RGPD : chaque éditeur de dossier usager informatisé, logiciel de paie ou hébergeur cloud qui traite les données des personnes accompagnées pour le compte d’un ESMS est un sous-traitant, ce qui impose un contrat écrit et un contenu obligatoire précis. Cet article détaille, clause par clause, ce que le RGPD exige dans le contrat qui lie l’établissement à ses prestataires numériques, et ce que DPO, responsable SI et direction doivent vérifier avant de signer.

Les fondamentaux : qui est un sous-traitant numérique, et pourquoi un contrat écrit est obligatoire

Un éditeur de dossier usager informatisé, un éditeur de logiciel de facturation ou de paie, un hébergeur cloud ou un prestataire de maintenance à distance ont un point commun dès qu’ils accèdent aux données des personnes accompagnées : ils sont des sous-traitants au sens du RGPD. Selon la définition qu’en donne la CNIL sur la notion de sous-traitant, le sous-traitant est la personne physique ou morale qui traite des données pour le compte d’un autre organisme (le responsable de traitement), dans le cadre d’un service ou d’une prestation. Un ESMS qui confie l’hébergement de son dossier usager informatisé à un éditeur externe reste responsable de traitement ; l’éditeur, lui, endosse la qualité de sous-traitant, avec les obligations que cela implique. Cette distinction structure toute la RGPD en médico-social : protéger les données sensibles de vos usagers et conditionne le contenu du contrat à négocier avec chaque prestataire numérique.

Le RGPD ne laisse aucune place à l’oral ou aux conditions générales de vente non spécifiques : le contrat entre l’ESMS et son sous-traitant se présente sous une forme écrite, y compris en format électronique. Des CGV standard acceptées en ligne par un simple clic, sans annexe RGPD dédiée, ne suffisent donc pas à couvrir un éditeur de dossier usager informatisé ou un hébergeur cloud : le DPO doit pouvoir identifier un document contractuel unique — ou un avenant — qui reprend explicitement les clauses RGPD applicables aux sous-traitants.

L’enjeu dépasse la simple formalité. Si un éditeur ou un hébergeur s’écarte des instructions du contrat et décide lui-même des finalités et des moyens du traitement — par exemple en réutilisant les données des usagers pour entraîner un outil ou améliorer un produit sans autorisation —, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement, selon le règlement européen sur la protection des données. Le prestataire perd alors le bénéfice de sa qualité de sous-traitant et engage sa propre responsabilité, ce qui ne dispense pas l’ESMS de vérifier en amont que le contrat borne strictement les usages autorisés.

Cette vigilance contractuelle n’est pas qu’une contrainte juridique : elle s’inscrit dans le référentiel qualité des ESSMS lui-même. Le manuel d’évaluation de la HAS cite l’article 5 du Règlement général de la protection des données (RGPD) comme référence du critère consacré à la sécurisation des données, des dossiers et des accès, et pose comme exigence impérative que l’établissement garantisse la confidentialité et la protection des informations et données relatives à la personne accompagnée. Concrètement, cette garantie transite très largement par les logiciels métier et les hébergeurs auxquels l’ESMS a recours, ce qui explique pourquoi la Transformation numérique ESMS ne peut pas faire l’impasse sur l’audit contractuel de chaque prestataire numérique.

Analyse approfondie : le contenu obligatoire du contrat, clause par clause

La CNIL met à disposition des clauses contractuelles types entre responsable de traitement et sous-traitant, mais leur usage n’est pas une obligation : elles n’ont pas obligatoirement à être utilisées si le contrat entre un responsable de traitement et un sous-traitant contient tous les éléments visés à l’article 28 du RGPD. Si un ESMS choisit malgré tout d’adosser son contrat à ces clauses types, la CNIL précise que « les parties s’engagent à ne pas modifier les clauses, sauf en ce qui concerne l’ajout ou la mise à jour d’informations dans les annexes » — ce qui limite la marge de négociation sur le corps du texte mais laisse les annexes ouvertes à l’actualisation. Dans tous les cas, plusieurs clauses doivent être auditées une par une.

Objet, durée, nature et finalité du traitement

Le socle du contrat, avant toute clause de sécurité, est celui qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées. Pour un dossier usager informatisé, cela signifie que le contrat doit lister précisément les données de santé et données sociales traitées, la durée de la prestation et la finalité exacte (gestion du parcours de la personne accompagnée, facturation, coordination des soins), sans formule vague renvoyant à des CGU génériques.

