Tarifs

Actav Suite

Création & cession d'entreprise

Suivre mon dossier avec mon avocat : statuts, actes, messagerie, formalités.

Créer un compteSe connecter

Actav Vigilance

Surveillance des procédures collectives

Surveiller mes clients et mes créances, être alerté d'un redressement ou d'une liquidation.

Créer un compte gratuitSe connecter

Deux services indépendants, donc deux comptes distincts : vous pouvez avoir les deux avec la même adresse e-mail.

Le Clausier · Sources officielles

Clause RGPD du contrat de prestation : encadrer le sous-traitant

Définition en clair, modèle rédigé par avocat à copier, générateur personnalisé et analyseur de validité : tout est gratuit sur cette page.

Me Manel Sghari, avocate au Barreau de ParisDirection de la publication : Me Manel Sghari, avocat au Barreau de ParisSources officielles vérifiées : 6 juillet 2026·Sources : Art. 28 et 32 RGPD ; art. 4 RGPD (définitions) ; décision d'exécution (UE) 2021/915 · Cour de cassation

Cette page fournit une information juridique générale, établie à partir de sources officielles (Légifrance, Cour de cassation) vérifiées le 6 juillet 2026. Elle ne constitue pas une consultation juridique et ne remplace pas l'analyse de votre situation par un professionnel.

Définition

Dès qu'un prestataire traite des données personnelles pour le compte de son client, l'article 28 du RGPD impose un contrat écrit : instructions documentées, confidentialité, sécurité, sous-traitance ultérieure, assistance, sort des données au terme, audits. La clause RGPD (ou le DPA annexé) transcrit ces mentions : la Commission a publié des clauses types (décision 2021/915).

À quoi elle sertUne obligation, pas une option : sans encadrement contractuel conforme, client (responsable de traitement) et prestataire (sous-traitant) s'exposent tous deux aux sanctions : la CNIL a sanctionné des donneurs d'ordre pour contrats insuffisants et, désormais, des sous-traitants directement.
Condition cléLe contenu verrouillé par l'article 28 §3 : traiter sur instruction documentée uniquement, garantir la confidentialité des personnes habilitées, sécuriser (art. 32), encadrer la sous-traitance ultérieure, assister le client (droits des personnes, violations), supprimer ou restituer les données au terme, se soumettre aux audits : chaque lettre du texte est une clause.
Le risqueLe raccourci des clauses types : la décision d'exécution (UE) 2021/915 fournit des clauses contractuelles types article 28 prêtes à l'emploi : à ne pas confondre avec les clauses types de transfert hors UE (chapitre V), qui répondent à un autre problème.

Modèle de clause rgpd du contrat de prestation de service (clause de renvoi à un dpa annexé)

Modèle clause rgpd contrat de prestation de service : version prête à adapter ; la version commentée ligne à ligne figure plus bas sur la page.

151015

Article X — Protection des données personnelles. Pour l'exécution du Contrat, le Prestataire traite, en qualité de sous-traitant au sens de l'article 28 du RGPD, les données à caractère personnel suivantes : [description du traitement] ; [types de données et catégories de personnes]. Ce traitement est régi par le contrat de sous-traitance de données (DPA) figurant en Annexe, conforme à l'article 28 §3 du RGPD, qui prévaut sur toute stipulation contraire du Contrat pour les questions qu'il régit. Au terme du Contrat : [sort des données au terme].

