Aller au contenu principal
Quelle Signature

Niveau par acte

Accord de sous-traitance RGPD : signez-le avec le contrat principal, au niveau le plus exigeant des deux

Pour qui : Responsable juridique, DPO ou opérations de PME qui doit faire signer un accord de sous-traitance à ses prestataires, ou accepter celui d’un éditeur, et qui se demande si un niveau précis est exigé.

L’article 28 du RGPD ne nomme aucune signature : il demande un contrat ou un autre acte juridique au titre du droit de l’Union ou d’un État membre, sous forme écrite, y compris en format électronique. Signez donc l’accord avec le contrat principal, dans le même envoi de signature, au niveau le plus exigeant des deux. Selon notre méthode, la signature simple suffit à un traitement courant confié à un prestataire connu, et la signature avancée s’applique si une défaillance vous exposerait sans autre pièce que cet accord. Pour un prestataire inconnu, prenez l’avancée avec vérification de sa pièce d’identité. Si, en plus, une défaillance vous exposerait sans autre pièce que cet accord, envisagez la signature qualifiée pour ce signataire ; s’il ne peut pas la créer, signature avancée avec vérification de sa pièce d’identité. Le paragraphe 3 de l’article 28, qui liste ce que l’accord doit prévoir, passe d’abord : un acte signé à n’importe quel niveau ne remplace pas un objet, une durée ou des instructions documentées absents.

Notre avis

Ne créez pas de circuit de signature propre à cet accord. Joignez-le au contrat principal, au niveau le plus exigeant des deux, et consacrez votre attention à son contenu et à la liste des sous-traitants ultérieurs.

Pourquoi

  • L’article 28 ne demande pas de signature : un niveau plus élevé n’améliore pas la conformité à ce texte, selon notre lecture.
  • Un accord signé à part risque de se détacher du contrat qu’il complète ; dans le même envoi de signature, que les logiciels appellent une enveloppe, la signature avancée rend détectable toute modification de l’un et de l’autre.
  • L’article 28 § 4 laisse le sous-traitant initial pleinement responsable des manquements de son propre sous-traitant. Notre lecture : c’est la chaîne de ces actes qu’il faudra produire, et le niveau d’un seul maillon n’y répond pas.

Ce qui change le choix

Si la politique écrite d’un responsable de traitement impose un niveau, ce niveau devient le minimum. Si une défaillance de ce traitement peut vous exposer sans autre pièce que cet accord, l’enjeu devient important. Si vous n’avez jamais rencontré le prestataire, son identité est à vérifier.

L’ordre à suivre

  1. Simple pour un traitement courant confié à un prestataire connu, signée avec le contrat principal
  2. Signature avancée pour un prestataire connu, si la divulgation des données vous exposerait fortement et que cet accord est la seule pièce qui fixe ses obligations
  3. Avancée avec vérification de la pièce d’identité pour un prestataire inconnu et un traitement courant
  4. À envisager : signature qualifiée pour ce signataire, si ce prestataire vous est inconnu, que la divulgation des données vous exposerait fortement et que cet accord est la seule pièce qui fixe ses obligations ; s’il ne peut pas la créer, signature avancée avec vérification de sa pièce d’identité

Le paragraphe 9 demande un écrit, le paragraphe 3 son contenu : aucun des deux ne parle de signature

Le paragraphe 9 de l’article 28 prévoit que le contrat ou l’autre acte juridique se présente sous une forme écrite, y compris en format électronique. L’absence du mot signature dans l’article, tel que le reproduit la CNIL, empêche d’y lire un niveau. Les textes lus ne fixent donc aucun niveau.

Le paragraphe 3 demande à l’acte de définir l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable. Il prévoit notamment que le sous-traitant ne traite les données que sur instruction documentée, qu’il aide à répondre aux demandes d’exercice des droits et qu’il fournit les informations nécessaires aux audits. Selon les paragraphes 6 à 8, l’acte peut s’appuyer en tout ou partie sur des clauses contractuelles types, adoptées par la Commission ou par une autorité de contrôle.

Relisez ce contenu avant de choisir un niveau : c’est le sujet que l’article traite.

Un éditeur en ligne qui ne signe pas : le texte lu ne l’interdit pas, gardez la version datée

Vous utilisez un logiciel en ligne dont l’accord de sous-traitance s’accepte dans les conditions du service, sans signature. Le paragraphe 3 parle d’un contrat ou d’un autre acte juridique au titre du droit de l’Union ou d’un État membre : selon notre lecture, un accord accepté dans les conditions du service relève du contrat, et non de cet autre acte. Le paragraphe 9 demande une forme écrite et l’article ne nomme aucune signature : nous n’y lisons pas d’obligation d’obtenir celle de cet éditeur. Aucune ligne directrice n’a été lue sur ce point : cette lecture reste à confirmer sur vos traitements les plus sensibles.

