Bibliothèque de clauses
Clause Protection des données, expliquée
Une clause de protection des données consigne la manière dont les données personnelles sont traitées ; lorsqu'une partie est sous-traitant au sens du UK GDPR, l'article 28(3) exige des conditions de sous-traitant nommées.
Dernière mise à jour le 28 octobre 2026
Que fait une clause protection des données ?
Lorsqu'un prestataire traite des données personnelles pour un client qui est responsable du traitement, l'article 28 du UK GDPR dit que le traitement doit être régi par un contrat. L'article 28(3) énumère les conditions de sous-traitant que ce contrat doit contenir. Le même UK GDPR s'applique en Écosse. Les lettre d’intentionUne lettre d’intention est un court document qui consigne les points commerciaux que les deux parties comptent reprendre dans un contrat ultérieur. En Angleterre et au pays de Galles, ce n’est pas un contrat en soi, sauf si les parties entendent être liées. La plupart des lettres d’intention sont placées « sous réserve de contrat » (subject to contract), afin de pouvoir poursuivre les discussions sans conclure un accord par accident.Plus dans le glossaire américaines des États sur la vie privée relèvent d'un autre régime. Nous plaçons ces conditions sur une page commune.
Que doit contenir un contrat de sous-traitance au titre de l'article 28 ?
Le contrat doit être contraignant et préciser l'objet, la durée, la nature et la finalité du traitement, les types de données personnelles et de personnes concernées, ainsi que les droits du responsable du traitement. L'article 28(3) exige ensuite les conditions de sous-traitant de (a) à (h) : instructions documentées, confidentialité, sécurité, sous-traitants ultérieurs, assistance, suppression ou restitution, et audit.
Quand une partie est-elle sous-traitant plutôt que responsable du traitement ?
Un responsable du traitement décide des finalités et des moyens du traitement. Un sous-traitant traite pour le compte du responsable. Un studio qui stocke la liste de clients d'un client pour envoyer les e-mails de ce client est en général sous-traitant. Un studio qui constitue sa propre liste marketing est responsable du traitement de cette liste. Nommez le rôle pour chaque jeu de données pour que l'article 28 ne s'applique que là où il le doit.
Le sous-traitant peut-il désigner des sous-traitants ultérieurs ?
Seulement avec l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. En cas d'autorisation générale, le sous-traitant doit informer le responsable des ajouts ou remplacements prévus pour que celui-ci puisse s'y opposer. Les mêmes obligations de protection des données doivent être répercutées. Le sous-traitant initial reste pleinement responsable envers le responsable du traitement du sous-traitant ultérieur. Écrivez la méthode d'autorisation dans la clause.
Que deviennent les données à la fin du travail ?
L'article 28(3)(g) dit qu'au choix du responsable du traitement, le sous-traitant supprime ou restitue les données personnelles à la fin des services et supprime les copies, sauf si le droit national exige leur conservation. Associez cela à la confidentialité et à une ligne de restitution ou destruction pour les fichiers confidentiels non personnels. Indiquez combien de temps les journaux peuvent être conservés si une loi l'exige.
Exemple de rédaction
Exemple · notre propre rédaction
Lorsque le Prestataire traite des données personnelles pour le Client en tant que sous-traitant, le Prestataire : ne traitera ces données que sur instructions documentées du Client ; veillera à ce que les personnes autorisées à les traiter soient tenues à la confidentialité ; prendra les mesures de sécurité exigées par l'article 32 du UK GDPR ; ne désignera aucun sous-traitant ultérieur sans l'autorisation écrite préalable du Client ; aidera le Client pour les demandes des personnes concernées et pour les articles 32 à 36 ; au choix du Client, supprimera ou restituera les données à la fin des services, sauf si le droit national exige leur conservation ; et mettra à disposition les informations nécessaires pour démontrer la conformité et permettra les audits.
