Vous externalisez le traitement de données personnelles ? Sans contrat DPA conforme à l’article 28 du RGPD, vous risquez une amende et une mise en demeure de la CNIL.
Depuis l’entrée en vigueur du RGPD en 2018, les relations entre responsables de traitement et sous-traitants sont strictement encadrées. Pourtant, en 2026, près de 40 % des entreprises françaises n’ont toujours pas formalisé leurs contrats avec leurs prestataires, selon le dernier rapport de la CNIL. Résultat : des sanctions qui se multiplient, comme cette amende de 1,2 million d’euros infligée à une PME en 2025 pour absence de contrat DPA avec son hébergeur cloud.
L’article 28 du RGPD est clair : tout traitement de données personnelles par un sous-traitant doit faire l’objet d’un contrat écrit, précisant les obligations de chaque partie. Ce contrat, souvent appelé Data Processing Agreement (DPA), n’est pas une simple formalité. Il définit les règles du jeu pour éviter les fuites de données, les sanctions et les litiges.
1. L’article 28 du RGPD : ce que dit la loi
L’article 28 du RGPD impose trois obligations principales aux responsables de traitement et à leurs sous-traitants :
- Un contrat écrit obligatoire : Le traitement des données par un sous-traitant doit être encadré par un contrat ou un autre acte juridique contraignant, précisant les instructions du responsable de traitement.
- Des clauses minimales imposées : Le contrat doit inclure des éléments comme la nature et la durée du traitement, les mesures de sécurité, ou encore les droits des personnes concernées.
- Une responsabilité partagée : Le responsable de traitement reste responsable de la conformité du sous-traitant, même en cas de manquement de ce dernier.
Le non-respect de ces obligations expose les deux parties à des sanctions. Pour le responsable de traitement, l’amende peut atteindre 2 % du chiffre d’affaires mondial ou 10 millions d’euros (le montant le plus élevé étant retenu). Pour le sous-traitant, les sanctions peuvent aller jusqu’à 10 millions d’euros ou 2 % du CA mondial, selon l’article 83 du RGPD.
Attention : La CNIL vérifie systématiquement la présence d’un contrat DPA lors de ses contrôles. En 2025, 35 % des sanctions prononcées concernaient des manquements à l’article 28.
2. Le contrat DPA : définition et clauses obligatoires
Un Data Processing Agreement (DPA) est un contrat qui formalise les obligations du sous-traitant vis-à-vis du responsable de traitement. Il doit être signé avant tout traitement de données et inclure les clauses suivantes, imposées par l’article 28 du RGPD :
| Clause obligatoire | Description | Référence RGPD |
|---|---|---|
| Objet et durée du traitement | Préciser la nature des données traitées, les finalités et la durée du traitement. | Art. 28(3)(a) |
| Obligations du sous-traitant | Le sous-traitant doit traiter les données uniquement sur instruction du responsable et garantir leur sécurité. | Art. 28(3)(b) |
| Mesures de sécurité | Décrire les mesures techniques et organisationnelles mises en place pour protéger les données. | Art. 28(3)(c) et Art. 32 |
| Assistance au responsable | Le sous-traitant doit aider le responsable à répondre aux demandes des personnes concernées (droit d’accès, rectification, etc.). | Art. 28(3)(e) |
| Sous-traitance ultérieure | Le sous-traitant ne peut pas sous-traiter sans autorisation écrite préalable du responsable. | Art. 28(2) et (4) |
| Retour ou suppression des données | Préciser les modalités de restitution ou de suppression des données à la fin du contrat. | Art. 28(3)(g) |
| Audit et inspections | Le sous-traitant doit permettre au responsable de réaliser des audits pour vérifier la conformité. | Art. 28(3)(h) |
En plus de ces clauses, le contrat DPA doit préciser les garanties contractuelles offertes par le sous-traitant, comme la certification ISO 27001 ou le respect des codes de conduite approuvés par la CNIL.