Voir la version commentée ↓✓ Clause copiée

ComprendreDéfinition et fondement légal

VérifierLes 5 conditions de validité (cumulatives)

  • 1
    Le contrat est obligatoireLe traitement par un sous-traitant est régi par un contrat (ou un autre acte juridique) écrit, y compris électronique, qui lie le sous-traitant au responsable et définit l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées.Art. 28 §3 et §9 RGPD (recoupés multi-sources dont CNIL) — vérifié 20/07/2026
  • 2
    Les clauses obligatoires, lettre par lettreInstruction documentée (a), confidentialité des personnes autorisées (b), sécurité de l'article 32 (c), encadrement de la sous-traitance ultérieure (d), assistance pour les droits des personnes (e), assistance sécurité et violations (f), suppression ou restitution au terme (g), audits et inspections (h) : chaque lettre est une clause du contrat.Art. 28 §3, a) à h) RGPD (recoupé multi-sources) — vérifié 20/07/2026
  • 3
    La sous-traitance en cascadeLe prestataire ne recrute pas de sous-traitant ultérieur sans autorisation écrite préalable, générale ou spécifique, du client : et doit répercuter au sous-traitant ultérieur les mêmes obligations, en demeurant pleinement responsable envers le client.Art. 28 §2 et §4 RGPD (recoupés) — vérifié 20/07/2026
  • 4
    Les clauses types de la CommissionLa décision d'exécution (UE) 2021/915 du 4 juin 2021 fournit des clauses contractuelles types satisfaisant aux exigences de l'article 28 §3 et §4 : les parties peuvent s'y référer en tout ou partie : sans les confondre avec les clauses types de transfert hors UE (chapitre V), à l'objet distinct.Décision (UE) 2021/915 (vérifiée source primaire EUR-Lex + CNIL) — vérifié 20/07/2026
  • 5
    Des sanctions des deux côtésLe responsable qui contracte sans encadrement conforme s'expose (la CNIL a sanctionné un grand groupe audiovisuel en 2023 sur ce fondement), et le sous-traitant défaillant peut désormais être sanctionné directement : l'article 28 se lit comme une obligation partagée.Pratique décisionnelle CNIL (recoupée) [références en JURIS_SEED] — vérifié 20/07/2026

RédigerExemple de rédaction, commenté ligne à ligne

Reprenons le modèle proposé en haut de page et regardons pourquoi chaque membre de phrase est là :

« Le Prestataire traite les données à caractère personnel décrites en Annexe 1 (objet, durée, nature, finalité, types de données, catégories de personnes concernées) exclusivement sur instruction documentée du Client, conformément au contrat de sous-traitance (DPA) figurant en Annexe 2, lequel prévaut en cas de contradiction. » : La clause de renvoi type : description du traitement cartographiée en annexe, DPA complet annexé, hiérarchie des documents réglée : l'architecture recommandée pour les traitements significatifs.
« Le Prestataire s'engage à : traiter les données uniquement sur instruction documentée du Client ; garantir la confidentialité des personnes autorisées ; mettre en œuvre les mesures de sécurité de l'article 32 ; ne recruter aucun sous-traitant ultérieur sans autorisation écrite préalable ; assister le Client pour les demandes des personnes et les violations de données ; au terme du contrat, au choix du Client, supprimer ou restituer les données et détruire les copies ; tenir à disposition toute information nécessaire aux audits. » : La clause intégrée « huit lettres » : chaque engagement de l'article 28 §3 en une ligne : le format adapté aux traitements simples, que le générateur assemble et complète.
« Les parties s'engagent à respecter la réglementation applicable en matière de données personnelles, notamment le RGPD. » : Contre-exemple omniprésent : la clause de style ne satisfait aucune exigence de l'article 28 §3 : en contrôle, elle vaut absence de contrat de sous-traitance, avec les sanctions afférentes pour les deux parties.

ÉviterPièges et erreurs fréquentes

✕
Se contenter d'une « clause de style » RGPD Une phrase générale (« les parties respectent le RGPD ») ne satisfait aucune des exigences de l'article 28 §3 : en cas de contrôle, le contrat est non conforme : chaque lettre du texte appelle une stipulation précise.
✕
Ignorer la sous-traitance en cascade Le prestataire qui recrute librement des sous-traitants (hébergeur, outil SaaS, support offshore) sans autorisation écrite ni répercussion des obligations viole l'article 28 §2 et §4 : et le client en répond aussi.
✕
Laisser le prestataire utiliser les données « pour améliorer ses services » L'usage des données du client à des fins propres fait basculer le prestataire dans un rôle de responsable de traitement (art. 28 §10), avec un régime et des risques tout autres : l'exclure ou l'encadrer explicitement.
✕
Négliger l'articulation avec la sortie du contrat Suppression ou restitution, destruction des copies, justification écrite : le g) de l'article 28 se prépare dès la signature et s'exécute avec la clause de réversibilité : découvrir le sujet à la rupture, c'est négocier en position de faiblesse.

