Cloud RGPD contrat : ce que l'article 28 vous oblige à écrire

Signer un contrat avec un fournisseur cloud sans vérifier sa conformité au RGPD expose l'entreprise cliente à des sanctions, même si c'est le prestataire qui a fauté. Le cloud RGPD contrat n'est pas un simple document commercial : c'est la pièce juridique qui répartit les responsabilités entre le client et son hébergeur, et qui protège l'un comme l'autre en cas de contrôle de la CNIL ou de fuite de données.

Ce que l'article 28 du RGPD impose dans un contrat cloud

La CNIL le rappelle dans son guide de sécurité des données personnelles : entamer une prestation de sous-traitance sans avoir signé un contrat reprenant les exigences de l'article 28 du RGPD figure parmi les erreurs à ne pas commettre. Ce texte impose un écrit dès qu'un prestataire traite des données pour le compte d'un client, avec un contenu minimal strict.

Objet, durée, finalité : la base du contrat

Le contrat doit définir l'objet, la durée et la finalité du traitement, ainsi que le type de données et les catégories de personnes concernées. Selon le cabinet Kohen Avocats, dans un projet SaaS ou cloud, le client qui choisit l'outil pour gérer sa paie ou sa relation commerciale est en général responsable du traitement, tandis que l'éditeur ou l'hébergeur qui stocke les données pour son compte est sous-traitant. Cette qualification détermine qui répond de quoi devant l'autorité de contrôle.

Sécurité, notification d'incidents et confidentialité

La CNIL détaille, dans sa fiche « Gérer la sous-traitance », les clauses que doit contenir tout contrat de ce type :

• la répartition des responsabilités et des obligations de confidentialité des données confiées ;
• des contraintes minimales en matière d'authentification des utilisateurs ;
• les conditions de restitution et de destruction des données en fin de contrat ;
• les règles de gestion et de notification des incidents, avec une information du responsable de traitement dans les plus brefs délais en cas de violation de données ;
• l'assistance que doit fournir le sous-traitant pour garantir le respect des obligations de sécurité ;
• la revue régulière des mesures de sécurité et les conditions de leur révision.

L'avocat Eric Le Quellenec, du cabinet Alain Bensoussan Lexing, résumait l'apport du texte pour les contrats cloud :

« S'il n'entrera en vigueur qu'en mai 2018, il indique tout ce qui doit se trouver dans un contrat cloud », Eric Le Quellenec, avocat, directeur du département informatique conseil du cabinet Alain Bensoussan Lexing.

Localisation des données et transferts hors Union européenne

La CNIL recommande d'exiger l'indication claire des pays hébergeant les centres de données du prestataire, et de s'assurer d'une protection adéquate à l'étranger, notamment grâce à des clauses contractuelles types ou à des règles contraignantes d'entreprise (BCR). Elle met aussi en garde contre le recours à des services de cloud sans garantie sur la localisation géographique effective des données et sans vérification des formalités applicables aux transferts hors Union européenne.

Le Data Act change les règles pour les fournisseurs cloud

Depuis le 12 septembre 2025, la plupart des dispositions du règlement européen sur les données (Data Act) sont applicables, selon la CNIL. Ce texte complète le RGPD en interdisant notamment les clauses contractuelles abusives dans les contrats cloud, et prévoit qu'en cas de contradiction entre les deux textes, c'est le RGPD qui prévaut lorsque des données personnelles sont concernées.

Deux échéances à retenir pour 2027 :

• en janvier 2027, les bénéficiaires d'un service d'informatique en nuage devront pouvoir changer de fournisseur sans frais ;
• en septembre 2027, l'interdiction des clauses abusives s'appliquera aussi aux contrats conclus avant le 12 septembre 2025.

Concrètement, un client cloud doit désormais pouvoir changer de prestataire ou utiliser plusieurs services en même temps sans difficulté technique ou contractuelle. C'est un changement de rapport de force par rapport à la période où seuls les grands fournisseurs américains imposaient leurs conditions générales, comme le montrent les engagements contractuels publiés par Google Cloud pour son offre Workspace afin de rassurer ses clients européens sur le traitement de leurs données personnelles.

