Clause RGPD dans les contrats fournisseurs

Définition

La clause RGPD dans un contrat fournisseur désigne les stipulations qui organisent le respect de la protection des données dans la relation : du DPA complet de l’article 28 pour les sous-traitants de données, à la clause allégée pour les fournisseurs qui croisent incidemment des données personnelles, jusqu’au simple rappel de conformité pour les autres. La bonne clause dépend de la qualification du fournisseur, pas d’un modèle unique.

Enjeux et pratique

L’erreur la plus répandue dans le déploiement du RGPD côté achats est le traitement uniforme : soit un DPA complet imposé à tous les fournisseurs, y compris ceux qui ne traitent aucune donnée (friction inutile, négociations sans objet), soit une clause générique de conformité collée partout, y compris chez les vrais sous-traitants de données (non-conformité directe à l’article 28). La méthode juste commence par la qualification, fournisseur par fournisseur.

Trois profils couvrent l’essentiel. Le sous-traitant de données (héberge, traite, accède aux données pour le compte de l’entreprise) : DPA complet obligatoire, conforme à l’article 28, avec ses annexes opérationnelles (description du traitement, mesures de sécurité, liste des sous-traitants ultérieurs) et son articulation au contrat principal (hiérarchie, responsabilité, durée, sort des données en fin de contrat, y compris en cas de résiliation anticipée). Le fournisseur à contact incident (intervient sur site, accède ponctuellement à des environnements contenant des données) : clause de confidentialité et de protection des données proportionnée, sans la mécanique complète du DPA. Le fournisseur sans accès : un rappel de conformité générale suffit, et l’imposer au-delà gaspille du temps de négociation.

Le déploiement est ensuite un sujet de masse, désormais classique : qualifier le stock, prioriser par sensibilité des données, traiter par avenants en utilisant les renouvellements, et tracer la couverture dans le référentiel (profil RGPD du fournisseur, présence et version de la clause). La question de contrôle (CNIL ou client grand compte en audit) sera toujours la même : montrez la liste, montrez les clauses.

Exemple concret

Un grand compte audite la conformité RGPD de son prestataire avant renouvellement. Le prestataire, sous-traitant de données pour 30 de ses propres fournisseurs (hébergement, support, outils), doit démontrer la cascade de l’article 28 : qui sont ses sous-traitants ultérieurs, sous quelles clauses. Le référentiel à jour produit la chaîne en une journée : 30 fournisseurs qualifiés, 28 DPA conformes, 2 régularisations en cours documentées. Le renouvellement est signé ; l’audit, conçu comme un risque, devient un argument commercial.

Question fréquente

Faut-il un DPA avec tous ses fournisseurs ?

Non : le DPA de l’article 28 n’est obligatoire qu’avec les sous-traitants de données personnelles. L’imposer à tous crée de la friction sans bénéfice ; l’omettre où il est dû crée une non-conformité directe. Le travail utile est la qualification préalable de chaque fournisseur, tracée dans le référentiel, qui dicte la clause appropriée.