Questions fréquentes
Que dit exactement l'Article 28 du RGPD ?
L'Article 28 impose que le responsable de traitement ne fasse appel qu'à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Il définit aussi les 10 clauses obligatoires d'un contrat de sous-traitance (DPA).
Que signifient les 'garanties suffisantes' de l'Article 28 ?
C'est l'ensemble des mesures techniques (chiffrement, sauvegardes, contrôle d'accès) et organisationnelles (politiques internes, formation, gouvernance) que le sous-traitant doit pouvoir prouver. La CNIL refuse l'auto-déclaration : il faut des preuves vérifiables (certifications, audits, documentation publique).
Le DPA suffit-il pour être conforme à l'Article 28 ?
Non. Le DPA est nécessaire mais pas suffisant. L'Article 28 exige une diligence préalable (vérification des garanties) et un contrôle continu (audits, points réguliers). Les sanctions récentes de la CNIL pénalisent les responsables de traitement qui se sont contentés de signer sans vérifier.
Que risque-t-on en cas de non-respect de l'Article 28 ?
Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé (Article 83.4 du RGPD). Les sanctions récentes montrent que l'absence de diligence documentée sur un sous-traitant est un motif de sanction autonome.
Comment vérifier rapidement si un sous-traitant respecte l'Article 28 ?
La méthode la plus rapide consiste à analyser ses documents publics (politique de confidentialité, DPA, page sécurité, registre des sous-traitants ultérieurs) via un score RGPD, puis à approfondir avec un audit documentaire si l'outil est critique.