Contrats de sous-traitance pour services de partage de fichiers

Un contrat de sous-traitance (CST) valide au regard du RGPD pour un service de partage de fichiers doit couvrir les huit sujets obligatoires de l'article 28(3) : objet et durée du traitement, nature et finalité du traitement, types de données à caractère personnel, catégories de personnes concernées, droits et obligations du responsable du traitement, instruction documentée au sous-traitant, règles relatives aux sous-traitants ultérieurs, et suppression ou restitution en fin de contrat. L'omission de l'un de ces huit points rend le contrat non conforme et expose les deux parties à des mesures d'application. Au-delà de l'article 28, un bon CST définit également les mesures de sécurité, les délais de notification des violations, les droits d'audit et les garanties de transferts internationaux en vertu des articles 32, 33 et du chapitre V.

Quand un CST est obligatoire

Dès qu'un tiers traite des données à caractère personnel pour votre compte, un CST est requis — même si le traitement se limite au stockage transitoire d'un fichier .zip téléversé pendant sept jours. Cela inclut SwissTransfer, WeTransfer, Dropbox Transfer, Smash, Tresorit, Box et HexaTransfer. Le seuil n'est pas « données sensibles » — c'est « données à caractère personnel », ce qui englobe les adresses e-mail des clients dans les listes de destinataires. Si vous utilisez un service de transfert pour tout fichier professionnel désignant une personne, le CST est obligatoire en vertu de l'article 28(3). L'absence de CST signifie un traitement sans base contractuelle valide, ce qui est illicite au regard de l'article 5(1)(a).

Les huit sujets obligatoires de l'article 28(3)

L'article 28(3) se lit comme une liste de contrôle. (a) Objet et durée : quel traitement, pour combien de temps. (b) Nature et finalité : transfert de fichiers et stockage de courte durée pour la livraison. (c) Types de données : noms, e-mails, contenus de fichiers, métadonnées. (d) Catégories de personnes concernées : salariés, clients et contreparties du responsable du traitement. (e) Obligations et droits du responsable du traitement. (f) Traitement uniquement sur instruction documentée. (g) Engagements de confidentialité du personnel autorisé. (h) Mesures de sécurité proportionnées au risque, règles relatives aux sous-traitants ultérieurs, assistance à l'exercice des droits, notification des violations, assistance à la DPIA, et suppression en fin de contrat.

Clauses relatives aux sous-traitants ultérieurs et préavis de 30 jours

Les articles 28(2) et 28(4) imposent aux sous-traitants de communiquer leurs sous-traitants ultérieurs et de donner aux responsables du traitement la possibilité de s'opposer aux modifications. La pratique de marché : une liste publique des sous-traitants ultérieurs en cours (Cloudflare pour le CDN, OVH pour l'hébergement, SendGrid pour l'e-mail), un préavis de 30 jours pour tout changement matériel, et un droit contractuel pour le responsable de s'y opposer pour des motifs raisonnables. En cas d'opposition, le sous-traitant peut soit trouver une alternative, soit permettre la résiliation du service concerné sans pénalité. Méfiez-vous des CST qui revendiquent une substitution illimitée des sous-traitants ultérieurs sans préavis — ceux-là ne sont pas conformes.

Droits d'audit au titre de l'article 28(3)(h)

Les responsables du traitement ont le droit d'auditer les sous-traitants. Pour les petits responsables, cela signifie généralement accepter le rapport SOC 2 Type 2, ISO 27001 ou ISAE 3402 du sous-traitant plutôt que d'envoyer un auditeur sur place. Les grands responsables (banques, hôpitaux, administrations) conservent des droits d'audit sur site. Les CST doivent préciser la forme : droit d'examiner les attestations publiées, droit de demander des informations complémentaires, et — pour les traitements à haut risque — droit de mandater un audit indépendant aux frais du responsable. Refuser tout droit d'audit est non conforme ; les restreindre à des examens annuels avec 30 jours de préavis est raisonnable.