SuivreCette clause évolue : restez informé

Le suivi jurisprudentiel de cette clause est automatisé : chaque nouvel arrêt publié au Bulletin est détecté quotidiennement via Judilibre (open data de la Cour de cassation) et ajouté ici avec sa référence et son sommaire officiels.

Soyez prévenu si cette clause évolue. Nouvel arrêt publié, article de loi modifié : vous recevez l'alerte en clair.

Questions fréquentesClause RGPD du contrat de prestation de service : vos questions

Quand faut-il une clause RGPD dans un contrat de prestation ?▼

Dès que le prestataire traite des données personnelles pour le compte du client sur ses instructions : infogérance, SaaS, paie externalisée, marketing, support client, hébergement… L'article 28 impose alors un contrat écrit avec des mentions obligatoires : la « clause RGPD » ou le DPA annexé.

Que doit contenir la clause (ou le DPA) ?▼

La description du traitement (objet, durée, nature, finalité, types de données, catégories de personnes) et les huit engagements de l'article 28 §3 : instruction documentée, confidentialité, sécurité, sous-traitance ultérieure encadrée, assistance pour les droits des personnes, assistance violations, suppression/restitution au terme, audits. Le générateur de la page les assemble.

Clause intégrée ou DPA annexé : que choisir ?▼

Question de proportion : pour un traitement simple et accessoire, une clause complète dans le contrat suffit ; pour des traitements significatifs (volumes, données sensibles, cascade de sous-traitants), le DPA annexé (avec ses annexes descriptives) offre la granularité requise. Les clauses types 2021/915 peuvent servir de socle dans les deux cas.

Qui est responsable en cas de manquement : le client ou le prestataire ?▼

Les deux, chacun pour ses obligations : le client (responsable de traitement) répond du choix d'un prestataire présentant des garanties suffisantes et de l'encadrement contractuel ; le prestataire (sous-traitant) répond de ses obligations propres et peut être sanctionné directement : et s'il détermine finalités et moyens, il devient responsable de traitement (art. 28 §10).

Les clauses types de la Commission suffisent-elles pour transférer des données hors UE ?▼

Non : les clauses de la décision 2021/915 couvrent la relation article 28 (responsable/sous-traitant), pas les transferts internationaux. Un transfert hors UE exige en plus un outil du chapitre V : typiquement les clauses contractuelles types de transfert (décision 2021/914) et, le cas échéant, des mesures supplémentaires.

ContinuerClauses liées

Clause de confidentialitéProtéger vos informations sensiblesClause de réversibilitéDéfinition, modèle et pièges à éviterClause limitative de responsabilitéDéfinition, modèle et pièges à éviter

La clause ne suffit pas ? Passez à l'étape suivante.

Un contrat entier rédigé par avocat, une société créée en ligne avec accompagnement : Actav couvre la suite, au-delà de la clause.

Contrat de prestation rédigé par avocat →Poser ma question gratuitement (Actav Connect) →
  • Avocat dédié (Actav Suite)
  • Analyse gratuite avec LancIA
  • 100 % en ligne
Créez votre entreprise avec un avocat

Sources juridiques : Art. 28 et 32 RGPD ; art. 4 RGPD (définitions) ; décision d'exécution (UE) 2021/915 ; jurisprudence de la Cour de cassation (décisions publiées, liens vers les textes officiels). Information générale à jour au ; ne constitue pas un conseil juridique personnalisé.

Bibliothèque
ACTAV Suite
Assistant en ligne
Propulsé par ACTAV · support@actav.fr