En 2026, un contrat conforme au RGPD doit inclure certaines obligations essentielles : définition des finalités, engagements fermes de confidentialité, modalités opérationnelles pour les droits des personnes concernées, règles de conservation, d'archivage et de réversibilité. Ces exigences s'appliquent à tout responsable de traitement et sous-traitant qui manipule des données personnelles.
La signature électronique joue un rôle central dans la traçabilité et la preuve de consentement exigées par le règlement général sur la protection des données. Elle garantit l'authenticité des instructions documentées et facilite la constitution d'un dossier de preuve en cas de contrôle CNIL.
Voici 6 clauses obligatoires à respecter pour protéger correctement les données personnelles de vos utilisateurs et assurer la conformité de vos contrats avec le cadre réglementaire européen.
Résumé en bref :
- Définition : Le RGPD impose 6 clauses contractuelles obligatoires pour encadrer le traitement des données personnelles entre responsable de traitement et sous-traitant, conformément à l'article 28 du règlement.
- Finalités : Chaque contrat doit définir précisément les finalités, les bases légales et les catégories de données à caractère personnel traitées, avec des instructions documentées claires.
- Sécurité : Des mesures techniques et organisationnelles (chiffrement, contrôle d'accès, journalisation) doivent être contractualisées pour garantir l'intégrité et la confidentialité.
- Droits des personnes : Le contrat doit prévoir les modalités d'exercice des droits (accès, rectification, effacement) dans un délai de 30 jours pour chaque personne concernée.
- Transferts hors UE : Tout transfert international nécessite un encadrement via clauses contractuelles types (SCC) et des mesures complémentaires appropriées.
- Incidents : Le sous-traitant doit notifier toute violation de données personnelles au responsable de traitement sous 24h maximum, avec un plan de remédiation documenté.
Qu’est-ce que le RGPD ?
Définition
Le RGPD (Règlement général sur la protection des données) est le cadre juridique européen qui encadre la collecte et l'utilisation des données à caractère personnel . L'objectif est de protéger chaque personne concernée par la collecte, responsabiliser les organisations et harmoniser les règles lors des traitements au sein de l'UE et de l'EEE.
Le règlement s'inscrit dans la continuité de la Loi informatique et libertés française et s'articule avec d'autres textes européens comme le règlement eIDAS n°910/2014 pour les services de confiance numériques.
Le règlement concerne deux types d'acteurs :
- Le responsable de traitement (RT) : détermine les finalités et moyens du traitement.
- Le sous-traitant (ST) : traite les données pour le compte du RT, sur instructions documentées (contrat art. 28) et pour l'exécution des finalités convenues .
Le périmètre d'action du RGPD s'étend à toute opération sur des données personnelles (collecte, conservation, transmission, suppression), par des entités établies dans l'UE ou ciblant des résidents de l'UE, y compris organismes publics et entreprises privées, avec des mesures suffisantes au regard des risques.
Principes clés
Licéité, loyauté, transparence
Chaque traitement doit reposer sur une base légale clairement identifiée, être mené de façon loyale et faire l'objet d'une information compréhensible et accessible aux personnes concernées.
Limitation des finalités
Les données ne peuvent être collectées et utilisées que pour des objectifs précis, explicites et légitimes. Ces objectifs doivent être définis avant la collecte et non modifiés ensuite sans nouvelle base légale ni instructions du responsable traitant.
Minimisation des données
Seules les données strictement nécessaires à l'objectif poursuivi doivent être collectées et traitées, en évitant toute collecte excessive et en garantissant des mesures suffisantes.
Exactitude des données
Les données personnelles doivent être tenues à jour et corrigées sans délai lorsqu'elles sont inexactes, incomplètes ou obsolètes, dans le respect des exigences du règlement général pour la protection des données.
Limitation de la conservation
Les données ne doivent être conservées que pendant la durée nécessaire à la finalité prévue, puis supprimées, anonymisées ou archivées selon des règles clairement établies.
Intégrité et confidentialité
L'organisme doit protéger les données contre les accès non autorisés, les pertes ou les altérations, en mettant en place des mesures techniques et organisationnelles adaptées (contrôles d'accès, chiffrement, journalisation, gestion des incidents), et en démontrant l'efficacité de l'exécution.
Responsabilisation (accountability)
Le responsable de traitement doit être en mesure de démontrer à tout moment sa conformité, au moyen de politiques, registres, analyses d'impact le cas échéant, contrats de sous-traitance, audits et preuves documentées.
Respect des droits des personnes
Les processus internes doivent permettre d'exercer effectivement les droits (accès, rectification, effacement, opposition, limitation, portabilité) dans les délais légaux, avec une réponse traçable et documentée par le RT et ses sous-traitants, y compris en contexte de travail.
Les cas où le RGPD s’applique
Le RGPD s'applique dès qu'il y a des données personnelles liées à une personne identifiée ou identifiable. Voici une liste non exhaustive :
- Ressources humaines : paie, recrutement, évaluations, badges, contrats de travail .
- Relation clients/prospects : CRM, support, facturation, newsletters.
- SaaS / prestataires (sous-traitance) : hébergement, maintenance, analytics rendus pour le compte d'un client, sur instructions du RT.
- Sécurité/IT : logs, vidéoprotection, contrôle d'accès, gestion des incidents.
- Marketing digital : formulaires, tracking (cookies soumis au cadre ePrivacy mais traitement = RGPD), segmentation.
- Transferts hors UE/EEE : hébergeur ou outil avec serveurs/collaborateurs hors EEE.
- Catégories particulières : santé, biométrie, opinions… (encadrements renforcés).
- Secteur public / marchés publics : obligations accrues de traçabilité, audit, documentation.
Les exceptions :
- Activités strictement personnelles ou domestiques (sans diffusion large).
- Données anonymisées de manière irréversible.
Bon à savoir
Dès qu'un tiers traite des données pour vous, un contrat de sous-traitance (DPA) est obligatoire (art. 28) avec : instructions, sécurité, assistance aux droits, transferts, fin de contrat (restitution/suppression), droit d'audit et traçabilité, afin d'assurer l'exécution suffisante des exigences et le respect des contrôles CNIL .
Les 6 clauses obligatoires pour 2026
Finalités, bases légales et périmètre des données
L'objet de cette clause est d'empêcher l'extension de finalité, cadrer la collecte et répartir les responsabilités. Cela signifie que les organismes doivent collecter les données personnelles dans un but prévu à l'avance, et ne pas sortir de ce cadre.
Les éléments à insérer dans le contrat :
- Finalités précises du traitement.
- Bases légales correspondantes.
- Catégories de données et personnes concernées.
- Interdiction d'usage secondaire sans autorisation écrite du RT (ou nouvelle base légale).
- Pour la sous-traitance : instructions documentées du RT et obligation de s'y conformer.
Exemple de clause rédigée :
"Le Sous-traitant traite, pour le compte du Responsable de traitement, les données d'identification et de contact des clients finaux aux seules fins de gestion de la relation contractuelle et de facturation, sur la base légale d'exécution du contrat. Tout autre usage est interdit sans instruction écrite préalable du responsable de traitement."
Les erreurs à éviter :
- Finalités floues ("amélioration du service" non définie).
- Catégories de données non listées.
- Absence d'interdiction d'usage secondaire.
Attention :
Une finalité mal définie ou trop vague (ex. : "amélioration du service") rend la clause invalide et expose l'entreprise à des sanctions CNIL pouvant atteindre 4% du chiffre d'affaires mondial.
Confidentialité, sécurité et contrôle d’accès
Il s'agit de réduire les risques d'accès non autorisé, de fuite ou d'altération (principe d'intégrité / confidentialité).
Les éléments à insérer dans le contrat :
- Obligation de confidentialité (y compris sous-traitants ultérieurs).
- Mesures techniques et organisationnelles (contrôles d'accès, chiffrement en transit/au repos, journalisation, gestion des vulnérabilités, durcissement, tests).
- Gestion des habilitations (moindre privilège, révocation).
- Exigence de formation sécurité du personnel.
- Preuves : politique de sécurité, rapports d'audit, attestations (le cas échéant).
Exemple de clause rédigée :
"Le Prestataire met en œuvre des mesures conformes à l'état de l'art, notamment contrôle d'accès nominatif, chiffrement TLS en transit et chiffrement au repos des bases de données, journalisation horodatée, revue trimestrielle des habilitations et tests de sécurité périodiques."
Les erreurs à éviter :
- Formules vagues ("meilleures pratiques" sans minimum exigible).
- Oubli de la gestion des habilitations et des journaux.
- Pas de traçabilité demandée ni de mise en œuvre opérationnelle.
Droits des personnes et modalités de réponse
L'objectif est de garantir l'effectivité des droits (accès, rectification, effacement, opposition, portabilité, limitation) pour chaque personne concernée, en respect des exigences et délais légaux.
À insérer dans le contrat :
- Délais et canaux de traitement des demandes (ex. 30 jours).
- Répartition des rôles RT/ST (qui reçoit, qui exécute, qui répond).
- Obligation d'assistance du ST (accès, export, suppression).
- Traçabilité des demandes et des réponses.
Exemple d'extrait rédigé :
"Le Prestataire assiste le Responsable de traitement pour répondre aux demandes d'exercice de droits dans un délai maximum de 30 jours, en fournissant les exports, rectifications ou suppressions nécessaires, et conserve la trace des opérations réalisées."
Les erreurs à éviter :
- Pas de délai contractuel.
- Pas de log des demandes.
- Ambiguïté RT/ST (risque de non-réponse).
Conservation, archivage et suppression/restitution en fin de contrat
La clause vise à éviter la conservation indue, organiser la sortie de contrat et la restitution / suppression.
À insérer dans le contrat :
- Durées de conservation par finalité (ou renvoi à une politique jointe).
- Modalités d'archivage (actif/intermédiaire) et de purge.
- Processus de réversibilité : export standard, assistance, délais, coûts, format, destruction certifiée.
- Preuves d'effacement (certificat/signalement de purge).
Exemple d'extrait rédigé :
"À l'issue du contrat, le Prestataire fournit au Responsable de traitement un export complet des données dans un format interopérable convenu, puis procède à leur suppression irréversible dans un délai de 30 jours et délivre un certificat d'effacement."
Les erreurs à éviter :
- Absence de format d'export ou de délai.
- Réversibilité non chiffrée/non décrite.
- Effacement non prouvé.
Important :
La réversibilité doit être anticipée dès la signature du contrat. Sans clause claire sur le format d'export et les délais, vous risquez de perdre l'accès à vos données ou de subir des coûts supplémentaires.
Transferts hors UE/EEE et encadrements contractuels
Il s'agit de sécuriser tout transfert international (légal, maîtrisé, traçable), dans l'Union européenne et l'espace économique européen, avec des mesures suffisantes de protection.
À insérer dans le contrat :
- Cartographie des pays et entités destinataires.
- Mécanismes d'encadrement (clauses types/SCC, BCR, dérogations) et mesures supplémentaires si nécessaire.
- Obligation d'information du RT en cas de changement (nouveau pays/sous-traitant).
- Droit de veto/résiliation si l'encadrement devient insuffisant.
Exemple d'extrait rédigé :
"Tout transfert vers un pays tiers s'effectue sur la base de Clauses Contractuelles Types en vigueur, complétées par des mesures techniques appropriées. Le Prestataire notifie préalablement tout nouveau destinataire ou pays afin de permettre l'évaluation et, le cas échéant, l'opposition du responsable de traitement."
Les erreurs à éviter :
- "Transferts possibles" sans encadrement clair.
- Pas de notification préalable d'un nouveau sous-traitant/pays.
- Oublier les mesures complémentaires (techniques/contractuelles).
A noter :
Les clauses contractuelles types (SCC) ont été mises à jour en 2021 par le Comité Européen de la Protection des Données (CEPD). Vérifiez que vos contrats utilisent bien la version en vigueur, disponible sur le site de la Commission européenne.
Incidents et violations de données : notification, remédiation et audit
Les acteurs doivent réagir vite et limiter l'impact en cas d'incident (obligation de notification au RT, parfois à l'autorité et aux personnes).
À insérer dans le contrat :
- Définition d'incident et de violation.
- Délai de notification au RT (exemple : « sans retard indu » et au plus tard 24h après découverte).
