Faut-il un contrat de sous-traitance pour votre outil de formulaires ?

« Existe-t-il un contrat de sous-traitance ? » est l'une des premières questions que les achats ou la conformité posent à un fournisseur de formulaires, et elle mérite mieux que « oui, voici un PDF ». Version courte : si un outil stocke ou transmet des réponses pour votre compte, il est votre sous-traitant, vous êtes le responsable du traitement, et cette relation exige un contrat. Version longue et plus utile : l'exigence suisse est nettement plus mince que l'exigence européenne, la plupart des organisations suisses relèvent des deux régimes à la fois, et un contrat signé couvre moins de risques réels que ne le croit la personne qui fait circuler le parapheur.

Cet article est le complément pratique de notre guide de conformité nLPD pour les formulaires en ligne. Celui-ci couvre l'ensemble des obligations ; celui-là creuse le seul document que tout le monde réclame, et l'écart entre ce qu'il dit et ce qu'il accomplit.

Qu'est-ce qu'un contrat de sous-traitance et comment se nomme-t-il en Suisse ?

C'est le contrat qui encadre le traitement de données personnelles par un prestataire agissant sur vos instructions. Les dénominations varient selon la juridiction et la langue, ce qui constitue en soi une source d'erreurs dans les achats suisses, où un même document doit convaincre des relecteurs dans quatre langues :

• FR — contrat de sous-traitance, parfois accord de sous-traitance ; le prestataire est le sous-traitant et vous êtes le responsable du traitement.
• EN — data processing agreement (DPA), parfois data processing addendum, d'où l'abréviation commune aux deux.
• DE (usage européen) — Auftragsverarbeitungsvertrag, systématiquement abrégé en AVV ; c'est le terme que cherchent les acheteurs germanophones.
• DE (texte suisse) — la nLPD nomme la partie Auftragsbearbeiter et non Auftragsverarbeiter : le terme suisse rigoureux est donc Auftragsbearbeitungsvertrag.
• IT — contratto sul trattamento dei dati ; la nLPD y nomme le prestataire responsabile del trattamento et vous titolare del trattamento.

Faut-il un contrat de sous-traitance pour votre outil de formulaires ?

Presque certainement oui. Le critère n'est ni la taille de votre organisation ni la sensibilité des données, mais la structure de la relation. L'art. 5 let. j nLPD définit le responsable du traitement comme la personne qui décide de la finalité et des moyens du traitement ; la let. k définit le sous-traitant comme celle qui traite des données personnelles pour le compte du responsable. Vous avez choisi les questions, vous décidez à qui servent les réponses, vous décidez de leur suppression. Vous êtes donc responsable du traitement de chaque envoi, y compris sur une offre gratuite.

Quand l'outil n'est pas du tout votre sous-traitant

Il existe une exception importante, et c'est la mauvaise nouvelle plutôt que la bonne. Un prestataire qui utilise les données à ses propres fins — profilage des participants, entraînement de modèles sur les envois, enrichissement d'un graphe publicitaire, revente d'analyses agrégées — n'agit pas, pour ces finalités, sur vos seules instructions. Dans cette mesure il est lui-même responsable du traitement, et ce que vous faites n'est pas une délégation mais une communication de données personnelles à un tiers : autre base légale, autre mention dans la déclaration de confidentialité, autre conversation avec les personnes qui répondent. C'est l'un des coûts concrets derrière notre article sur le coût caché des outils de formulaires gratuits : si le service est gratuit, c'est souvent parce que le traitement n'est pas purement pour votre compte.

Les sous-traitants cachés derrière l'outil de formulaires

La plateforme de formulaires est rarement seule en scène. Une chaîne typique comprend aussi un service d'envoi de courriels qui transporte la notification contenant les réponses, un stockage d'objets pour les fichiers téléversés, un tableur ou un CRM vers lequel on exporte, et de plus en plus un fournisseur d'IA derrière une fonction de résumé ou de traduction. Chacun est soit un sous-traitant ultérieur de votre fournisseur, soit directement votre sous-traitant. La question n'est pas « le fournisseur m'a-t-il envoyé un PDF » mais « chaque acteur qui touche ces données est-il couvert par quelque chose ».

Ce qu'exige réellement l'art. 9 nLPD

Moins que ce à quoi on s'attend, et la surprise va généralement dans le sens du « c'est vraiment tout ? ». L'art. 9 al. 1 nLPD permet de déléguer le traitement à un sous-traitant par contrat ou par la législation, pour autant que les données soient traitées uniquement comme le responsable serait lui-même en droit de le faire et qu'aucune obligation légale ou contractuelle de garder le secret ne l'interdise. L'art. 9 al. 2 impose au responsable de s'assurer en particulier que le sous-traitant est en mesure de garantir la sécurité des données. L'art. 9 al. 3 exige l'autorisation préalable du responsable avant toute délégation ultérieure à un tiers. L'art. 9 al. 4 permet au sous-traitant d'invoquer les mêmes motifs justificatifs que le responsable.

