Une fuite de données peut exposer bien plus qu’une adresse e-mail. Pour une plateforme adulte, elle peut révéler une activité intime, fragiliser des créateurs et provoquer du harcèlement, une divulgation non consentie ou des discriminations professionnelles.
Un DPA solide ne se limite donc pas à cocher une exigence administrative. Il précise ce que chaque sous-traitant peut faire, où les données circulent et comment les incidents sont gérés.
Points clés à retenir
- Un DPA conforme à l’article 28 du RGPD doit décrire précisément les données, les finalités, les accès, les mesures de sécurité, les sous-traitants ultérieurs et le sort des données en fin de contrat.
- La plateforme doit qualifier chaque fournisseur selon ses activités réelles : un prestataire qui réutilise les données pour ses propres profils, statistiques ou modèles peut être responsable du traitement distinct, et non simple sous-traitant.
- Pour une plateforme adulte, les journaux, contenus, données de paiement, justificatifs d’âge et échanges avec le support peuvent révéler des informations intimes et exigent des accès limités, une conservation maîtrisée et une sécurité documentée.
- Le contrat doit prévoir une notification rapide des violations, des audits réalistes, le contrôle de toute la chaîne de sous-traitance et l’encadrement des transferts internationaux, y compris lorsque les serveurs sont situés en Europe.
- La conformité se maintient dans le temps grâce à une cartographie à jour, des annexes négociées et un suivi des nouveaux fournisseurs, outils d’intelligence artificielle, pays d’accès et fonctions de la plateforme.
Les données d’une plateforme adulte exigent un contrat précis
Une plateforme pour adultes traite souvent des informations très différentes au sein d’un même service. On y trouve des identifiants de compte, des adresses IP, des données de paiement, des échanges avec le support, des justificatifs d’âge, des signalements de contenus et des journaux de connexion.
Certaines de ces données à caractère personnel peuvent aussi révéler directement ou indirectement la vie sexuelle, l’orientation sexuelle, l’identité de genre, des pratiques intimes ou des données de santé. Elles demandent alors une attention renforcée. Le caractère adulte d’une activité ne diminue ni les droits des personnes concernées ni les obligations de protection des données.
La confidentialité protège aussi l’autonomie des artistes, des clients et des travailleurs indépendants. Une personne qui publie légalement du contenu pour adultes ne doit pas voir ses données réutilisées pour de la publicité, de l’entraînement algorithmique ou des analyses commerciales qu’elle n’a jamais acceptées.
L’article 28 du RGPD impose au responsable du traitement de sélectionner des prestataires offrant des garanties suffisantes. Le chapitre IV du RGPD publié par la CNIL rappelle que cette relation doit reposer sur un contrat écrit ou un autre acte juridique contraignant.
Un hébergeur, un outil de diffusion vidéo, un service de vérification d’âge, une agence de modération ou un logiciel de support client peuvent tous constituer un sous-traitant. Chaque intégration ajoute toutefois ses propres flux, ses accès et ses risques.
Responsable du traitement ou sous-traitant : qualifier avant de signer
Les étiquettes commerciales ne déterminent pas les rôles juridiques. Il faut identifier qui choisit réellement les finalités et les moyens essentiels du traitement.
La plateforme est généralement responsable du traitement lorsqu’elle décide de créer des comptes, de vérifier l’âge, de gérer les abonnements, de modérer des contenus ou de conserver des preuves de transaction. Le prestataire est sous-traitant s’il exécute ces opérations selon les instructions de la plateforme.
| Situation | Qualification fréquente | Point à contrôler |
|---|---|---|
| Un hébergeur stocke les vidéos et les sauvegardes selon les réglages de la plateforme. | Prestataire agissant pour la plateforme | Vérifier les régions de stockage, les accès d’administration et la suppression des sauvegardes. |
| Un logiciel SaaS gère les tickets du support client. | Prestataire agissant pour la plateforme | Examiner les données visibles dans les tickets et les exportations possibles. |
| Un prestataire de paiement applique ses propres obligations de lutte contre la fraude et le blanchiment. | Responsable du traitement distinct pour ces finalités | Vérifier sa notice de confidentialité et les données qu’il utilise pour son compte. |
| Une régie publicitaire construit ses propres audiences. | Responsable du traitement distinct ou conjoint | Ne pas signer un DPA par réflexe, puis analyser les finalités et les moyens réels. |
Un prestataire qui réutilise les données reçues pour entraîner son outil, vendre des statistiques ou enrichir ses propres profils ne reste pas un simple sous-traitant. Pour cette réutilisation, il peut agir pour ses propres finalités et doit disposer d’une base juridique propre.