En langage clair
Si le prestataire traite des données personnelles pour le client, il ne fait que ce que le client a documenté, les garde confidentielles, s'occupe de la sécurité et ne fait pas appel à un autre sous-traitant sans feu vert écrit. Il aide pour les droits des personnes et les obligations de sécurité, puis supprime ou restitue les données à la fin de la mission sauf si la loi impose de garder une copie, et il laisse le client vérifier.
À quoi faut-il faire attention ?
| Point | À surveiller | À demander |
|---|---|---|
| Rôles | Une annexe de sous-traitant plaquée sur un accord où les deux parties sont responsables du traitement. | Une phrase qui nomme le rôle pour chaque jeu de données. |
| Instructions | « Traiter selon les besoins des services » sans instructions documentées. | Une annexe avec l'objet, la durée, les types de données et de personnes concernées. |
| Sous-traitants ultérieurs | Carte blanche pour désigner n'importe qui, ou le silence. | Autorisation écrite préalable, répercussion des obligations et responsabilité maintenue. |
| Fin de mission | Aucune ligne de suppression ou restitution. | Le choix du responsable du traitement, avec exception pour la conservation légale. |
| Plafond | Une indemnisation illimitée sur les données pour un petit honoraire, ou un plafond qui absorbe une violation. | Une position nommée par rapport au plafond de responsabilité et à l'indemnisation. |
Quels contrats l’incluent ?
Lex inclut cette clause dans, entre autres :
- Contrat de prestation de services (contrat-cadre de prestations de servicesUn contrat-cadre de prestations de services (MSA) fixe les conditions juridiques d’une relation durable, chaque projet étant ensuite convenu dans un cahier des charges (SOW) distinct.Plus dans le glossaire)
- Contrat de création de site web
- Contrat de conseil
Que dit la loi ?
Le traitement par un sous-traitant doit être régi par un contrat qui lie le sous-traitant et qui définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement, y compris les conditions applicables au sous-traitant énumérées à l'article 28(3)(a)–(h).
Source : UK GDPR, Article 28(3)Vérifié le 28 octobre 2026En attente de relecture par un avocat
Rédiger un contrat-cadre de prestation de services (MSA) avec cette clause
Gratuit pour l’autre partieLex le rédige en langage clair à côté du texte juridique. Partagez un lien ; les deux parties s’accordent et signent.
Questions fréquentes
Que signifie une clause de protection des données ?
Elle consigne la manière dont les données personnelles sont traitées dans le cadre du contrat. Lorsqu'une partie traite des données personnelles pour l'autre en tant que sous-traitant au sens du UK GDPR, l'article 28 exige que ce traitement soit régi par un contrat contenant des conditions de sous-traitant nommées.
Que doit contenir un contrat de sous-traitance au titre de l'article 28 du UK GDPR ?
L'objet, la durée, la nature et la finalité du traitement, les types de données et de personnes concernées, et les conditions de sous-traitant de l'article 28(3)(a)–(h), dont les instructions documentées, la confidentialité, la sécurité, les sous-traitants ultérieurs, l'assistance, la suppression ou restitution, et l'audit.
Quand un prestataire est-il sous-traitant ?
Lorsqu'il traite des données personnelles pour le compte du client plutôt que de décider lui-même des finalités et des moyens. La clause devrait nommer le rôle pour chaque jeu de données. L'article 28 s'applique aux relations de sous-traitance.
Un sous-traitant peut-il recourir à des sous-traitants ultérieurs ?
Seulement avec l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Les mêmes obligations doivent être répercutées, et le sous-traitant initial reste pleinement responsable envers le responsable du traitement du sous-traitant ultérieur.
Que deviennent les données personnelles à la fin du contrat ?
Au choix du responsable du traitement, le sous-traitant les supprime ou les restitue et supprime les copies, sauf si le droit national exige leur conservation. Écrivez ce choix dans la clause.
Sources
- UK GDPR, Article 28(3)Vérifié le 28 octobre 2026En attente de relecture par un avocat
Voir aussi
Modèles contenant cette clause
Autres clauses
Le texte juridique fait foiDernière relecture le 28 octobre 2026En attente de relecture par un avocat