Avenant RGPD : contenu obligatoire de l'annexe protection des données

Sommaire

1. Avenant RGPD : quand il devient obligatoire

2. Article 28 du RGPD : les mentions imposées

3. Contenu de l'annexe décrivant les traitements de données

4. Mesures de sécurité et recours à un sous-traitant ultérieur

5. Sanctions CNIL en cas d'avenant absent ou incomplet

6. Réviser ses contrats fournisseurs existants : méthode pratique

FAQ

Pour aller plus loin

1. Avenant RGPD : quand il devient obligatoire

Un avenant RGPD devient obligatoire dès qu'un prestataire accède à des données personnelles pour le compte de votre entreprise. Le RGPD qualifie ce prestataire de sous-traitant : il traite les données selon vos instructions, sans en définir les finalités. Votre entreprise reste responsable de traitement, donc comptable de la conformité de la chaîne.

Trois situations le déclenchent : un contrat SaaS, d'infogérance ou d'hébergement conclu avant le 25 mai 2018 et jamais mis à jour ; le renouvellement d'un contrat dont les clauses de protection des données se limitent à un renvoi général à la réglementation ; tout changement de périmètre : nouveau module applicatif, nouvelle catégorie de données, nouveau pays d'hébergement.

Le critère n'est pas le volume, mais l'accès : un éditeur de logiciel de paie, un prestataire de sauvegarde ou un centre d'appels entrent dans le champ de l'article 28.

Encadrer un prestataire qui traite des données personnelles suppose un contrat rédigé clause par clause, adapté à la prestation réelle.
Découvrir l'accompagnement en protection des données

2. Article 28 du RGPD : les mentions imposées

L'article 28 du RGPD fixe une liste fermée de mentions que le contrat entre responsable de traitement et sous-traitant doit comporter. Chaque obligation doit être rédigée et opposable : une clause de style ne démontre rien lors d'un contrôle.

Ces mentions sont cumulatives : l'absence d'une seule rend l'avenant incomplet. La Commission européenne a publié des clauses contractuelles types entre responsable de traitement et sous-traitant, utilisables comme base de comparaison lors d'une révision.

3. Contenu de l'annexe décrivant les traitements de données

L'annexe protection des données rend le contrat vérifiable : elle décrit ce que le prestataire fait concrètement, quand le corps de l'avenant fixe les règles juridiques. Sans elle, aucun contrôle ne peut établir le périmètre réel du traitement.

Six rubriques structurent une annexe exploitable :

• Objet et nature du traitement : hébergement, maintenance applicative, gestion de la paie.
• Finalité poursuivie : la raison métier justifiant la remise des données.
• Catégories de données : identité, coordonnées, données bancaires, données de santé.
• Personnes concernées : salariés, candidats, clients, prospects, patients.
• Durée du traitement : alignée sur la durée du contrat et la réversibilité.
• Localisation : pays d'hébergement et de support technique, télémaintenance comprise.

Chaque rubrique doit renvoyer à une ligne du registre des traitements. En cas de divergence, l'annexe est opposable au prestataire, alors que le registre est examiné en priorité par l'autorité de contrôle.

4. Mesures de sécurité et recours à un sous-traitant ultérieur

Le règlement impose au sous-traitant des mesures techniques et organisationnelles adaptées au risque. La formule est ouverte : l'annexe la rend contrôlable en listant des engagements vérifiables plutôt que des principes.

Second volet : la sous-traitance ultérieure. Un prestataire ne peut recruter un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale. Dans ce dernier cas, il informe le client de tout changement, ce qui ouvre un droit d'opposition. Le contrat conclu avec ce second prestataire reprend les mêmes obligations et le premier sous-traitant reste responsable de ses manquements. L'annexe doit donc nommer les sous-traitants ultérieurs autorisés, leur rôle et leur pays d'établissement.

5. Sanctions CNIL en cas d'avenant absent ou incomplet

La CNIL contrôle les clauses contractuelles lors de ses vérifications, sur pièces comme sur place. Un avenant absent ou lacunaire constitue un manquement autonome : aucune fuite de données n'est nécessaire.

