L'Autorité de protection des données (APD) a publié en début d'année les résultats de sa campagne d'audit 2025 : dans <strong>78 % des contrats de sous-traitance analysés</strong>, au moins une clause obligatoire de l'article 28 RGPD était manquante ou mal rédigée. Voici les sept plus fréquemment oubliées.

1. La description précise du traitement

Un renvoi générique à « toutes les données nécessaires à l'exécution du service » ne suffit pas. Il faut lister par catégorie les données concernées, la finalité de chaque traitement, la durée, les personnes concernées. C'est la clause qui protège votre entreprise en cas de dérive du prestataire.

2. L'obligation de confidentialité étendue au personnel

Le sous-traitant doit s'engager à ce que ses employés et sous-traitants ultérieurs soient soumis à une obligation de confidentialité écrite. Une simple mention "le prestataire garantit la confidentialité" est insuffisante en cas de contrôle.

3. Le régime des sous-traitants ultérieurs

Autorisation préalable ou générale ? Si générale, avec quel délai d'information ? La clause doit trancher. À défaut, tout recours à un sous-traitant ultérieur (hébergement cloud compris) constitue une violation contractuelle.

4. L'assistance en cas de violation

Le sous-traitant doit notifier toute violation "sans délai", mais votre contrat doit fixer un maximum en heures (24, 48, 72 h selon la criticité). C'est ce délai qui vous permettra de tenir vous-même l'obligation de notification à l'APD sous 72 h.

5. La coopération en cas de demande d'exercice de droit

Quand une personne concernée exerce un droit d'accès ou de suppression, qui répond ? Le contrat doit répartir la charge et prévoir les délais de transmission des demandes reçues par le sous-traitant.

6. Le sort des données en fin de contrat

Restitution, suppression, anonymisation ? Sous quel format ? Avec quelle preuve écrite ? C'est la clause la plus souvent oubliée — et celle qui pose le plus de problèmes lors des changements de prestataire.

7. Le droit d'audit

Le RGPD impose au sous-traitant de « mettre à la disposition du responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations ». En pratique, cela signifie un droit d'audit — sur pièces ou sur place — que votre contrat doit organiser.

Ce que nous constatons sur le terrain

Sur les 40 contrats fournisseurs que nous auditons en moyenne chaque année, la clause 6 (fin de contrat) est manquante dans plus de 9 cas sur 10. Ces oublis passent inaperçus tant que rien ne bouge — mais dès qu'un changement de prestataire, un incident ou un contrôle survient, le coût de correction est disproportionné.

La bonne nouvelle : ces sept clauses tiennent en deux pages bien rédigées. C'est un chantier de mise en conformité rapide, avec un retour très concret dès le premier renouvellement contractuel.