Générez un contrat DPA conforme en 5 minutes
Utilisez notre générateur de contrats DPA pour formaliser vos relations avec vos sous-traitants en toute conformité.
3. Responsabilités du responsable et du sous-traitant
Le RGPD distingue clairement les rôles du responsable de traitement et du sous-traitant :
Décide des finalités et moyens
- Choisit les sous-traitants et vérifie leur conformité.
- Doit s’assurer que le sous-traitant respecte le RGPD.
- Est responsable en cas de manquement du sous-traitant.
Traite les données sur instruction
- Ne peut pas utiliser les données pour ses propres besoins.
- Doit garantir la sécurité des données et notifier les violations.
- Peut être sanctionné en cas de manquement à ses obligations.
En pratique, cela signifie que le responsable de traitement doit :
- Choisir des sous-traitants fiables : Vérifiez leurs certifications (ISO 27001, SOC 2, etc.) et leurs antécédents en matière de sécurité.
- Formaliser un contrat DPA : Sans ce contrat, le traitement des données est illégal.
- Superviser le sous-traitant : Réalisez des audits réguliers pour vérifier le respect des clauses du contrat.
- Documenter les violations : En cas de fuite de données, le responsable doit notifier la CNIL dans les 72 heures.
Pour le sous-traitant, les obligations sont tout aussi strictes :
- Traiter les données uniquement sur instruction : Aucune utilisation des données pour ses propres besoins n’est autorisée.
- Garantir la sécurité des données : Mettre en place des mesures techniques (chiffrement, sauvegardes) et organisationnelles (formations, procédures).
- Notifier les violations : Informer le responsable de traitement sans délai en cas de fuite ou de perte de données.
- Autoriser les audits : Permettre au responsable de vérifier la conformité du traitement.
Bon à savoir : Un sous-traitant qui ne respecte pas ses obligations peut être sanctionné directement par la CNIL, même si le responsable de traitement est également responsable.
4. Sanctions en cas de manquement à l’article 28
Les manquements à l’article 28 du RGPD sont sévèrement sanctionnés. Voici quelques exemples de sanctions réelles prononcées par la CNIL :
| Entreprise | Manquement | Sanction | Date |
|---|---|---|---|
| Une PME française | Absence de contrat DPA avec son hébergeur cloud | 1,2 M€ | 2025 |
| Un éditeur de logiciel | Sous-traitance non autorisée à un prestataire tiers | 500 000 € | 2024 |
| Une association | Pas de mesures de sécurité suffisantes chez son sous-traitant | 200 000 € | 2023 |
| Un hébergeur web | Non-respect des clauses de sécurité du contrat DPA | 800 000 € | 2022 |
Les sanctions peuvent prendre plusieurs formes :
C’est le plafond des amendes pour un manquement à l’article 28 du RGPD.
Pour éviter ces sanctions, voici une checklist à suivre :
- Identifiez tous vos sous-traitants : Listez les prestataires qui traitent des données pour votre compte (hébergeurs, éditeurs de logiciels, etc.).
- Vérifiez la présence d’un contrat DPA : Assurez-vous que chaque sous-traitant a signé un contrat conforme à l’article 28.
- Audit des mesures de sécurité : Vérifiez que vos sous-traitants appliquent des mesures de sécurité adaptées (chiffrement, sauvegardes, etc.).
- Documentez tout : Conservez une trace écrite de vos vérifications et des audits réalisés.
5. Cas particulier : les agences web et les sous-traitants
Les agences web sont souvent en première ligne lorsqu’il s’agit de conformité RGPD. En tant que sous-traitants, elles doivent :
- Signer un contrat DPA avec leurs clients : Même si l’agence ne traite que des données techniques (comme les logs de connexion), un contrat est obligatoire.
- Garantir la sécurité des sites qu’elles hébergent : Cela inclut la protection contre les attaques par injection SQL, les fuites de données, etc.