C'est toute la disposition. Le droit suisse ne contient aucune liste légale de clauses obligatoires ni aucune exigence expresse de forme écrite : la délégation peut en principe reposer sur un contrat ordinaire. N'y voyez pas l'autorisation de se passer du document. L'art. 61 let. b nLPD punit sur plainte, d'une amende pouvant atteindre 250 000 francs prononcée contre la personne physique responsable, le fait de confier le traitement à un sous-traitant sans remplir les conditions de l'art. 9 al. 1 et 2. Lorsqu'une autorité de surveillance ou une partie adverse demande comment vous vous êtes assuré de la sécurité des données, un contrat écrit assorti d'une annexe sécurité est la seule réponse qui tienne.

Ce qu'ajoute l'art. 28 RGPD — et pourquoi il gouverne le plus souvent

Le RGPD est nettement plus prescriptif. L'art. 28 par. 3 exige un contrat liant le sous-traitant, définissant l'objet et la durée du traitement, sa nature et sa finalité, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et droits du responsable — et imposant huit devoirs précis au sous-traitant. L'art. 28 par. 9 exige l'écrit, y compris sous forme électronique. L'art. 28 par. 2 encadre les sous-traitants ultérieurs, et l'art. 28 par. 4 rend le premier sous-traitant pleinement responsable devant vous de leurs manquements.

La plupart des organisations suisses ne peuvent pas renvoyer cela au voisin. Si votre formulaire s'adresse à des personnes situées dans l'UE — une inscription à un événement ouverte au-delà de la frontière, une page carrières, une enquête auprès de clients allemands ou français — le RGPD peut s'appliquer directement, en parallèle de la nLPD, par l'effet de son critère de ciblage. La conséquence pratique est simple : rédigez selon l'art. 28 et l'art. 9 est satisfait comme sous-ensemble. Un document, deux régimes. Notre comparaison RGPD / nLPD pour les données de formulaires traite des autres points de divergence.

Que doit contenir le contrat ? Une checklist

Passez le document d'un fournisseur au crible de cette liste. Les six premiers points forment le noyau de l'art. 28 ; les suivants décident si le contrat vous sert réellement le jour venu ou s'il se contente d'exister dans le classeur.

1. Description du périmètre. Objet, durée, nature et finalité du traitement, catégories de données personnelles et de personnes concernées. Une formule passe-partout comme « données clients » signale une annexe jamais adaptée à un produit de formulaires — les fichiers téléversés et les champs libres méritent une mention propre.
2. Traitement sur instructions documentées uniquement, y compris pour tout transfert vers un pays tiers, avec obligation de vous avertir si le prestataire estime qu'une instruction viole la loi.
3. Confidentialité : toute personne autorisée par le prestataire à traiter les données est tenue à la confidentialité, contractuellement ou par la loi.
4. Mesures de sécurité, décrites assez concrètement pour être évaluées — chiffrement en transit et au repos, gestion des clés, contrôle d'accès, cloisonnement des clients, sauvegarde et restauration, fréquence des tests d'intrusion. « Mesures conformes aux standards du secteur » n'est pas une annexe sécurité.
5. Sous-traitants ultérieurs : nommés ou listés, avec un mécanisme de notification des changements et un droit d'opposition.
6. Assistance : demandes des personnes concernées, incidents de sécurité, analyses d'impact — avec des délais de réaction énoncés.
7. Suppression ou restitution en fin de contrat, à votre choix, couvrant les sauvegardes et indiquant leur durée de rétention. Demandez explicitement combien de temps des réponses supprimées survivent dans les sauvegardes.
8. Droits d'audit et d'information, et ce que le prestataire propose en pratique à la place d'un audit sur site — un rapport à jour, un périmètre de certification, un questionnaire de sécurité rempli.
9. Notification des violations, avec un délai qui vous laisse tenir le vôtre. L'art. 24 al. 1 nLPD impose d'annoncer au PFPDT dans les meilleurs délais lorsqu'un risque élevé est probable ; l'art. 33 RGPD vous laisse 72 heures. Un prestataire qui promet une notification « dans les meilleurs délais » et rien d'autre a transféré son problème sur votre horloge.
10. Lieux de traitement et base juridique de tout transfert à l'étranger — question distincte de ce contrat, que notre guide des transferts à l'étranger traite entièrement.
11. Droit applicable et for. Pour un responsable suisse, le droit suisse et un for suisse valent la négociation : c'est précisément l'un des acquis concrets des contrats-cadres suisses face aux grands fournisseurs.
12. Responsabilité et ses exclusions. Regardez ce que devient le plafond de responsabilité lorsque le manquement est un manquement à la protection des données ; un plafond fixé à un mois d'abonnement fait des droits d'audit ci-dessus le seul remède réel.

