Modèle d'accord de sous-traitance ultérieure gratuit

Présentation

L'accord de sous-traitance ultérieure est le contrat qui encadre la relation entre un sous-traitant initial (celui qui a déjà signé un accord de traitement des données, ou DPA, avec un responsable de traitement) et un sous-traitant ultérieur (dit « de second rang ») auquel il confie une partie du traitement de données personnelles. L'article 28.2 du Règlement général sur la protection des données (RGPD) est explicite : le sous-traitant ne peut recourir à un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable de traitement. En cas d'autorisation générale, le sous-traitant doit informer le responsable de traitement de tout changement prévu (ajout ou remplacement) afin de lui donner la possibilité de s'y opposer. Obligation miroir (article 28.4 du RGPD) : lorsque le sous-traitant recourt à un sous-traitant ultérieur pour mener des activités de traitement spécifiques pour le compte du responsable de traitement, les mêmes obligations en matière de protection des données que celles fixées dans le contrat initial (le DPA) entre le responsable de traitement et le sous-traitant doivent être imposées à ce sous-traitant ultérieur, par contrat ou par un autre acte juridique. C'est précisément l'objet de ce modèle : reproduire, à l'identique ou de manière équivalente, les garanties de sécurité, de confidentialité, d'assistance et de notification de violation que le sous-traitant initial a lui-même souscrites envers le responsable de traitement. Responsabilité en cascade : le sous-traitant initial demeure pleinement responsable envers le responsable de traitement de l'exécution des obligations de son sous-traitant ultérieur. Autrement dit, si le sous-traitant ultérieur commet un manquement (fuite de données, défaut de sécurité, transfert non autorisé hors UE), c'est le sous-traitant initial qui répond de ce manquement devant le responsable de traitement — d'où l'intérêt, pour le sous-traitant initial, de sécuriser cette relation par un contrat au moins aussi protecteur que le DPA d'origine. Quand l'utiliser : chaque fois qu'un prestataire technique (hébergeur cloud, éditeur SaaS, prestataire d'infrastructure, service d'envoi d'emails) qui traite déjà des données personnelles pour le compte d'un client souhaite déléguer une partie de ce traitement à un tiers — par exemple un fournisseur d'hébergement, un service de stockage, un outil d'analyse ou un sous-traitant spécialisé dans une brique technique précise (paiement, envoi de SMS, authentification). Erreurs à éviter : recourir à un sous-traitant ultérieur sans avoir obtenu l'autorisation écrite préalable du responsable de traitement, générale ou spécifique — un manquement direct à l'article 28.2 du RGPD ; se contenter des conditions générales standard du sous-traitant ultérieur sans vérifier qu'elles reprennent bien l'ensemble des garanties de l'article 28.3 (sécurité, confidentialité, assistance, notification de violation, sort des données) ; omettre d'informer le responsable de traitement d'un changement de sous-traitant ultérieur dans le cadre d'une autorisation générale, ce qui le prive de son droit d'opposition.

Informations à personnaliser

• Nom ou raison sociale du sous-traitant initial

• Adresse du sous-traitant initial

• Nom ou raison sociale du sous-traitant ultérieur

• Adresse du sous-traitant ultérieur

• Nom ou raison sociale du responsable de traitement d'origine

• Référence du DPA initial (entre le responsable de traitement et le sous-traitant initial)

  Date et objet du contrat initial dont cet accord découle.

• Type d'autorisation du responsable de traitement

  Autorisation générale préalable, ou autorisation spécifique pour ce sous-traitant ultérieur.

• Date de l'autorisation du responsable de traitement

• Objet des opérations confiées au sous-traitant ultérieur

• Durée de la sous-traitance ultérieure

• Catégories de données personnelles concernées

• Mesures de sécurité imposées au sous-traitant ultérieur

• Transferts hors Union européenne

  Pays destinataire et garantie utilisée le cas échéant.

• Délai de notification d'une violation de données au sous-traitant initial

• Date de signature de l'accord

Personnalisez votre modèle

Questions fréquentes

Un sous-traitant peut-il librement recourir à un sous-traitant ultérieur ?

Non. L'article 28.2 du RGPD impose une autorisation écrite préalable du responsable de traitement, générale ou spécifique, avant tout recours à un sous-traitant ultérieur. Sans cette autorisation, le sous-traitant initial est en infraction, même si le sous-traitant ultérieur respecte lui-même toutes les règles de sécurité.

Que signifie une autorisation générale par opposition à une autorisation spécifique ?

Une autorisation spécifique porte sur un sous-traitant ultérieur nommément désigné. Une autorisation générale permet au sous-traitant de recourir librement à des sous-traitants ultérieurs, à condition d'informer systématiquement le responsable de traitement de tout changement (ajout ou remplacement), qui conserve un droit d'opposition avant que le changement ne prenne effet.

Le sous-traitant ultérieur doit-il respecter les mêmes obligations que le sous-traitant initial ?

Oui. L'article 28.4 du RGPD impose que les mêmes obligations de protection des données que celles fixées dans le contrat initial (le DPA) soient imposées, par contrat, au sous-traitant ultérieur — c'est précisément l'objet de ce modèle d'accord.

Qui est responsable en cas de manquement du sous-traitant ultérieur ?

Le sous-traitant initial reste pleinement responsable envers le responsable de traitement de l'exécution des obligations de son sous-traitant ultérieur. C'est pourquoi il a un intérêt direct à sécuriser cette relation par un contrat au moins aussi protecteur que celui qui le lie au responsable de traitement.

Cet accord remplace-t-il le DPA initial entre le responsable de traitement et le sous-traitant ?

Non, il vient s'y ajouter. Le DPA initial encadre la relation entre le responsable de traitement et le sous-traitant. L'accord de sous-traitance ultérieure encadre, lui, la relation entre ce sous-traitant et le sous-traitant de second rang auquel il délègue tout ou partie du traitement.

Faut-il prévoir une clause sur les transferts hors Union européenne ?

Oui, dès lors que le sous-traitant ultérieur est susceptible de traiter ou d'héberger des données hors de l'Union européenne. Le transfert doit alors être encadré par un mécanisme approprié prévu au chapitre V du RGPD (décision d'adéquation, clauses contractuelles types), et le responsable de traitement doit en être informé.

Modèles associés