À notre avis, ne dépensez pas d’énergie à obtenir une signature qu’il refuse. Téléchargez la version en vigueur, datez-la, conservez-la avec son contrat de service et notez les sous-traitants ultérieurs qu’elle liste. Si une nouvelle version paraît, refaites ce geste.

L’exécution montre le traitement, elle ne montre pas vos instructions : le choix du niveau en tient compte

Pour un contrat de prestation, un paiement ou un livrable peut établir l’accord. Pour cet acte, l’exécution ne montre ni les instructions documentées ni les obligations du prestataire. Selon notre lecture, ce fait pèse sur le risque en cas de contestation, objet de la quatrième question, sans le trancher à lui seul : ce risque dépend aussi de ce que vous perdriez.

  1. Un texte fixe-t-il un niveau ? Non : l’article 28 lu demande un écrit, y compris électronique. Continuez.
  2. L’autre partie impose-t-elle un niveau ? Lisez la politique du responsable de traitement ou votre contrat-cadre, et posez la question par écrit. Un niveau écrit devient le minimum imposé.
  3. Ce signataire pourrait-il soutenir qu’il n’a pas signé ? Non si, avant la signature, un contrat en cours ou des échanges documentés le rattachent à cet accord, envoyé à une adresse confirmée dans ces échanges. Oui si l’un de ces éléments manque, notamment pour un nouveau prestataire choisi en ligne.
  4. Une contestation vous laisserait-elle sans pièce sur un point décisif ? Non pour un traitement courant, dont une défaillance vous coûterait peu ou se documenterait par d’autres échanges. Oui si le traitement porte sur des données dont la divulgation vous exposerait fortement, par leur nature ou leur volume, et si cet accord est la seule pièce qui fixe les obligations du prestataire. Les exemples de ce critère sont les nôtres : le texte ne pose pas ce seuil.
  5. Vos réponses aux deux dernières questions, puis le contrat principal. Signataire rattaché à l’accord et traitement courant : signature simple. Données dont la divulgation vous exposerait fortement, avec cet accord pour seule pièce, et signataire rattaché : signature avancée. Identité à vérifier seulement : signature avancée avec vérification de sa pièce d’identité. Les deux : envisagez la signature qualifiée pour ce signataire ; s’il ne peut pas la créer, signature avancée avec vérification de sa pièce d’identité. Si le contrat principal donne un niveau plus exigeant, signez les deux à ce niveau.

Le sous-traitant de votre sous-traitant : la chaîne compte plus qu’un maillon signé en qualifiée

Le paragraphe 4 oblige le sous-traitant qui en recrute un autre à lui imposer, par contrat ou autre acte juridique, les mêmes obligations de protection des données. S’il manque à ces obligations, le sous-traitant initial reste pleinement responsable devant le responsable du traitement. Si vous êtes prestataire, demandez donc à vos propres sous-traitants le même écrit. Selon notre lecture, votre niveau de signature ne compensera pas un acte manquant plus bas dans la chaîne.

Limites de cette page

Lecture du 4 novembre 2026, sans test d’outil et sans relecture par un avocat. Cette page ne vaut pas conseil sur un traitement donné. Le RGPD a été lu sur la reproduction de la CNIL : EUR-Lex a rendu une page vide. Les lignes directrices 07/2020 du comité européen de la protection des données, la position de la CNIL sur les clauses types et les textes nationaux n’ont pas été lus : ils peuvent préciser l’admission d’un acte accepté sans signature. Aucune décision n’a été lue. Le critère sur la nature ou le volume des données est notre choix de méthode et ne vient d’aucun texte lu. La recommandation de signer l’accord et le contrat principal dans le même envoi de signature est notre avis, et aucun texte lu ne l’exige.

Prochaine action

Relisez votre modèle d’accord face aux points du paragraphe 3 de l’article 28, placez-le dans le même envoi de signature que le contrat principal (ce que les logiciels appellent une enveloppe), et conservez la version datée des accords d’éditeurs que vous ne signez pas.

Preuves et sources

RGPD, article 28 § 3, 4, 6 à 9, dans la reproduction non datée publiée par la CNIL, EUR-Lex ayant rendu une page vide ; règlement eIDAS consolidé au 18 octobre 2024, lus le 4 novembre 2026. Lignes directrices 07/2020 du comité européen de la protection des données et position de la CNIL sur les clauses types non lues. Aucun outil de signature n’a été testé.

Chaque élément ci-dessous indique s’il s’agit d’un fait lu dans une source, d’une déclaration de son auteur, de notre calcul, de notre méthode ou de notre avis. Vérifiez sur le document toute source marquée à vérifier ou non tranchée avant de vous y fier. Notre méthode

  • Fait lu. Le contrat ou l’autre acte juridique visé aux paragraphes 3 et 4 de l’article 28 du RGPD se présente sous une forme écrite, y compris en format électronique.

    Périmètre : Article 28 § 9

    Réserve : Reproduction de la CNIL ; EUR-Lex non lu.

    Relevé du 4 novembre 2026.

  • Fait lu. L’article 28 du RGPD, tel que reproduit par la CNIL, ne contient pas le mot signature et ne vise ni signature simple, ni avancée, ni qualifiée.

    Périmètre : Article 28, lecture de la reproduction

    Réserve : Reproduction de la CNIL ; lignes directrices non lues.

    Relevé du 4 novembre 2026.

  • Fait lu. Le paragraphe 3 demande à l’acte de définir l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées et les obligations et droits du responsable, et prévoit notamment un traitement sur instruction documentée, l’aide aux demandes d’exercice des droits et les informations nécessaires aux audits.

    Périmètre : Article 28 § 3

    Réserve : Liste non exhaustive des obligations ; reproduction de la CNIL.

    Relevé du 4 novembre 2026.

  • Fait lu. Le paragraphe 4 impose au sous-traitant qui en recrute un autre de lui imposer les mêmes obligations par contrat ou autre acte juridique, et le laisse pleinement responsable devant le responsable du traitement si cet autre sous-traitant manque à ses obligations.

    Périmètre : Article 28 § 4

    Réserve : Reproduction de la CNIL.

    Relevé du 4 novembre 2026.

  • Fait lu. Le contrat peut s’appuyer, en tout ou partie, sur des clauses contractuelles types établies par la Commission ou adoptées par une autorité de contrôle selon le mécanisme de contrôle de la cohérence.

    Périmètre : Article 28 § 6 à 8

    Réserve : Position de la CNIL sur les clauses types non lue.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. Selon notre lecture du paragraphe 9 et de l’absence du mot signature, l’article 28 n’impose pas d’obtenir la signature d’un éditeur en ligne dont l’accord s’accepte dans les conditions du service, cet accord relève du contrat et non d’un autre acte juridique, et le niveau de signature ne compense pas un acte incomplet ou manquant dans la chaîne.

    Périmètre : Article 28 § 3, 4 et 9

    Réserve : Lignes directrices et décisions non lues.

    Relevé du 4 novembre 2026.

  • Notre calcul ou déduction. Selon notre lecture, l’exécution d’un traitement ne montre ni les instructions documentées ni les obligations du prestataire.

    Périmètre : Risque en cas de contestation

    Réserve : Aucune décision lue.

    Relevé du 4 novembre 2026.

  • Fait lu. L’article 26 du règlement eIDAS exige de la signature avancée qu’elle rende détectable toute modification ultérieure des données.

    Périmètre : Art. 26 § 1, consolidation du 18 octobre 2024

    Réserve : Limité aux données effectivement signées, donc à l’accord s’il est signé avec le contrat.

    Relevé du 4 novembre 2026.

  • Notre méthode. L’application de la méthode à l’accord de sous-traitance, dont le critère sur la nature ou le volume des données, et la règle du niveau le plus exigeant entre cet accord et le contrat principal.

    Périmètre : Notre règle, sans texte ni autre partie imposant un niveau

    Réserve : Critère de méthode, qui ne vient d’aucun texte lu ; ne tranche pas un litige.

    Daté du 4 novembre 2026.

  • Notre avis. Signer l’accord dans le même envoi de signature que le contrat principal, et conserver la version datée d’un accord d’éditeur non signé.

    Périmètre : PME responsables de traitement ou sous-traitantes

    Réserve : Avis assumé : aucun texte lu ne l’exige.

    Relevé du 4 novembre 2026.

  • Fait lu. Le paragraphe 3 de l’article 28 régit le traitement par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement.

    Périmètre : Article 28 § 3

    Réserve : Reproduction de la CNIL, relue le 4 novembre 2026 dans un texte extrait de la page.

    Relevé du 4 novembre 2026.