- Informations minimales à fournir (nature, catégories/volume, impacts, mesures prises, points de contact).
- Plan de remédiation et coopération (forensics, corrections, communication).
- Droit d'audit du RT ou de tiers mandaté (périodicité, périmètre, confidentialité).
- Tenue d'un registre des incidents et preuve de l'exécution des plans.
Exemple d'extrait rédigé :
"En cas de violation de données, le Prestataire notifie le responsable de traitement sans retard indu et au plus tard dans les 24 heures suivant sa découverte, en décrivant la nature de l'incident, les catégories de données et de personnes affectées, les conséquences probables et les mesures de remédiation mises en œuvre. Le responsable de traitement dispose d'un droit d'audit annuel sur les mesures de sécurité et la gestion des incidents."
Les erreurs à éviter :
- Pas de délai chiffré.
- Notification "best effort" sans contenu minimum.
- Droit d'audit purement théorique (sans modalités).
Tableau récapitulatif
Clause | Où l’inclure en priorité | Preuve / Indicateur |
|---|---|---|
Finalités, bases légales, périmètre | DPA (sous-traitance), SaaS, contrats clients, RH | Contrat/DPA mentionnant finalités et bases, registre des traitements à jour |
Confidentialité, sécurité, contrôle d’accès | Tous contrats critiques (SaaS, DPA, marchés publics, RH) | Annexe sécurité, journalisation, rapports d’audit/pentest, politique habilitations, démonstrations d’exécution |
Droits des personnes et assistance RT | DPA, SaaS B2C, RH | Registre des demandes des personnes concernées, exports fournis, délais respectés (≤30 jours) |
Conservation, archivage, réversibilité | DPA, SaaS, infogérance, RH | Politique de conservation, certificats d’effacement, preuve d’export (format/interop), mise en oeuvre des obligations |
Transferts hors UE/EEE et encadrement | DPA, SaaS globaux, cloud | Clauses types (SCC) signées, TIA/évaluations, registre des pays/destinataires |
Incidents, notifications et droit d’audit | Tous contrats critiques | Registre incidents, preuves de notification (≤24 h), rapports d’audit, respect des exigences de la CNIL |
Sécurisez vos contrats RGPD avec Yousign
Yousign vous accompagne avec un dossier de preuve automatique
Pourquoi choisir Yousign (bientôt Youtrust) pour sécuriser vos contrats RGPD ?
Dossier de preuve et traçabilité
Yousign centralise vos contrats, avenants et DPA et associe à chaque fichier un journal d'audit (horodatage, identité du signataire, empreinte). En cas de contrôle CNIL, vous démontrez rapidement qui a signé, quand et sur quelle version. La personne concernée (salarié, client, partenaire) peut être identifiée sans ambiguïté et la chaîne de mise à jour des documents reste traçable .
Notre horodatage qualifié est conforme à l'article 41 du règlement eIDAS n°910/2014, garantissant ainsi une valeur probante maximale pour vos contrats et vos instructions documentées.
Modèles, workflows et contrôles
L'outil permet de partager des modèles validés par le DPO et le juridique (clauses, annexes techniques, DPA), d'ajouter des champs obligatoires et de verrouiller les étapes critiques (relecture, approbation, signature). Résultat : des clauses suffisantes et homogènes à l'échelle de l'entreprise, moins d'oublis, plus de cohérence, et des services métiers autonomes avec un cadre sécurisé .
Vous pouvez également déployer des workflows de signature pour vos employés afin de standardiser vos processus RH et contractuels .
Intégration dans vos outils (API)
Grâce à l'API Yousign, vous déclenchez la signature depuis vos outils (CRM, ERP, RH) et rattachez automatiquement chaque contrat au dossier du traitement . Les statuts (envoyé, signé, expiré) alimentent vos tableaux de suivi DPO pour piloter les renouvellements, la réversibilité et les durées de conservation. La mise en production est progressive : vous commencez par un périmètre pilote, puis vous élargissez aux autres services.
