Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 239

D

O

C

T

R

I

N

E

CONTRATS ET RGPD

Contrats entre responsables
de traitements et sous-traitants
Les marges de manœuvre possibles

Lors des négociations des contrats entre
responsables de traitement et sous-traitants,
les entreprises se retrouvent très souvent
confrontées à des difficultés d'adaptation et
d'intégration cohérentes des dispositions de
l'article 28-3 du RGPD dans les contrats. Ces
dispositions rédigées de manière très large
offrent des adaptations possibles. Cet article est
le troisième d'une série de sept articles consacrée
à la problématique contrats et RGPD.

L

'article 28-3 du RGPD
impose en effet de faire
figurer dans les contrats
entre
responsables
de
traitements et sous-traitants des
dispositions relatives aux instructions du responsable de traitement,
à la confidentialité du personnel
du sous-traitant, aux mesures de
sécurité à appliquer, aux règles
à respecter par le sous-traitant
s'il recrute lui-même un autre
sous-traitant, à l'assistance du
sous-traitant pour la gestion des
droits des personnes concernées,
analyses d'impact et violations de
données personnelles, au sort des
données à l'issue du contrat, et à la
réalisation d'audits.
Ces dispositions sont cependant
rédigées de manière très large, sans
apporter de détails sur les possibles
adaptations pour les mettre
en œuvre. L'enjeu est d'autant

plus crucial de s'attacher à faire
figurer ces dispositions dans les
contrats, de manière appropriée
et applicable en pratique, que les
sanctions en cas de manquement
à l'article 28 du RGPD sont élevées
et peuvent atteindre 10 000 000 €
ou 2% du chiffre d'affaires annuel
mondial, le montant le plus élevé
étant retenu1. Des sanctions pour
absence de Data Processing
Agreements (DPA) entre un
responsable de traitement et un
sous-traitant ont d'ailleurs déjà été
rendues par l'autorité polonaise2 et
l'autorité allemande3.
L'autorité française, la Cnil, avait
même déjà eu l'occasion, avant
l'entrée en vigueur du RGPD, de
considérer lors d'un contrôle que
le fait qu'une entreprise refuse de
lui communiquer les contrats avec
ses sous-traitants était constitutif
d'un manquement à l'obligation
EXPERTISES Juin 2020

de coopération, et en a tenu
compte dans sa décision de mise
en demeure publique4.
Malgré les difficultés d'interprétation, il ressort néanmoins des
négociations des contrats intégrant
les dispositions de l'article 28-3 du
RGPD des possibilités d'aménagement de ces dispositions, tout
en respectant l'esprit du texte du
RGPD.
Le cœur des négociations portant
sur le prix des prestations couvertes
par les contrats, les négociations
sur les aspects commerciaux et
financiers prennent nécessairement l'avantage. Il est toutefois
utile de se conserver une marge
de manœuvre sur d'autres sujets,
tels que les points juridiques et
opérationnels afin d'avoir un
pouvoir de négociation plus
important.

239

Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia