Contrat de sous-traitance RGPD : les 11 clauses qu'un centre d'appels doit faire signer (ou exiger)
Sans contrat de sous-traitance conforme à l'article 28 du RGPD, un centre d'appels est en infraction dès le premier appel — et son donneur d'ordre aussi. Voici les 11 clauses à vérifier ligne par ligne avant de démarrer une campagne.
- L'article 28 du RGPD impose un contrat écrit entre le donneur d'ordre (responsable de traitement) et le centre d'appels (sous-traitant) — sans lui, les deux parties sont sanctionnables.
- Les 11 clauses obligatoires couvrent les finalités, la durée, la confidentialité, la sécurité, la sous-traitance ultérieure, l'audit et la restitution des données.
- Une clause d'audit doit prévoir au moins une inspection annuelle ou la transmission d'un rapport indépendant type SOC 2 / ISO 27001.
- La rédaction de ces clauses conditionne directement le périmètre d'indemnisation entre les deux parties en cas de sinistre — c'est elle qui fixe le coût final.
Pourquoi le contrat de sous-traitance n'est pas une formalité
Beaucoup de centres d'appels considèrent encore qu'un mandat commercial classique suffit à encadrer la relation avec un donneur d'ordre. C'est juridiquement faux depuis le 25 mai 2018. L'article 28 du RGPD impose un contrat ou tout autre acte juridique écrit qui lie le sous-traitant au responsable du traitement. Ce contrat peut être inclus dans la convention de prestation principale ou faire l'objet d'un avenant distinct (DPA, Data Processing Agreement).
L'absence de DPA est sanctionnable indépendamment de tout incident. La CNIL a déjà infligé en 2023 une amende de 50 000 € à un centre d'appels qui traitait des données pour 7 donneurs d'ordre sans aucun contrat de sous-traitance écrit, alors même qu'aucune violation de données n'avait eu lieu.
Et au-delà de la conformité, ce contrat est aussi le document qui répartit les coûts en cas de sinistre. Une clause mal rédigée peut transférer au centre d'appels la totalité des conséquences financières d'un incident dont il n'est qu'en partie responsable. À l'inverse, une clause bien négociée plafonne l'exposition financière à un montant aligné avec votre couverture d'assurance — c'est ce double mécanisme contrat + police qu'il faut concevoir comme un ensemble cohérent.
Les 11 clauses obligatoires de l'article 28
L'article 28 paragraphe 3 du RGPD énumère explicitement le contenu minimum du contrat. Voici la liste exhaustive à passer en revue :
- Objet et durée du traitement — combien de temps les données sont-elles conservées par le centre d'appels après la fin de la campagne ?
- Nature et finalité du traitement — prospection commerciale ? prise de rendez-vous ? enquête de satisfaction ?
- Types de données personnelles — identifiants, coordonnées, données de profilage, données de santé éventuelles (à proscrire sauf base légale spécifique).
- Catégories de personnes concernées — prospects froids, clients existants, salariés du donneur d'ordre.
- Obligations et droits du responsable du traitement — instructions documentées, contrôle de la prestation.
- Confidentialité — engagement de confidentialité des téléopérateurs (signature individuelle ou clause au contrat de travail).
- Mesures de sécurité — détaillées à l'article 32 (chiffrement, contrôle d'accès, MFA, journalisation, etc.).
- Recours à un autre sous-traitant — autorisation préalable, écrite, et obligation de répercuter les mêmes obligations.
- Assistance au responsable de traitement — pour répondre aux demandes d'exercice de droits des personnes concernées (article 15 à 22 du RGPD).
- Notification des violations — délai de notification du sous-traitant au responsable (généralement 24 à 48 heures, pour que celui-ci puisse respecter les 72 heures CNIL).
- Sort des données en fin de prestation — restitution complète et destruction certifiée des copies.
Chacune de ces clauses doit être présente. Une omission expose les deux parties.
Le piège n°1 : la sous-traitance ultérieure
Un centre d'appels qui externalise une partie de ses activités (overflow vers un partenaire offshore, hébergement cloud, transcription d'appels par IA) recourt à de la sous-traitance ultérieure. L'article 28 paragraphe 2 RGPD pose une règle stricte : aucune sous-traitance ultérieure n'est possible sans autorisation écrite préalable, spécifique ou générale, du responsable de traitement.
En pratique, les contrats prévoient une autorisation générale assortie d'une liste de sous-traitants ultérieurs annexée. Le centre d'appels doit informer le donneur d'ordre de tout changement, qui dispose d'un droit d'opposition. Sans cette mécanique, un simple changement de prestataire d'hébergement peut constituer un manquement contractuel.
Le second piège fréquent : l'hébergement des enregistrements d'appels hors UE. Si le sous-traitant ultérieur est établi aux États-Unis, au Maroc ou en Tunisie, des garanties supplémentaires sont nécessaires (clauses contractuelles types de la Commission européenne, analyse d'impact sur les transferts). Beaucoup de DPA omettent ce volet.
Un troisième piège, plus récent, concerne les outils d'analyse vocale par intelligence artificielle (speech analytics, scoring émotionnel, transcription automatique). Lorsqu'un centre d'appels intègre ces solutions, généralement opérées par des éditeurs américains, il fait transiter des extraits de voix vers un sous-traitant ultérieur sans toujours s'en rendre compte. La voix humaine étant qualifiée de donnée biométrique au sens du RGPD lorsqu'elle est utilisée pour identifier ou analyser une personne, ce transfert relève d'un régime renforcé que la majorité des DPA ne couvre pas.
Le piège n°2 : la clause d'audit
L'article 28.3.h impose au sous-traitant de mettre à la disposition du responsable de traitement « toutes les informations nécessaires pour démontrer le respect des obligations » et de permettre la réalisation d'audits. En pratique, deux modèles coexistent :
- L'audit physique annuel par le donneur d'ordre ou un tiers mandaté, sur préavis de 30 jours, avec accès aux locaux et aux systèmes. Coûteux et intrusif mais juridiquement le plus solide.
- Le rapport d'audit indépendant (SOC 2 type II, ISO 27001, HDS) communiqué annuellement. C'est aujourd'hui la pratique majoritaire dans les grands centres d'appels.
Un centre d'appels qui négocie sa clause d'audit doit privilégier le second modèle, qui mutualise les coûts entre tous ses donneurs d'ordre, et plafonner explicitement les visites physiques (par exemple à une visite tous les deux ans, sauf incident).
Côté chiffrage, une certification ISO 27001 coûte entre 25 000 et 60 000 € la première année selon la taille du périmètre (effectif, nombre de sites, complexité du SI), puis environ 8 000 à 15 000 € par an pour les audits de surveillance. Une fois obtenue, elle vous permet généralement d'absorber 90 % des demandes d'audit des donneurs d'ordre sans intervention supplémentaire. Le retour sur investissement est rapide pour un centre d'appels qui sert plus de 5 donneurs d'ordre majeurs : chaque audit physique évité représente entre 4 000 et 12 000 € de jours-homme et de perturbation opérationnelle.
Le piège n°3 : la clause de responsabilité financière
Le RGPD n'impose pas de répartition financière particulière entre responsable de traitement et sous-traitant en cas de sanction. C'est donc le contrat qui fixe les règles, et c'est là que les conséquences peuvent être lourdes.
Trois variantes courantes :
| Type de clause | Effet pratique |
|---|---|
| « Le sous-traitant supporte intégralement les conséquences financières de toute violation. » | Risque maximum pour le centre d'appels. Toute amende CNIL infligée au donneur d'ordre lui sera répercutée. |
| « Chaque partie supporte les conséquences des manquements qui lui sont imputables. » | Équilibrée. Conforme aux principes du droit civil. À privilégier. |
| « La responsabilité du sous-traitant est plafonnée à 12 mois d'honoraires versés au titre du contrat. » | Très protectrice mais souvent refusée par les grands donneurs d'ordre. |
La rédaction de cette clause détermine directement le sinistre maximum possible pour le centre d'appels. Et donc le niveau de plafond RC Pro à souscrire. Sur un contrat à 200 K€/an, une clause sans plafond expose à plusieurs millions d'euros ; un plafonnement à 12 mois ramène l'enveloppe maximale à 200 K€.
Notre check-list de relecture avant signature
Avant de signer un DPA proposé par un donneur d'ordre, parcourez systématiquement ces 8 points :
- Les 11 clauses obligatoires de l'article 28 sont-elles toutes présentes ?
- Le délai de notification d'une violation est-il réaliste (24h minimum, idéalement 48h) ?
- La liste des sous-traitants ultérieurs autorisés couvre-t-elle bien votre stack technique réelle ?
- Les transferts hors UE sont-ils encadrés par des clauses contractuelles types ?
- La clause d'audit privilégie-t-elle le rapport indépendant aux visites physiques ?
- La responsabilité financière est-elle plafonnée et limitée aux manquements imputables ?
- Le sort des données en fin de contrat est-il chiffré (délai de restitution, format, certificat de destruction) ?
- Une clause de coopération en cas de demande d'exercice de droits prévoit-elle des délais réalistes ?
Pour découvrir comment ces clauses interagissent avec votre couverture assurance, consultez la page métier centre d'appels.
Questions fréquentes
L'article 28 RGPD ne l'impose pas. Le DPA peut être une annexe ou un chapitre du contrat principal de prestation, du moment qu'il contient les 11 clauses obligatoires et qu'il est signé par les deux parties. La pratique majoritaire est l'annexe séparée, plus simple à mettre à jour.
Un DPA-cadre suffit s'il décrit suffisamment précisément les finalités et catégories de données traitées. Pour des donneurs d'ordre qui lancent des campagnes très différentes, mieux vaut prévoir un DPA-cadre complété par des bons de commande qui précisent finalité et catégories de personnes concernées.
L'article 28.3.b RGPD impose au sous-traitant de s'assurer que les personnes autorisées à traiter les données s'engagent à la confidentialité. En pratique, cela passe soit par une clause de confidentialité renforcée dans le contrat de travail, soit par une charte informatique et données personnelles signée individuellement.
C'est rare mais cela arrive avec des PME peu sensibilisées. Le centre d'appels ne peut pas démarrer la prestation : il serait lui-même en infraction. La bonne pratique est de proposer un modèle pré-rempli (la CNIL en met un à disposition) pour simplifier la signature.
Elle reste opposable entre les parties si elle a été signée librement, sauf si elle est manifestement abusive ou contraire à une disposition d'ordre public. En revanche, vis-à-vis de la CNIL, c'est le RGPD qui prime : une clause qui exonérerait le sous-traitant d'une obligation RGPD n'aurait aucun effet sur les sanctions administratives possibles.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Centre d'appels / téléprospection — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Centre d'appels / téléprospection →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.