur la base de l'état du droit et de la jurisprudence CNIL disponibles à la date de publication.

‍