Traitement sur instruction documentée et confidentialité du personnel

Le contrat doit ensuite garantir que l’éditeur ou l’hébergeur ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement : toute fonctionnalité additionnelle (statistiques, module d’intelligence artificielle, revente de données agrégées) qui sortirait de ce cadre documenté constituerait une violation contractuelle, même si elle figure dans les conditions d’utilisation générales du logiciel. Le contrat doit aussi s’assurer que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité — un point à vérifier en particulier pour les équipes de support technique de l’éditeur qui accèdent au dossier usager en cas d’incident.

Sécurité des données (mesures techniques imposées par le RGPD)

Le contrat doit préciser que le prestataire prend toutes les mesures requises en vertu de l’article 32 du RGPD, en formalisant notamment le chiffrement des données selon leur sensibilité ou, à défaut, l’existence de procédures garantissant que la société de prestation n’a pas accès aux données et la revue régulière des mesures de sécurité et, le cas échéant, les conditions de leur révision. Pour un hébergeur cloud, la vigilance porte sur la capacité à chiffrer les données au repos et en transit et avoir une gestion des clés cryptographiques appropriée, comme le détaille la fiche de la CNIL sur la sécurité du cloud et de l’informatique en nuage. Le contrat doit aussi formaliser les obligations de sécurité et la répartition des responsabilités entre le fournisseur et le client, et permettre de vérifier que le fournisseur dispose bien de lieux de sauvegarde géographiquement éloignés des centres de données — un point de continuité renforcé par le Programme CaRE cybersécurité ESMS.

Sous-traitance ultérieure : autorisation écrite préalable

Un éditeur de logiciel métier recourt presque toujours lui-même à des sous-traitants (hébergeur cloud, prestataire de support, service d’envoi de SMS ou d’e-mails). Le RGPD encadre strictement cette chaîne : le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Si l’autorisation est purement générale sans liste des sous-traitants ultérieurs, le DPO ne peut pas savoir qui héberge réellement les données. Le contrat doit aussi préciser que le sous-traitant initial demeure pleinement responsable devant le responsable de traitement de l’exécution par l’autre sous-traitant de ses obligations, et rappeler qu’un éditeur ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial et que le responsable du traitement lui en a donné l’autorisation écrite.

Assistance à l’exercice des droits des personnes accompagnées

Quand un usager ou son représentant légal exerce un droit d’accès, de rectification ou d’effacement, l’ESMS reste seul redevable devant la CNIL — mais il a besoin de son éditeur pour y répondre concrètement. Le contrat doit donc prévoir que le prestataire aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, dans toute la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d’exercer leurs droits. C’est une clause fréquemment absente des contrats standard d’édition logicielle, alors qu’elle conditionne la capacité de l’établissement à répondre dans les délais légaux.

Notification des violations de données

En cas d’incident de sécurité (accès non autorisé, ransomware, fuite de données), le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Cette notification amont est cruciale car l’ESMS doit lui-même notifier la violation à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Le modèle de clauses de la CNIL laisse les parties fixer un délai maximum de […] heures après en avoir pris connaissance : un DPO doit exiger un délai chiffré, plutôt qu’une formule laissée en blanc, sous peine de ne jamais pouvoir tenir ses propres 72 heures.

Sort des données en fin de contrat

Changement de logiciel métier, résiliation, fin de marché : le contrat doit organiser à l’avance le sort des données. Le RGPD impose qu’au terme de la prestation, selon le choix du responsable du traitement, [le prestataire] supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement, et détruit les copies existantes. Le modèle de clauses de la CNIL décline les deux options : soit le sous-traitant s’engage à détruire toutes les données, soit le renvoi doit s’accompagner de la destruction de toutes les copies existantes dans les systèmes d’information du sous-traitant. Sans cette clause de réversibilité, un établissement qui change d’éditeur peut se retrouver sans garantie que ses anciennes données de santé soient effacées chez l’ancien prestataire.

Droit d’audit et documentation

Enfin, le contrat doit permettre à l’ESMS de vérifier, et pas seulement de croire sur parole, que son prestataire respecte ses engagements. L’éditeur ou l’hébergeur doit mettre à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues au présent article et pour permettre la réalisation d’audits, et tenir par écrit un registre de toutes les catégories d’activités de traitement effectuées pour le compte du responsable de traitement — document que le DPO peut exiger de consulter à tout moment, en particulier avant une évaluation HAS.

Impact concret par profil métier

Le DPO qui audite un contrat existant

Face à un contrat déjà signé avec l’éditeur du dossier usager informatisé, le DPO doit reprendre les clauses ci-dessus une par une et vérifier qu’aucune n’est renvoyée à des CGU non jointes en annexe. Les points les plus souvent absents des contrats anciens sont l’assistance à l’exercice des droits, le délai chiffré de notification de violation, et la clause de sous-traitance ultérieure avec liste des sous-traitants effectivement recrutés. Si rien n’est prévu sur le sort des données en cas de résiliation, le DPO doit exiger un avenant avant tout renouvellement.

