L’accord de traitement arrive presque toujours au même moment : en fin de négociation, en annexe, quand le prix est arrêté et que plus personne n’a envie de rouvrir le dossier. Il est signé sans être lu.
C’est une erreur d’appréciation sur qui porte le risque. En cas de manquement, le responsable de traitement — vous — répond du choix de son sous-traitant. Le contrat n’est pas une formalité administrative : c’est la seule pièce qui documente ce que vous avez exigé.
Ce que l’article 28 impose réellement
Le texte énumère un contenu minimal. Un contrat qui n’en couvre pas tous les points n’est pas conforme, quelle que soit sa longueur :
- l’objet, la durée, la nature et la finalité du traitement
- les catégories de données et de personnes concernées
- l’obligation de n’agir que sur instruction documentée
- l’engagement de confidentialité des personnes habilitées
- les mesures de sécurité, par renvoi à l’article 32
- le régime de la sous-traitance ultérieure, soumise à autorisation
- l’assistance pour répondre aux demandes d’exercice de droits
- la notification des violations de données, et son délai
- le sort des données en fin de contrat : restitution ou suppression
- la mise à disposition des éléments nécessaires à un audit
Aucune de ces clauses n’est décorative. Chacune correspond à un moment où, faute de l’avoir écrite, vous n’aurez aucun levier.
Le point qui coûte le plus cher : la qualification
Avant de négocier les clauses, il faut s’entendre sur ce qui est acheté. Un logiciel hébergé et un service managé ne recouvrent pas les mêmes obligations : dans un cas le prestataire fournit un outil que vous administrez, dans l’autre il exploite le traitement pour votre compte.
Cette distinction déplace le périmètre de validation réglementaire, la répartition des responsabilités en cas d’incident, et jusqu’à la liste des sous-traitants ultérieurs à déclarer. Elle se tranche au début, pas au moment du contrôle.
Avant de discuter les clauses, il faut savoir ce que l’on achète. La qualification commande tout le reste.
Trois omissions fréquentes
- La sous-traitance ultérieure. Votre prestataire s’appuie presque toujours sur d’autres. Sans clause d’autorisation, vous découvrez la chaîne au moment de l’incident.
- L’audit. Un droit d’audit sans modalités — préavis, fréquence, périmètre, prise en charge — est un droit qu’on n’exercera pas.
- La fin de contrat. Restitution dans quel format, sous quel délai, à quel coût. Non écrit, cela se négocie au pire moment : quand vous partez.
Ce que cela change en pratique
Un accord de traitement bien rédigé ne protège pas d’une défaillance — il détermine qui la supporte, et ce que vous pouvez exiger pour y remédier. C’est un exercice contractuel avant d’être un exercice juridique, et il se mène avec le même réflexe que n’importe quelle négociation : savoir ce que l’on demande, et reconnaître une réponse insuffisante.