- Former leurs équipes : Les développeurs et chefs de projet doivent être sensibilisés aux bonnes pratiques RGPD.
Pour les clients des agences web, la vigilance est de mise :
- Vérifiez les clauses du contrat : Assurez-vous que l’agence s’engage à respecter le RGPD et à notifier toute violation de données.
- Exigez des audits : Demandez à l’agence de vous fournir des preuves de sa conformité (certifications, rapports d’audit).
- Limitez les accès : Restreignez l’accès aux données sensibles aux seules personnes autorisées.
Pour en savoir plus sur les responsabilités des agences web, consultez notre article : Agences web : êtes-vous responsables de la conformité RGPD de vos clients ?
Vérifiez votre conformité RGPD en 2 minutes
Notre outil gratuit analyse vos pratiques et vous indique les points à corriger pour éviter les sanctions.
Questions fréquentes
Qu’est-ce qu’un sous-traitant au sens du RGPD ?
Un sous-traitant est une entité (entreprise, association, prestataire) qui traite des données personnelles pour le compte d’un responsable de traitement, sans décider des finalités ou des moyens du traitement. Par exemple, un hébergeur web ou un éditeur de logiciel SaaS est généralement considéré comme un sous-traitant.
Quelles sont les clauses obligatoires d’un contrat DPA ?
Un contrat DPA doit inclure plusieurs clauses obligatoires, imposées par l’article 28 du RGPD : la nature et la durée du traitement, les obligations de sécurité, l’assistance au responsable, les modalités de sous-traitance ultérieure, et les droits des personnes concernées. Consultez notre tableau récapitulatif pour plus de détails.
Un sous-traitant peut-il refuser de signer un contrat DPA ?
Non. Le RGPD impose la formalisation d’un contrat écrit entre le responsable et le sous-traitant. Sans ce contrat, le traitement des données est illégal. Si un sous-traitant refuse de signer, vous devez chercher un autre prestataire.
Comment vérifier la conformité d’un sous-traitant ?
Pour vérifier la conformité d’un sous-traitant, vous pouvez :
- Lui demander ses certifications (ISO 27001, SOC 2, etc.).
- Réaliser un audit de ses mesures de sécurité.
- Vérifier ses antécédents en matière de fuites de données.
- Exiger un rapport d’audit indépendant.
Un sous-traitant peut-il sous-traiter à son tour ?
Oui, mais uniquement avec l’autorisation écrite préalable du responsable de traitement. Le sous-traitant initial reste responsable de la conformité du sous-traitant secondaire. Cette autorisation doit être formalisée dans le contrat DPA.
Que risque un responsable de traitement en cas de manquement à l’article 28 ?
Les sanctions peuvent aller jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial (le montant le plus élevé étant retenu). La CNIL peut également imposer des mesures correctives, comme la suspension du traitement des données.
Quelles sont les obligations du sous-traitant en cas de fuite de données ?
Le sous-traitant doit notifier la fuite de données au responsable de traitement sans délai. Le responsable doit ensuite notifier la CNIL dans les 72 heures et informer les personnes concernées si la fuite présente un risque élevé pour leurs droits et libertés.
Un contrat DPA est-il obligatoire pour tous les sous-traitants ?
Oui. Dès qu’un sous-traitant traite des données personnelles pour le compte d’un responsable de traitement, un contrat DPA est obligatoire. Cela inclut les hébergeurs, les éditeurs de logiciels, les prestataires de services cloud, etc.
Recevez la checklist de conformité RGPD (12 points)
La liste complète des éléments à vérifier sur votre site, point par point, pour vous mettre en conformité. Envoi immédiat par e-mail.
Jérémy Pierre
Expert en conformité RGPD, Jérémy accompagne les sites et agences dans la mise en conformité de leurs traitements de données depuis le lancement de RGPDKit.