Sous-traitance & contrat DPA (Art. 28)
La Sous-Traitance & Le Contrat DPA (Art. 28)
Au sens du RGPD, le sous-traitant (ST) traite des données personnelles pour le compte et sur instructions documentées du responsable du traitement (RT). Tout recours à un sous-traitant exige impérativement un contrat écrit (DPA) conforme à l'Article 28(3).
Checklist des exigences obligatoires de l'Article 28(3)
Le contrat de sous-traitance (DPA) doit obligatoirement stipuler :
- Cadrage impératif : objet, durée, nature, finalité, types de données, catégories de personnes, obligations et droits du RT (Art. 28.3 intro)
- Traitement sur instructions documentées uniquement, sauf obligation légale en droit UE/national avec information préalable du RT (Art. 28.3.a)
- Engagement de confidentialité du personnel autorisé ou secret professionnel (Art. 28.3.b)
- Mesures de sécurité techniques et organisationnelles adaptées au risque (Art. 28.3.c & Art. 32)
- Conditions de recours aux ST ultérieurs (autorisation préalable) et contrats miroir (Art. 28.3.d)
- Assistance au RT pour donner suite aux demandes d'exercice des droits des personnes (Art. 28.3.e)
- Assistance pour la sécurité, la notification des violations sans retard injustifié (Art. 33.2) et l'AIPD (Art. 28.3.f)
- Sort des données en fin de prestation : suppression ou restitution au choix du RT, sauf conservation imposée par le droit (Art. 28.3.g)
- Documentation, audits/inspections et devoir d'alerte immédiat en cas d'instruction illégale (Art. 28.3.h)
Clauses Contractuelles Types UE (CCT 2021/915 — Facultatives)
La Commission européenne a adopté la Décision d'exécution (UE) 2021/915 établissant des clauses contractuelles types standardisées pour les contrats régis par l'Article 28(3) et (4). Leur utilisation est facultative : les parties restent libres de rédiger leur propre DPA sur mesure pourvu qu'il respecte l'ensemble des exigences légales. Elles se distinguent des CCT 2021/914 qui encadrent les transferts internationaux vers les pays tiers.
Détournement de finalité & Requalification (Art. 28.10)
Si un ST utilise les données confiées par le RT pour ses propres finalités (ex: entraînement de son propre modèle d'IA sans instruction contractuelle), le RGPD le requalifie immédiatement comme Responsable du Traitement de plein droit pour cette activité, avec exposition directe aux sanctions de l'Art. 83.