La même prudence vaut pour les créateurs. Un créateur qui publie sur une plateforme n’est pas automatiquement son sous-traitant. La relation dépend des opérations concernées, de l’autonomie de chacun et des décisions prises sur les données.
Avant toute signature, établissez une fiche par fournisseur. Elle décrit le traitement de données, les données envoyées, les personnes concernées, les accès humains, les pays concernés et la finalité du traitement. Rattachez-la au registre des activités et à la cartographie, avec une analyse d’impact si nécessaire. La CNIL recommande d’encadrer la sous-traitance avant le début de la prestation, pas une fois les données déjà transférées.
Contrat sous-traitance RGPD : les clauses qui protègent la plateforme
Le DPA peut prendre la forme d’un avenant aux conditions commerciales, souvent nommé DPA, pour « Data Processing Agreement ». Il décrit précisément la prestation de services, le traitement de données confié au sous-traitant et les services couverts.
Il doit être signé avant l’accès aux données, y compris lorsque le fournisseur est une grande entreprise technologique aux conditions standardisées.
Le socle imposé par l’article 28
Les exigences de l’article 28 RGPD imposent un encadrement détaillé. Le contrat doit décrire la prestation de façon concrète. Un document qui vise simplement « les services numériques » ne permet ni de limiter les accès ni de vérifier la conformité.
| Clause | Ce qu’elle doit prévoir |
|---|---|
| Objet, durée et finalité | Les opérations confiées, la durée du traitement et les services couverts. |
| Données et catégories | Les catégories de personnes concernées, par exemple les membres, créateurs vérifiés, abonnés, visiteurs, salariés ou candidats. |
| Consignes | Le responsable du traitement donne des instructions documentées. Le sous-traitant agit selon ces consignes et alerte s’il estime qu’une instruction viole le RGPD. |
| Confidentialité et sécurité | Les personnes autorisées sont soumises à une obligation de confidentialité et appliquent les mesures convenues. |
| Aide à la plateforme | L’assistance couvre l’exercice des droits, notamment l’accès, l’effacement et la portabilité, ainsi qu’une analyse d’impact et les échanges avec l’autorité de contrôle. |
| Incidents | Le prestataire informe rapidement la plateforme d’une violation de données, transmet les éléments connus et participe à la gestion de crise. |
| Sous-traitance ultérieure | Aucun sous-traitant ultérieur ne peut intervenir hors du mécanisme d’autorisation prévu au contrat. |
| Fin du contrat | Le contrat précise la restitution, la suppression des données, le sort des sauvegardes et l’attestation de suppression. |
| Contrôles | Mise à disposition des informations nécessaires et possibilité d’audit selon des modalités réalistes. |
Le texte de l’article 28 du RGPD prévoit aussi que le prestataire mette à disposition les informations nécessaires pour démontrer sa conformité. Une promesse générale de conformité ne remplace pas des éléments vérifiables.
Des formulations qui rendent le contrat applicable
Une clause utile décrit l’action attendue. Par exemple :
« Le sous-traitant traite les données uniquement pour fournir les services décrits dans l’annexe A. Il n’utilise pas les données de compte, de contenu ou de modération pour entraîner ses modèles, développer un produit ou établir des profils pour son propre compte. »
Une autre clause peut préciser le sort des données :
« À la fin du service, le sous-traitant procède à la restitution ou à la suppression des données selon l’instruction écrite de la plateforme. Il indique le délai d’expiration des sauvegardes et fournit une attestation de suppression sur demande. »
Ces formulations restent une trame. Un contrat doit être adapté aux traitements réels, aux flux de données, aux obligations sectorielles et à la répartition effective des responsabilités entre la plateforme et le sous-traitant.
Il ne constitue pas un avis juridique personnalisé ni un modèle universel prêt à signer.
Sécurité : décrire les mesures techniques et organisationnelles
Le sous-traitant doit préciser qui peut accéder à quelles données, dans quelles conditions et comment chaque accès est contrôlé. Un chiffrement « de niveau industriel » ne suffit pas à répondre à ces questions.
L’annexe de sécurité doit couvrir les accès administrateurs, l’authentification multifacteur, la séparation des environnements, le chiffrement en transit et au repos, la gestion des correctifs, les sauvegardes, les tests de restauration et la journalisation. Les droits d’accès doivent suivre le principe du moindre privilège.