Les devoirs que le droit suisse impose directement au prestataire

Voici la vraie particularité suisse, que ni l'une ni l'autre partie n'évoque d'ordinaire en négociation : plusieurs devoirs s'imposent au sous-traitant par l'effet de la loi, que votre contrat les répète ou non. Selon l'art. 8 nLPD, le responsable et le sous-traitant assurent une sécurité adéquate par des mesures techniques et organisationnelles. L'ordonnance rend cela concret pour les deux :

• Art. 1 OPDo — le responsable et le sous-traitant doivent déterminer le besoin de protection des données et définir les mesures appropriées au risque, apprécié selon des critères énoncés.
• Art. 2 OPDo — les mesures doivent assurer confidentialité, disponibilité, intégrité et traçabilité.
• Art. 3 OPDo — des contrôles précis sont nommés : contrôle de l'accès aux données, contrôle de l'accès aux locaux, contrôle des utilisateurs, et d'autres mesures pour la disponibilité et l'intégrité.
• Art. 4 OPDo — la journalisation de l'enregistrement, de la modification, de la lecture, de la communication, de l'effacement et de la destruction est requise en cas de traitement automatisé à grande échelle de données sensibles ou de profilage à risque élevé, lorsque les mesures préventives ne suffisent pas.
• Art. 5 OPDo — le responsable privé et son sous-traitant privé doivent établir un règlement de traitement pour les traitements automatisés lorsqu'ils traitent des données sensibles à grande échelle ou pratiquent un profilage à risque élevé.
• Art. 12 al. 3 nLPD — le sous-traitant tient son propre registre des activités de traitement, indiquant son identité et la vôtre, les catégories de traitements effectués pour votre compte, ses mesures de sécurité et les transferts à l'étranger.
• Art. 24 al. 3 nLPD — le sous-traitant annonce au responsable, dans les meilleurs délais, toute violation de la sécurité des données. Ce devoir est légal, pas seulement contractuel.

Sous-traitants ultérieurs : l'annexe que tout le monde accepte sans la lire

L'art. 9 al. 3 nLPD exige l'autorisation préalable du responsable avant qu'un sous-traitant transmette le travail. L'art. 28 par. 2 RGPD admet une autorisation spécifique ou générale ; lorsqu'elle est générale, le prestataire doit vous informer des ajouts ou remplacements envisagés afin que vous puissiez vous y opposer. En pratique, les outils de formulaires hébergés sont assemblés à partir des services d'autrui, si bien que la liste n'est jamais vide : infrastructure cloud, stockage d'objets, courriel transactionnel, supervision des erreurs, billetterie de support — et, dernier arrivé, un fournisseur de modèle derrière toute fonction d'IA.

Le schéma conforme n'a rien de spectaculaire : accepter l'autorisation générale, télécharger la liste des sous-traitants ultérieurs le jour de la signature, la ranger avec le contrat et s'abonner aux notifications de changement. Garder la copie établit ce que vous avez approuvé ; sans elle, « nous avons autorisé la liste » renvoie à un document qui a changé depuis. Le schéma défaillant est tout aussi constant : personne ne lit la liste, une fonction d'IA sort dix-huit mois plus tard, les envois commencent à atteindre un fournisseur de modèle dans une autre juridiction, et aucune pièce du dossier n'atteste que quiconque y ait consenti.

Ce qu'un contrat signé n'achète pas

C'est la section la plus importante, car le contrat de sous-traitance est l'artefact de conformité qu'on prend le plus volontiers pour une solution. Il répartit les responsabilités entre deux entreprises. Il ne change rien à ce qui est techniquement possible, et quatre écarts en particulier survivent à toute signature :

• Il n'empêche pas le prestataire de lire vos envois. Si les réponses sont stockées sous une forme que le prestataire peut déchiffrer, le personnel de support, les administrateurs, les systèmes automatisés et quiconque les compromet peuvent lire le contenu. Le contrat en fait une violation contractuelle, non une impossibilité. Le chiffrement au repos n'y change rien, puisque le prestataire détient les clés.
• Il ne libère d'aucun secret professionnel. L'art. 9 al. 1 let. b interdit déjà la délégation lorsque le droit du secret s'y oppose, et l'art. 321 CP vous lie personnellement, quoi qu'ait signé votre fournisseur.
• Il ne rend pas licite un transfert à l'étranger. La question de la sous-traitance et celle du transfert sont deux tests distincts. Un contrat art. 28 impeccable avec un prestataire situé dans un État sans protection adéquate exige toujours des clauses types reconnues par le PFPDT et une analyse de transfert.
• Il ne déplace pas votre responsabilité aux yeux de la personne concernée. Vous restez responsable du traitement. Une clause d'indemnisation peut vous aider ensuite dans le recours contre le fournisseur ; elle ne répond ni à la personne dont les données ont été exposées, ni à l'autorité de surveillance.