Mesures de sécurité et alignement avec l'article 32

L'article 32(1) liste quatre exemples de mesures : pseudonymisation et chiffrement (a), confidentialité, intégrité, disponibilité et résilience des systèmes (b), rétablissement rapide après incident (c), et tests et évaluations réguliers (d). Un bon CST de partage de fichiers annexe un calendrier de mesures de sécurité détaillant les spécificités : AES-256-GCM au repos, TLS 1.3 en transit, MFA pour l'accès administrateur, certification ISO 27001, gestion des vulnérabilités avec SLA de correction, et tests de pénétration annuels. Un langage vague — « sécurité de niveau standard du secteur » — échoue aux audits car il n'est pas mesurable.

Délais de notification des violations entre sous-traitant et responsable

L'article 33(2) impose aux sous-traitants de notifier les responsables du traitement d'une violation de données à caractère personnel « sans délai excessif ». La plupart des CST spécifient 24 à 48 heures. Le rôle du sous-traitant est la notification rapide, pas la gestion du délai de 72 heures — c'est l'obligation du responsable au titre de l'article 33(1). Un CST bien rédigé précise : ce qui constitue une violation (perte, divulgation non autorisée, accès non autorisé), ce que contient la notification (nature de la violation, catégories et nombre approximatif de personnes et d'enregistrements concernés, conséquences probables, mesures prises), et comment elle est transmise (contact nominatif, canal de secours si l'e-mail est compromis).

Garanties de transferts internationaux dans le CST

Si le sous-traitant stocke ou accède à des données en dehors de l'EEE, l'article 44 s'applique. Le CST doit intégrer les clauses contractuelles types de 2021 (décision d'exécution 2021/914 de la Commission), préciser le module applicable (module 2 : responsable du traitement vers sous-traitant), et référencer une analyse d'impact du transfert. Pour les sous-traitants ultérieurs établis aux États-Unis, ajoutez le statut de certification DPF (Data Privacy Framework) ou une description spécifique des mesures complémentaires. Les transferts vers le Royaume-Uni nécessitent l'addendum international du Bureau du commissaire à l'information (ICO) aux CCT de 2021, en vigueur depuis mars 2022.

Suppression ou restitution en fin de contrat

L'article 28(3)(g) impose au sous-traitant de supprimer ou restituer toutes les données à caractère personnel à la fin du service, sauf obligation de conservation prévue par le droit de l'Union ou d'un État membre. Précisez laquelle : la plupart des services de transfert de fichiers optent par défaut pour la suppression avec un court délai de grâce (7 à 30 jours). Si le responsable souhaite une restitution (export de tous les fichiers), précisez le format et le délai. La suppression doit couvrir les sauvegardes — citez le cycle de rotation des sauvegardes (90 jours est le standard) et documentez que les données restaurées sont retraitées ou re-supprimées conformément à la demande d'effacement.

Responsables conjoints et scénarios multi-parties

Le partage de fichiers implique parfois des responsables conjoints au sens de l'article 26 — par exemple, une plateforme de recrutement où l'employeur et la plateforme décident conjointement des finalités et des moyens. L'arrangement prévu à l'article 26 est distinct du CST et doit répartir les responsabilités de manière transparente. Si vous êtes la plateforme et vous vous positionnez comme sous-traitant tout en exerçant un véritable contrôle (entraînement de votre IA sur le contenu des utilisateurs, monétisation des métadonnées), les autorités de contrôle peuvent vous requalifier en responsable conjoint. Clarifiez la qualification dès le départ ; la CNIL et l'ICO ont tous deux infligé des amendes pour mauvaise qualification.

Modèles pratiques et où les trouver

La Commission européenne publie des clauses contractuelles types entre responsables du traitement et sous-traitants (décision d'exécution 2021/915). La plupart des prestataires de transfert de fichiers réputés publient un CST pré-signé basé sur ces clauses — il suffit de le télécharger, le contre-signer, c'est fait. Tresorit, Proton Business, Box, Microsoft, Google Workspace et HexaTransfer procèdent tous ainsi. Pour les négociations personnalisées, l'IAPP et le CIPL publient des modèles de CST. Ne rédigez jamais un CST de zéro sans l'aide d'un conseil spécialisé en protection des données ; les cas particuliers (responsables conjoints, chaînes de sous-traitants ultérieurs, formulation des analyses d'impact du transfert) ont une rédaction attendue spécifique.

Vérifiez chaque clause au regard de la liste de contrôle des huit points de l'article 28(3). Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.