Art. 28 RGPD: amende du Garante à Velletri pour la sous-traitance

Excerpt — Le 12 février 2026, l’autorité italienne (Garante) a infligé une amende à Velletri Servizi pour des contrats Art. 28 incomplets avec ses sous‑traitants STUP et ISSAM. Enseignement‑clé au Luxembourg: documenter et auditer toute la chaîne de sous‑traitance, pas seulement le DPA principal. (garanteprivacy.it)

L’affaire

Le 12 février 2026, le Garante per la protezione dei dati personali a sanctionné Velletri Servizi, gestionnaire de services funéraires d’une commune italienne, pour violation de l’article 28(4) du RGPD. Motif: des accords de sous‑traitance conclus avec les prestataires STUP et ISSAM ne contenaient pas plusieurs éléments essentiels (objet, nature et finalités, catégories de données et de personnes, obligations et droits), et Velletri Servizi n’avait pas suffisamment surveillé l’action de ces sous‑traitants. L’amende, fixée à 2 000 €, a été déterminée en tenant compte des critères de l’article 83(2) RGPD. Le Garante relève aussi des carences de gouvernance (autorisations « générales » de sous‑traiter, évolutions fonctionnelles de l’application par un sous‑traitant sans instruction documentée, collecte supplémentaire de pièces d’identité) qui ont accentué l’incertitude sur les rôles et responsabilités. Voir la décision officielle: Provvedimento del 12 febbraio 2026, n° 10225702.

Points saillants

• Chaîne de sous‑traitance: STUP et ISSAM agissaient comme « sous‑responsables » au sens de l’art. 28(4) RGPD, mais les contrats n’imposaient pas, dans la substance, les mêmes obligations que le DPA principal. (garanteprivacy.it)
• Devoir de surveillance: Velletri Servizi n’a pas exercé une vigilance adéquate sur les prestations et traitements réalisés par STUP/ISSAM. (garanteprivacy.it)
• Calcul de l’amende: rappel des facteurs de l’art. 83(2) RGPD (gravité/durée, caractère fautif, coopération). Texte officiel RGPD: EUR‑Lex — 2016/679.

Le raisonnement juridique

• Base: Article 28(3) et (4) RGPD — tout traitement « pour le compte » doit être régi par un contrat écrit précisant a minima l’objet, la durée, la nature et les finalités du traitement, les types de données, les catégories d’intéressés et les obligations/droits du responsable. En cas de sous‑traitance en chaîne, le responsable initial doit imposer « les mêmes obligations » au sous‑traitant ultérieur, par contrat, et conserver la responsabilité. Texte: CNPD — Chapitre IV (Art. 28); EUR‑Lex — Chap. IV.
• Interprétation EDPB: Les Lignes directrices 07/2020 exigent des accords écrits couvrant toute la chaîne, imposant des obligations identiques dans la substance (auditabilité, assistance, sécurité, confidentialité, aide en cas de violation, suppression/restitution, etc.). Le Garante cite ces points (par. 103 et 160).
• Fines: L’article 83(4) RGPD prévoit un plafond de 10 M€ ou 2% du CA mondial pour les violations de l’art. 28; la proportionnalité et la dissuasion guident le montant final (art. 83(1)–(2)). Voir EUR‑Lex.
• Position CNPD (Luxembourg): la CNPD rappelle de « vérifier et prouver » les garanties des sous‑traitants, de conclure des contrats Art. 28 et de prévoir des clauses de sécurité, confidentialité et assistance. Voir CNPD — Sous‑traitants et CNPD — Documentation & responsabilisation.