Le responsable SI qui négocie un nouveau contrat

Au moment de choisir un nouvel hébergeur cloud ou un nouveau logiciel de facturation, le responsable SI porte la responsabilité technique de vérifier les engagements de sécurité : chiffrement au repos et en transit, gestion des clés, localisation des sauvegardes. C’est aussi le bon moment pour exiger une liste précise des sous-traitants ultérieurs plutôt qu’une autorisation générale non documentée, et un délai de notification chiffré plutôt qu’une formule vague. Ce travail de négociation s’inscrit dans la même logique que le Ségur numérique ESMS vague 2, qui impose déjà des exigences d’interopérabilité et de sécurité aux éditeurs de logiciels métier du secteur.

Le directeur qui signe

Le directeur qui appose sa signature engage l’établissement pour toute la durée du contrat, sur un point où l’erreur ne pardonne pas : si l’éditeur s’écarte des instructions et devient de fait décisionnaire des finalités du traitement, il est requalifié en responsable de traitement, mais cela ne protège pas l’ESMS de sa propre responsabilité si le contrat ne comportait pas les garde-fous exigés par le RGPD. Avant signature, le directeur doit donc s’assurer que le DPO ou, à défaut, le responsable SI a validé la présence de chacune des clauses obligatoires, quelle que soit la taille de l’éditeur ou l’antériorité de la relation commerciale.

Mise en œuvre : checklist et points de négociation

Avant tout renouvellement ou toute nouvelle signature, une vérification structurée en cinq points permet d’éviter les oublis les plus fréquents.

• Identifier tous les sous-traitants numériques réels de l’ESMS (éditeur du dossier usager informatisé, logiciel de paie, hébergeur cloud, prestataire de maintenance à distance) et vérifier qu’un contrat écrit existe pour chacun
• Reprendre les clauses RGPD applicables aux sous-traitants dans chaque contrat et signaler celles qui manquent ou qui renvoient à des CGU non jointes
• Vérifier que le délai de notification de violation est chiffré en heures et compatible avec le délai de 72 heures de l’ESMS envers la CNIL
• Exiger la liste actualisée des sous-traitants ultérieurs (sous-hébergeurs, prestataires de support) et l’autorisation écrite associée
• S’assurer que la clause de fin de contrat (suppression ou restitution des données) est activable sans négociation supplémentaire en cas de changement d’éditeur

Les points de négociation les plus fréquents avec un éditeur portent sur trois sujets : le délai de notification de violation, souvent fixé unilatéralement à un délai trop long dans les CGV standard ; le droit d’audit, que certains éditeurs cherchent à limiter à un simple questionnaire déclaratif plutôt qu’à un accès documentaire réel ; et la clause de réversibilité, parfois absente ou facturée en supplément lors de la résiliation. Un DPO ou un responsable SI qui obtient ces trois ajustements sécurise l’essentiel du contrat, même si l’éditeur refuse de modifier sa trame contractuelle standard sur d’autres points secondaires.

Perspectives

La vigilance contractuelle sur les sous-traitants numériques ne se limite pas à un exercice ponctuel de mise en conformité : elle s’inscrit dans la durée de vie de chaque outil numérique de l’ESMS, du SI Honorabilité étendu au handicap : ESMS aux futures remontées de données imposées par le Tableau de bord ESMS : l’arrêté du 16 avril 2026. Chaque nouvelle obligation de reporting ou de transmission de données à une plateforme nationale ajoute potentiellement un sous-traitant, ou modifie le périmètre d’un contrat existant, ce qui impose de revoir régulièrement les clauses négociées plutôt que de les considérer comme acquises une fois pour toutes. Pour approfondir les obligations RGPD de l’ESMS lui-même envers les usagers, en amont de la relation avec ses prestataires, voir le dossier RGPD en ESMS : Obligations et Protection des Données de Santé.

Mini-FAQ : sous-traitants numériques RGPD en ESMS

Sources officielles

• Travailler avec un sous-traitant (CNIL — définition du sous-traitant RGPD)
• Clauses contractuelles types entre responsable de traitement et sous-traitant (CNIL — modèle de contrat)
• Sous-traitance : exemple de clauses (CNIL — clauses détaillées)
• 6 bonnes pratiques pour respecter les données personnelles (CNIL — répartition des responsabilités)
• Règlement européen sur la protection des données, chapitre IV (CNIL — texte officiel des articles 24 à 43)
• Sécurité : gérer la sous-traitance (CNIL — clauses de sécurité)
• Sécurité : cloud, informatique en nuage (CNIL — recommandations hébergeurs)
• Évaluation des ESSMS : référentiel et manuel (HAS — critères qualité et RGPD)