RGPD et gestion des contrats

Définition

Le RGPD (règlement général sur la protection des données, règlement 2016/679) encadre le traitement des données personnelles dans l’Union européenne, et fait du contrat l’un de ses instruments centraux : tout traitement confié à un sous-traitant doit être régi par un contrat au contenu obligatoire (article 28), et les transferts hors UE exigent des garanties souvent contractuelles. La conformité RGPD se lit donc, pour partie, dans le portefeuille de contrats.

Enjeux et pratique

Le RGPD est souvent abordé par ses dimensions visibles : consentement, cookies, registre des traitements. Sa dimension contractuelle est moins commentée et tout aussi structurante : le règlement organise la responsabilité le long des chaînes de traitement, et le contrat est le mécanisme de cette organisation.

Trois chantiers contractuels en découlent. L’encadrement de la sous-traitance : l’article 28 impose un contrat (le DPA) pour chaque sous-traitant de données, avec un contenu défini : objet, durée et nature du traitement, types de données, obligations de sécurité, conditions de sous-traitance ultérieure, assistance, sort des données en fin de contrat, audits. Le choix même du sous-traitant engage : il doit présenter des garanties suffisantes, ce qui suppose une qualification documentée. Les transferts hors UE : depuis l’invalidation du Privacy Shield par la jurisprudence Schrems II, les transferts reposent largement sur les clauses contractuelles types et des mesures complémentaires évaluées au cas par cas : encore des clauses, encore des contrats à identifier et tenir à jour. La démontrabilité enfin : le principe d’accountability exige de prouver la conformité, donc de savoir quels contrats encadrent quels traitements, avec quelles versions de clauses.

C’est ici que la gestion contractuelle devient une condition de conformité : l’entreprise doit pouvoir répondre à « quels fournisseurs traitent des données personnelles pour nous, sous quel contrat, avec quelles clauses » et à l’inverse identifier les contrats orphelins, signés avant le RGPD ou sans DPA. Sans référentiel permettant cette requête, la réponse à la CNIL se reconstitue dans l’urgence, contrat par contrat.

Exemple concret

À la suite d’une violation de données chez un prestataire marketing, une entreprise notifie la CNIL et doit produire le contrat encadrant le traitement. Le prestataire, référencé avant 2018, n’a jamais signé de DPA : la relation s’est poursuivie par reconductions successives sans mise à niveau. L’incident, imputable au prestataire, expose aussi le client : le défaut d’encadrement contractuel de l’article 28 est un manquement propre, indépendant de la violation elle-même.

Question fréquente

Tous les contrats fournisseurs doivent-ils contenir des clauses RGPD ?

Non : seuls ceux qui impliquent un traitement de données personnelles pour le compte de l’entreprise exigent un DPA complet ; les autres relèvent de clauses plus légères ou d’aucune. Tout l’enjeu est de savoir lesquels : la qualification (sous-traitant, responsable conjoint, destinataire autonome) doit être faite contrat par contrat, et tracée.