Pour une plateforme adulte, les journaux techniques méritent une attention particulière. Une URL complète, un titre de vidéo, un pseudonyme ou un message de support peuvent révéler des informations intimes. Limitez ce qui est enregistré, définissez une durée de conservation et empêchez les équipes de consulter ces journaux sans motif documenté.
Les contrats doivent aussi préciser les mesures humaines et les procédures organisationnelles. Formation des équipes, obligation de confidentialité, départ des salariés, contrôle des accès du support et interventions à distance doivent être encadrés.
Une certification ou un rapport d’audit peut appuyer une décision, mais il ne remplace pas l’analyse des accès réellement accordés à votre plateforme.
La fiche CNIL sur la sécurité et la sous-traitance insiste sur l’importance de fixer ces exigences dans le contrat. Demandez aussi des preuves adaptées au niveau de risque, comme un résumé de test d’intrusion, une politique de gestion des incidents ou une description des centres de données.
Sous-traitants ultérieurs : contrôler toute la chaîne
Un fournisseur de streaming peut s’appuyer sur un cloud public, un réseau de diffusion de contenu, un outil de surveillance, une société de support et un prestataire de sauvegarde. Chacun peut agir comme sous-traitant ultérieur ou accéder aux données depuis un autre pays.
L’article 28 interdit au sous-traitant de recruter un sous-traitant ultérieur sans autorisation écrite préalable. Cette autorisation peut être spécifique, prestataire par prestataire, ou générale. Dans le second cas, le sous-traitant doit annoncer chaque ajout ou remplacement afin que la plateforme, responsable du traitement, puisse s’y opposer.
Une clause qui autorise indistinctement « les affiliés et partenaires nécessaires » est trop floue. Elle doit s’accompagner d’une liste vérifiable et maintenue à jour, précisant le nom du sous-traitant, son rôle, son pays d’implantation et les catégories de données accessibles.
L’autorisation ne doit pas devenir automatique. Le contrat peut prévoir un préavis de trente jours, un canal de notification identifiable et le droit de s’y opposer ou de résilier sans pénalité si un changement crée un risque inacceptable.
Le sous-traitant principal reste responsable envers la plateforme de l’exécution des obligations confiées à son propre prestataire. Il doit imposer à ce sous-traitant des engagements équivalents en matière de confidentialité, de sécurité, d’assistance, d’audits et de sort des données.
Violations de données et audits : prévoir la crise avant qu’elle arrive
En cas de violation de données, le sous-traitant doit prévenir la plateforme sans délai injustifié après en avoir pris connaissance. Il ne doit pas attendre d’avoir terminé son enquête. La plateforme, responsable du traitement, évalue ensuite l’incident et décide de notifier ou non. Si nécessaire, elle notifie l’autorité de contrôle compétente (la CNIL) dans les 72 heures ou informe les personnes exposées à un risque élevé.
Le contrat doit imposer une alerte initiale par un canal disponible en continu, suivie d’informations mises à jour. Un délai contractuel de 12 ou 24 heures pour le premier signalement peut être pertinent pour un service sensible. Il s’agit d’un engagement opérationnel plus exigeant, non d’une nouvelle obligation légale. La plateforme ne doit pas attendre l’expiration du délai légal de 72 heures.
Le rapport initial sur la violation de données doit préciser les systèmes touchés, la date estimée, les catégories de données, le volume probable, les accès compromis et les mesures de confinement. Le sous-traitant doit fournir un contact opérationnel et coopérer pendant l’enquête. Une agence de modération doit préserver les éléments nécessaires sans multiplier les copies de contenus sensibles.
L’audit demande le même réalisme. Prévoyez une fréquence normale, des délais de préavis, des règles de confidentialité et la possibilité d’un contrôle renforcé après un incident sérieux. Les certifications ISO 27001 ou SOC 2 peuvent compléter un audit de conformité. Elles ne suffisent pas si elles excluent le service acheté, les environnements concernés ou les accès d’administration.
Transferts de données : regarder au-delà du lieu d’hébergement
« Serveurs en Europe » ne signifie pas forcément absence de flux international. Une équipe de support située hors de l’Espace économique européen, un accès par la maison mère, une sauvegarde distante ou un outil de télémétrie peuvent déplacer des informations hors de l’EEE.
La première étape consiste à cartographier les accès effectifs. Il faut identifier le pays d’hébergement, mais aussi ceux depuis lesquels les données peuvent être consultées, administrées ou restaurées.
Les clauses contractuelles types entre responsable de traitement et sous-traitant peuvent encadrer la relation entre le responsable du traitement et le prestataire, conformément à l’article 28. Elles ne règlent pas automatiquement un flux vers un pays tiers.