Alignement réglementaire et “dossier de preuve”
Yousign (bientôt Youtrust) s'inscrit dans le cadre européen (eIDAS) et facilite la directive interne de l'entreprise : qui signe quoi, selon quel niveau de preuve, et comment archiver. Vous conservez en un seul endroit : contrats signés, DPA, certificats de signature, logs d'envoi et de relance. Un dossier de preuve immédiatement mobilisable pour le DPO et, au besoin, pour la CNIL .
Gains opérationnels mesurables
Avec Yousign, les cycles se raccourcissent grâce aux relances automatiques et à des signatures en quelques minutes. Les erreurs diminuent, car des champs obligatoires, des versions verrouillées et des parcours guidés encadrent l'exécution des traitements. Le DPO gagne en contrôle : visibilité en continu sur l'état des clauses critiques (sécurité, transferts, réversibilité) et sur les contrats à renouveler, afin de vérifier le respect des exigences et la protection de la personne concernée .
Checklist de déploiement du RGPD dans votre entreprise
- Rôles et responsabilités clairement définis (responsable de traitement / sous-traitant)
- Intégration des 6 clauses dans les modèles de contrats, validées par le juridique/DPO
- DPA standardisé avec annexes techniques (mesures de sécurité, transferts, audit)
- Processus d'exercice des droits opérationnel (canaux, délais, traçabilité des réponses)
- Politique de conservation formalisée avec modalités de réversibilité (export, suppression, certificat)
- Plan de gestion des incidents et de notification documenté (délais, contenu minimum, contacts)
- Dossier de preuve RGPD tenu à jour (contrats, DPA, journaux d'audit, registre des incidents)
Conclusion
Pour être conforme au règlement général pour la protection des données en 2026, votre entreprise doit autant prêter attention à la qualité des clauses qu'à la preuve de leur bonne exécution .
En standardisant vos modèles (DPA, annexes sécurité, transferts), en cadrant les rôles RT/ST et en organisant la réversibilité, vous réduisez les risques juridiques et opérationnels. Des prestataires de confiance certifiés comme Yousign vous permettent d'optimiser la traçabilité des documents, de créer des modèles et d'établir des dossiers de preuves solides.
Sécurisez vos contrats RGPD avec Yousign
Yousign simplifie la gestion de vos obligations RGPD
FAQ
Le DPA est-il obligatoire avec un prestataire (sous-traitant) ?
Oui, dès qu'il réalise des traitements pour votre compte : instructions documentées du responsable traitant (art. 28), objet du contrat clair et exécution conforme. L'absence de DPA constitue une violation du RGPD et expose à des sanctions CNIL .
Comment prouver la conformité en cas de contrôle CNIL ?
Conserver un dossier de preuve (contrats/DPA, journaux d'audit, registres). Il atteste la mise en œuvre des obligations et l'exécution des contrôles. Yousign vous aide à constituer ce dossier automatiquement grâce à la traçabilité complète de chaque signature .
Y a-t-il des spécificités pour les organismes publics et les contrats de travail
Oui : mêmes principes RGPD pour organismes publics et privés, avec des exigences accrues en marché public et précisions RH pour le contrat de travail . Les données personnelles des salariés (paie, évaluations, badges) nécessitent une attention particulière.
Quelle est la différence entre un responsable de traitement et un sous-traitant ?
Le responsable de traitement détermine les finalités et moyens du traitement (ex. : une entreprise qui collecte les données de ses clients). Le sous-traitant traite les données pour le compte du responsable, sur instructions documentées (ex. : un prestataire d'hébergement ou de CRM). Cette distinction est essentielle pour répartir les obligations contractuelles.
Combien de temps peut-on conserver les données personnelles dans un contrat ?
La durée de conservation doit être proportionnée à la finalité. Par exemple : 3 ans pour un prospect inactif, durée du contrat + 5 ans pour un client (délai de prescription commerciale conformément à la Loi informatique et libertés), durée légale pour les données RH (paie, contrat de travail). Chaque finalité doit avoir sa propre durée documentée.
Que risque une entreprise sans DPA conforme en 2026 ?
Absence de DPA = non-conformité à l'article 28 du RGPD. Risques : sanctions CNIL (jusqu'à 4% du CA mondial ou 20 millions d'euros), responsabilité en cas de violation de données, impossibilité de prouver la conformité lors d'un audit, et perte de confiance des clients et partenaires.