Qui est responsable de quoi selon le type de cloud

La répartition des obligations RGPD varie selon que l'entreprise achète de l'infrastructure brute (IaaS), une plateforme de développement (PaaS) ou un logiciel clé en main (SaaS). Le tableau ci-dessous résume les points de vigilance propres à chaque modèle.

Cette distinction rejoint les recommandations de la CNIL pour les entreprises qui envisagent de souscrire à des services de cloud : identifier le type de cloud pertinent pour le traitement envisagé, puis évaluer le niveau de protection assuré par le prestataire avant toute signature.

La checklist des clauses à vérifier avant de signer

Avant toute signature d'un contrat cloud impliquant des données personnelles, plusieurs vérifications s'imposent :

• l'existence d'un droit d'audit réel du client sur les mesures de sécurité du prestataire, et pas seulement une clause déclarative ;
• des pénalités contractuelles prévues en cas de non-respect des engagements de sécurité ;
• une clause de réversibilité qui organise concrètement la restitution des données dans un format structuré et couramment utilisé ;
• l'indication précise des pays où sont situés les centres de données et le recours à des clauses contractuelles types en cas de transfert hors Union européenne ;
• le chiffrement des données selon leur sensibilité, ou à défaut des procédures garantissant que le prestataire n'y accède pas sans nécessité ;
• la coopération du sous-traitant pour permettre à la personne concernée d'exercer ses droits d'accès, de rectification ou d'effacement ;
• l'adhésion du fournisseur à un code de conduite RGPD spécifique au cloud, une piste que la CNIL privilégie pour simplifier la vérification de conformité.

Le marché des prestations de mise en conformité RGPD reflète l'ampleur de ces enjeux contractuels : selon Mordor Intelligence, il était évalué à 4,16 milliards de dollars en 2026 et devrait atteindre 12,41 milliards de dollars d'ici 2031, porté notamment par la multiplication des audits et des contrats cloud à sécuriser.

Ce même souci de traçabilité contractuelle se retrouve du côté des fournisseurs d'intelligence artificielle générative accessibles en mode cloud, où les garanties varient fortement selon l'offre souscrite, comme le détaille notre guide sur les quatre offres de Claude face au RGPD.

Questions fréquentes

Un contrat cloud sans clause RGPD est-il valable ?

Le contrat peut exister juridiquement, mais son absence de clauses conformes à l'article 28 du RGPD constitue un manquement que la CNIL sanctionne. Elle cite explicitement, parmi les erreurs à éviter, le fait d'entamer une prestation de sous-traitance sans avoir signé un contrat reprenant ces exigences.

Qui est responsable en cas de fuite de données chez le prestataire cloud ?

C'est en général le responsable de traitement, c'est-à-dire le client qui a choisi le service, qui peut se voir infliger une sanction financière, la fuite de données ne dispensant pas l'entreprise cliente de ses propres obligations de vigilance dans le choix et le contrôle de son sous-traitant.

Que change le Data Act pour changer de fournisseur cloud ?

À partir de janvier 2027, les utilisateurs de services d'informatique en nuage devront pouvoir changer de fournisseur sans frais, selon la CNIL. L'objectif est de mettre fin aux coûts de sortie qui verrouillaient certains clients chez un seul prestataire.

Faut-il un contrat séparé pour chaque sous-traitant du sous-traitant ?

Les conditions d'intervention d'un sous-traitant du sous-traitant doivent être prévues dans le contrat principal, avec un engagement de confidentialité qui s'étend aux éventuels prestataires mobilisés en cascade par le fournisseur cloud.

Comment vérifier que les données restent en Europe ?

Le contrat doit indiquer clairement les pays qui hébergent les centres de données du prestataire. En cas de transfert hors Union européenne, la CNIL recommande le recours à des clauses contractuelles types ou à des règles contraignantes d'entreprise pour garantir une protection adéquate.