Un contrat de sous-traitance consigne qui répond de quoi. Il ne peut pas consigner qui est capable de quoi : cela se décide dans l'architecture, bien avant que quiconque saisisse un stylo.

Le chiffrement de bout en bout supprime-t-il le besoin de contrat ?

Non — et tout fournisseur qui prétend le contraire en fait trop, nous compris. Même avec un chiffrement à connaissance nulle, le prestataire traite des données personnelles pour votre compte : données de compte, métadonnées de formulaire, horodatages des envois, journaux au niveau des adresses IP, et le texte chiffré lui-même, qui reste une donnée personnelle tant que quelqu'un en détient une clé. Vous restez responsable du traitement, le prestataire reste sous-traitant, l'art. 9 nLPD et l'art. 28 RGPD s'appliquent toujours, et vous devez toujours le registre de l'art. 12 et l'information de l'art. 19.

Ce que le chiffrement de bout en bout change, ce n'est pas l'existence du contrat mais la taille du risque qu'on lui demande de porter. Lorsque le prestataire ne détient aucune clé utilisable, la confidentialité des réponses ne repose plus sur la discipline de son personnel, ses contrôles d'accès ou le comportement de ses sous-traitants. L'obstacle de l'art. 9 al. 1 let. b — une obligation de secret interdisant la délégation — trouve une réponse architecturale, puisqu'il n'y a aucun secret à révéler. Et l'analyse des violations se déplace : un incident chez le prestataire expose du texte chiffré, ce qui change matériellement la discussion de notification sous l'art. 24 nLPD, comme l'expose notre article sur la notification des violations et le chiffrement.

Comment obtenir un contrat de sous-traitance et le garder utile

Obtenir le document est la moitié facile. Le garder utile — trouvable, à jour et cohérent avec ce que vous avez réellement déployé — voilà ce qui échoue lors d'un contrôle deux ans plus tard.

Signaux d'alerte dans le contrat d'un fournisseur

• Aucun contrat sur l'offre gratuite ou d'entrée de gamme. Fréquent, et rédhibitoire si vous y collectez les données personnelles d'autrui.
• L'annexe sécurité tient en un paragraphe d'adjectifs. « À l'état de l'art », « de niveau bancaire », « chiffrement militaire » : rien de tout cela n'est une mesure.
• Pas de liste de sous-traitants ultérieurs, ou une liste sans engagement de notifier les changements.
• Silence sur la suppression, ou suppression promise pour le système de production sans un mot sur les sauvegardes.
• Notification des violations « dès que raisonnablement possible » sans délai maximal, alors que votre propre horloge court immédiatement sous l'art. 24 nLPD et l'art. 33 RGPD.
• Droits de modification unilatérale portant sur tout le contrat, annexe sécurité comprise, sans préavis.
• Un produit commercialisé en Suisse dont le contrat ne mentionne que le RGPD. Ce n'est pas fatal — la rédaction art. 28 couvre l'art. 9 — mais cela indique que la revue suisse n'a jamais eu lieu, et l'art. 61 nLPD est une disposition suisse.

En résumé : faut-il un contrat de sous-traitance pour votre outil de formulaires ?

Oui. Tout outil de formulaires hébergé traite des données personnelles pour votre compte : il est donc votre sous-traitant et le contrat est une obligation légale — sous l'art. 9 nLPD, avec une amende pouvant atteindre 250 000 francs à la clé, et sous l'art. 28 RGPD, avec une liste de clauses obligatoires dès que le régime européen vous atteint. Rédigez selon l'art. 28, conservez la liste des sous-traitants, classez le contrat avec votre registre des traitements et revoyez-le quand les fonctionnalités changent.

Puis soyez lucide sur ce que vous avez acheté. Le contrat établit qui répond de quoi lorsque les choses tournent mal. Il ne détermine pas qui peut lire vos envois : cela se décide dans le modèle de chiffrement, et aucune formulation contractuelle n'y change quoi que ce soit. Pour des données de formulaire ordinaires, un contrat solide avec un prestataire compétent est une réponse proportionnée. Pour des envois couverts par un secret professionnel, ou partout où l'exigence honnête est que personne hors de votre organisation ne puisse jamais lire le contenu, le contrat est la deuxième question et l'architecture la première.