Lorsqu’un flux quitte l’Espace économique européen sans décision d’adéquation applicable, l’entreprise doit choisir un mécanisme adapté, souvent les clauses contractuelles types de transfert. Elle doit ensuite examiner les risques liés au pays destinataire. Les recommandations du CEPD imposent aussi d’évaluer les mesures complémentaires nécessaires, comme le chiffrement avec des clés conservées dans l’UE, une pseudonymisation robuste ou une limitation des accès distants.
Pour les plateformes établies en Suisse et ciblant des personnes dans l’UE, l’application du RGPD doit aussi être examinée au regard des activités réelles et du droit de l’union. Un contrat unique peut couvrir plusieurs régimes, mais il doit signaler clairement les droits applicables, les autorités compétentes et les flux concernés.
Mettre en conformité la sous-traitance en trois étapes
- Cartographiez chaque prestation avant d’acheter. Documentez les données transmises, les personnes concernées, les finalités, les accès internes, le sous-traitant ultérieur et les pays. Inscrivez ces éléments dans votre registre des activités. Cette cartographie permet aussi d’identifier les traitements qui peuvent exiger une analyse d’impact relative à la protection des données.
- Négociez les annexes qui comptent. Pour votre conformité RGPD, ajoutez au DPA une annexe de traitement, une annexe de sécurité, la liste des prestataires autorisés, les règles de notification d’incident et le mécanisme de transfert international. Refusez les clauses qui autorisent le sous-traitant à réutiliser les données pour l’amélioration générale d’un produit sans périmètre précis.
- Faites vivre le contrat pendant la prestation. Contrôlez les changements de fournisseurs, les nouvelles fonctions d’intelligence artificielle, les évolutions de vérification d’âge et les nouveaux pays d’accès. Suivez aussi l’assistance prévue pour l’exercice des droits. Un audit de conformité annuel peut suffire pour un outil limité. Suivez plus étroitement le sous-traitant qui héberge des vidéos ou assure la modération.
Conservez les versions signées, les preuves de vérification, les rapports relatifs à une violation de données et les réponses du prestataire. En cas de contrôle ou de litige, ces documents montrent que la plateforme n’a pas traité la sous-traitance comme une formalité.
Questions fréquentes
Une plateforme adulte établie aux États-Unis doit-elle signer un DPA RGPD ?
Oui, si elle propose des services à des personnes situées dans l’Union européenne ou suit leur comportement, le RGPD peut s’appliquer. Le DPA est nécessaire lorsque le fournisseur traite les données pour le compte de la plateforme, mais il ne remplace pas l’analyse de l’applicabilité territoriale du RGPD.
Quelles données faut-il inclure dans un contrat de sous-traitance RGPD ?
Le contrat doit couvrir les catégories de personnes concernées et de données traitées, notamment les comptes, adresses IP, contenus, données de paiement, justificatifs d’âge et échanges avec le support. Il doit aussi préciser les finalités, la durée, les accès, les pays concernés et les éventuels sous-traitants ultérieurs.
Un fournisseur peut-il utiliser les données de la plateforme pour entraîner ses modèles ?
Pas automatiquement. Une telle réutilisation doit être expressément encadrée et peut faire du fournisseur un responsable du traitement distinct pour cette finalité, avec sa propre base juridique et ses propres obligations.
Que doit faire le sous-traitant en cas de violation de données ?
Il doit avertir la plateforme sans délai injustifié, même si son enquête n’est pas terminée, et transmettre les informations disponibles sur les systèmes touchés, les données exposées et les mesures de confinement. La plateforme évalue ensuite l’incident et détermine si une notification à l’autorité de contrôle ou aux personnes concernées est nécessaire.
Les serveurs situés en Europe suffisent-ils à éviter un transfert international ?
Non. Un accès d’administration depuis les États-Unis, une équipe de support hors de l’EEE ou une sauvegarde dans un pays tiers peut constituer un transfert international. Il faut cartographier les accès effectifs et prévoir un mécanisme de transfert ainsi que des mesures complémentaires lorsque cela est nécessaire.
Conclusion
Un contrat sous-traitance RGPD bien rédigé protège la plateforme, mais surtout celles et ceux dont l’activité, les préférences ou les contenus pourraient être exposés. Il relie les obligations juridiques aux accès techniques réels.
Pour une plateforme adulte, les meilleures clauses restent celles qui décrivent sans ambiguïté chaque sous-traitant, les pays, les incidents et la fin de la relation. La protection des données devient alors une condition concrète d’une activité durable et respectueuse de la vie privée.