Le manquement à l'article 28 relève du plafond de 10 millions d'euros ou de 2 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. Ce plafond figure dans le règlement et ne dépend d'aucune revalorisation annuelle.

Avant la sanction pécuniaire, l'autorité dispose d'outils intermédiaires : rappel à l'ordre, mise en demeure de régulariser dans un délai fixé, injonction éventuellement assortie d'une astreinte. Le responsable de traitement et le sous-traitant peuvent être poursuivis séparément, chacun pour ses propres obligations. L'exposition est double : la sanction administrative d'un côté, le contentieux fournisseur de l'autre lorsque le contrat ne permet pas d'imputer au prestataire le coût d'un incident.

Un contrat incomplet laisse l'entreprise supporter seule le coût d'un incident causé par son prestataire.
Sécuriser ses contrats avec un avocat en protection des données

6. Réviser ses contrats fournisseurs existants : méthode pratique

La révision d'un parc contractuel se traite comme un projet, non comme une suite de négociations isolées. Cinq étapes suffisent.

1. Recenser les fournisseurs accédant à des données personnelles, à partir du registre des traitements et des factures informatiques.
2. Hiérarchiser selon la sensibilité des données et la criticité du service, pour traiter d'abord la paie, la santé et les données bancaires.
3. Comparer chaque contrat aux huit mentions de l'article 28, puis noter les manques par écrit.
4. Négocier un avenant unique par fournisseur, annexe comprise, plutôt que des échanges de courriels sans valeur contractuelle.
5. Suivre les annexes comme des documents vivants, révisés à chaque évolution du service.

Le calendrier utile est celui des renouvellements : une demande d'avenant aboutit plus souvent 3 mois avant l'échéance qu'en cours d'exécution. L'annexe se met ensuite à jour à chaque changement d'hébergeur, de périmètre ou de sous-traitant ultérieur.

FAQ

Un avenant RGPD est-il obligatoire pour tous les fournisseurs ?

Non. Il concerne les prestataires qui traitent des données personnelles pour le compte de votre entreprise, en tant que sous-traitants. Un fournisseur de matériel sans accès aux données n'est pas visé. En revanche, un prestataire de maintenance qui accède aux bases applicatives, même ponctuellement, entre dans le champ de l'article 28.

Quelle différence entre l'avenant et l'annexe protection des données ?

L'avenant contient les obligations juridiques : instructions, confidentialité, audits, sort des données. L'annexe décrit la réalité opérationnelle du traitement : finalités, catégories de données, personnes concernées, durées, mesures de sécurité. L'avenant sans annexe reste théorique et ne permet pas de vérifier ce que le prestataire fait effectivement des données confiées.

Qui doit rédiger l'avenant RGPD, le client ou le prestataire ?

Le règlement ne désigne aucun rédacteur. En pratique, les éditeurs proposent leur propre modèle, souvent rédigé à leur avantage sur les audits et la responsabilité. Le responsable de traitement conserve l'obligation de vérifier que le document couvre les huit mentions imposées, et peut exiger des modifications avant signature.

Que faire si le prestataire refuse de signer l'avenant ?

Le refus constitue un signal contractuel à documenter par écrit. Il place le responsable de traitement en situation de manquement, car il ne peut plus démontrer l'encadrement du sous-traitant. Selon la criticité du service, les options sont la renégociation à l'échéance, la restriction du périmètre de données confiées ou le changement de fournisseur.

Faut-il un nouvel avenant en cas de changement d'hébergeur ?

Un changement d'hébergeur modifie la localisation des données et introduit un sous-traitant ultérieur. Il déclenche l'obligation d'information préalable et, le cas échéant, le droit d'opposition du client. Une mise à jour de l'annexe suffit lorsque les obligations contractuelles restent inchangées, sinon un nouvel avenant est nécessaire.

Pour aller plus loin

Sous-traitance : exemple de clauses - CNIL

Clauses contractuelles types entre responsable de traitement et sous-traitant - CNIL

Obligations en matière de protection des données personnelles (RGPD) - Entreprendre.Service-Public.fr

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.