# Contrat de sous-traitance : liste de contrôle pour les outils web

> Quand il vous faut un contrat de sous-traitance selon l'art. 28 RGPD, son contenu obligatoire et les points à vérifier pour les outils d'analyse et de marketing.

Quelle: https://whovisit.app/fr/blog/contrat-sous-traitance-outils-web
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Presque tous les outils que vous utilisez sur votre site web traitent des données pour votre compte : analyse web, newsletter, CRM, carte de chaleur, chat. Dès que des données à caractère personnel sont en jeu, le RGPD exige un contrat avec le fournisseur. Il s'appelle contrat de sous-traitance (en allemand Auftragsverarbeitungsvertrag, abrégé AV-Vertrag ou AVV). Cet article explique quand vous en avez besoin, ce qu'il doit contenir et à quoi penser lors du choix d'un outil.

## Quand vous avez besoin d'un contrat de sous-traitance

L'art. 28 RGPD s'applique lorsqu'un prestataire traite des données à caractère personnel **pour votre compte** et selon vos instructions. Vous êtes alors le responsable du traitement, le fournisseur est le sous-traitant. Vous trouverez le texte de loi dans le [RGPD sur EUR-Lex](https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679).

Toute relation n'est pas une sous-traitance. Il faut distinguer trois configurations :

| Configuration | Caractéristique | Contrat |
|---|---|---|
| Sous-traitance | Le fournisseur agit uniquement selon vos instructions | Contrat de sous-traitance selon l'art. 28 |
| Responsabilité conjointe | Vous et le fournisseur décidez ensemble de la finalité et des moyens | Accord selon l'art. 26 |
| Responsable du traitement distinct | Le fournisseur utilise les données à ses propres fins | Selon le cas, base juridique et transfert propres |

Ce qui compte, c'est qui détermine la finalité et les moyens, pas le nom du contrat. Un fournisseur qui utilise aussi les données à ses propres fins, par exemple pour améliorer ses produits au-delà de la prestation fournie pour vous, n'est plus sous-traitant pour cette partie. Selon l'art. 28, par. 10, un sous-traitant qui détermine lui-même la finalité et les moyens est considéré comme responsable du traitement pour ce traitement.

## Contenu obligatoire selon l'art. 28, par. 3

Le contrat doit définir l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées. Il doit en outre prévoir que le sous-traitant :

- **a)** ne traite les données que sur instruction documentée, y compris pour les transferts vers un pays tiers,
- **b)** fait appel à des personnes tenues à la confidentialité,
- **c)** prend les mesures prévues à l'art. 32,
- **d)** respecte les conditions applicables au recours à d'autres sous-traitants,
- **e)** vous aide à répondre aux demandes des personnes concernées,
- **f)** vous aide à respecter les obligations découlant des art. 32 à 36,
- **g)** supprime ou vous restitue les données, à votre choix, au terme de la prestation,
- **h)** fournit les preuves nécessaires et permet les vérifications.

Le contrat doit être établi par écrit, un format électronique suffit (par. 9). La Commission européenne propose un cadre type avec les [clauses contractuelles types pour la sous-traitance](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32021D0915). Selon l'art. 28, par. 6, le contrat peut s'y référer en tout ou en partie.

## Sous-traitants ultérieurs

Si le fournisseur recourt lui-même à des prestataires, par exemple un hébergeur, deux règles de l'art. 28, par. 2 et 4 s'appliquent :

- Il a besoin de votre autorisation écrite préalable, spécifique ou générale. En cas d'autorisation générale, il doit vous informer de tout changement prévu. Vous pouvez alors vous y opposer.
- Il doit imposer aux sous-traitants ultérieurs les mêmes obligations de protection des données. Si un sous-traitant ultérieur ne les respecte pas, le premier sous-traitant en répond envers vous.

Demandez donc au fournisseur une liste à jour de ses sous-traitants ultérieurs, avec siège et mission.

## Pays tiers

Lorsque des données sont traitées en dehors de l'UE et de l'EEE ou peuvent y être consultées, les règles sur les transferts vers des pays tiers s'appliquent en plus (chapitre V, art. 44 et suivants RGPD). Trois voies sont courantes : une décision d'adéquation de la Commission, des clauses contractuelles types pour le transfert ou des règles d'entreprise contraignantes. Pour les États-Unis, il existe depuis 2023 une [décision d'adéquation relative au EU-US Data Privacy Framework](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32023D1795). Elle ne vaut que pour les entreprises participant au Framework. Elle fait l'objet de recours en justice, vérifiez donc l'état actuel. Un serveur dans l'UE règle la question si ni le fournisseur ni un sous-traitant ultérieur d'un pays tiers ne peut accéder aux données.

## Liste de contrôle pour les outils d'analyse et de marketing

1. **Clarifier le rôle.** Le fournisseur traite-t-il uniquement pour vous ou aussi à ses propres fins ?
2. **Vérifier le contrat.** Tous les points de l'art. 28, par. 3 y figurent-ils ?
3. **Décrire les données.** Le type de données et les catégories de personnes concernées sont-ils nommés concrètement ?
4. **Examiner les sous-traitants ultérieurs.** Existe-t-il une liste et une procédure en cas de changement ?
5. **Demander le lieu des serveurs.** Où se trouvent les données, qui peut y accéder ?
6. **Documenter la voie du pays tiers.** Quelle base soutient un transfert ?
7. **Régler la suppression.** Que deviennent les données après la fin du contrat ?
8. **Lire les mesures techniques.** Chiffrement, droits d'accès, journalisation.

Joignez le contrat à votre documentation et inscrivez l'outil dans votre registre des activités de traitement selon l'art. 30 RGPD. Pour les outils qui ne se chargent qu'après consentement en particulier, le contrat est une seconde condition distincte. Le consentement donné sur l'appareil ne le remplace pas, comme le montre [§ 25 TDDDG : cookies et traçage en Allemagne](https://whovisit.app/blog/tdddg-paragraf-25-cookies).

## Ce qui menace en cas d'infraction

Si le contrat manque ou est incomplet, l'autorité de contrôle peut le sanctionner. Pour les infractions aux obligations de l'art. 28, l'art. 83, par. 4 RGPD prévoit des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. C'est le cadre, pas un pronostic pour un cas particulier.

## Et en Suisse ?

La loi suisse sur la protection des données (LPD) régit le traitement par des sous-traitants à l'art. 9 LPD. L'idée est similaire, la formulation diffère. Celui qui s'adresse à des personnes concernées dans l'UE a en règle générale besoin du contrat prévu par le RGPD. Si c'est le cas pour votre offre, [Traçage de site web en Suisse : nLPD et LTC](https://whovisit.app/blog/website-tracking-schweiz-revdsg) l'explique.

## Questions fréquentes

**Ai-je besoin d'un contrat de sous-traitance si l'outil n'affiche que des noms d'entreprises ?** Cela dépend de si le fournisseur traite pour vous des données à caractère personnel, par exemple des adresses IP, même brièvement. En cas de doute, concluez le contrat, il ne coûte presque rien. Pour savoir si une adresse IP est une donnée à caractère personnel, lisez [Adresse IP et RGPD : est-elle une donnée à caractère personnel ?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Suffit-il d'accepter les CGV du fournisseur ?** Seulement si elles contiennent tous les éléments obligatoires et que la clause est clairement identifiable comme contrat ou avenant. De nombreux fournisseurs mettent le contrat de sous-traitance à disposition comme document distinct à conclure.

**Dois-je signer le contrat ?** Il doit être établi par écrit. Un format électronique suffit selon l'art. 28, par. 9, la conclusion par clic est donc courante.