Ce que ça change concrètement (Luxembourg, BE/FR/DE frontaliers)

1. Cartographier votre chaîne de sous‑traitance jusqu’au dernier sous‑traitant critique. Tenez un inventaire contractuel reliant responsable → sous‑traitant → sous‑traitant ultérieur (cloud, SaaS, infogérance, payroll, billetterie, centres d’appels, hébergeurs tiers, éditeurs « add‑ons »). Chaque maillon doit être lié par un accord écrit incorporant, dans la substance, les mêmes obligations Art. 28(3). (edpb.europa.eu)
2. Exiger des clauses fonctionnelles, pas seulement un « copier‑coller » de DPA. Les contrats de sub‑processing doivent décrire l’objet, la nature et les finalités réelles; les catégories d’intéressés et de données (y compris identifiants, logs, pièces d’identité si collectées); l’assistance aux droits; les mesures de sécurité (Art. 32); l’aide à la gestion des violations; le droit d’audit et d’inspection. Au Luxembourg, la CNPD attend des clauses explicites et des preuves d’auditabilité. (EUR‑Lex — Art. 32)
3. Prouver la surveillance continue. Le responsable (ou le processeur « principal » vis‑à‑vis de ses sous‑processeurs) doit planifier et documenter ses vérifications: questionnaires due diligence, preuves de mesures techniques, attestations/certifications pertinentes, tests ciblés, relances et ordres d’arrêt/limitation en cas d’écart. Dans l’affaire italienne, l’absence de vigilance soutenue a pesé dans la qualification de manquement. (garanteprivacy.it)

Exemples concrets

• Collecte non prévue: un éditeur SaaS ajoute une fonctionnalité de « vérification d’identité » et commence à collecter des scans de CI sans instruction écrite → non‑conformité Art. 28(3)(a) et défaut de minimisation/« purpose limitation ».
• Sous‑traitant cloud non listé: un hébergeur transfère une fonctionnalité à un nouveau fournisseur de CDN hors UE sans mise à jour contractuelle ni information → rupture de la chaîne Art. 28(4) et risque Art. 44–49 RGPD (transferts).
• Infogérance IT: contrat‑cadre général sans annexe technique précisant catégories d’intéressés (clients, prospects, candidats, personnel) et types de données → non‑conformité Art. 28(3).

Pièges fréquents observés en audit

1. « Autorisation générale » de sous‑traiter sans procédure de notification/approbation écrite et sans formaliser les mêmes obligations dans le contrat avec le sous‑traitant ultérieur. C’est précisément ce que l’autorité italienne reproche: la chaîne doit être couverte par des obligations substantielles identiques. (garanteprivacy.it)
2. DPA « générique » sans portée matérielle claire — impossible ensuite de vérifier la proportionnalité (Art. 5) ou la sécurité (Art. 32). (EUR‑Lex — Art. 32)
3. Absence de droit d’audit exploitable — clauses d’audit théoriques (préavis irréaliste, plage horaire trop restrictive, coûts dissuasifs). Les Lignes directrices EDPB exigent la possibilité effective de réviser/inspecter. (edpb.europa.eu)
4. Chaînes SaaS « invisibles » — add‑ons/marketplaces et services « edge » (CDN, logs, monitoring) non documentés comme sous‑traitants; or, au Luxembourg, la CNPD demande de « vérifier et prouver » les garanties de vos prestataires. (cnpd.public.lu)
5. Évolutions applicatives non encadrées — des fonctionnalités sont ajoutées par un sous‑traitant sans instruction écrite ni mise à jour contractuelle; c’était l’un des constats clés du Garante (collecte supplémentaire de pièces d’identité). (garanteprivacy.it)

Sources officielles

• Garante Privacy — décision: Provvedimento del 12 febbraio 2026 (Velletri Servizi / STUP / ISSAM).
• EDPB — Lignes directrices 07/2020 « Responsable de traitement » et « Sous‑traitant »: texte.
• RGPD (EUR‑Lex) — Chapitre IV (Art. 28) et Art. 83: Règlement (UE) 2016/679; Art. 32 sécurité: lien.
• CNPD (Luxembourg) — Page « Sous‑traitants » et « Documentation & responsabilisation »: soustraitants ; documentation.

Au Luxembourg, cette décision confirme l’exigence de maîtrise contractuelle et opérationnelle de toute la chaîne de sous‑traitance. Pour structurer vos mandats DPO et contrôles de sous‑traitants et aligner vos pratiques sur l’article 28 du RGPD, appuyez‑vous sur des clauses fonctionnelles et des audits réguliers. Lorsque des revues techniques sont requises, un audit cybersécurité peut compléter la due diligence.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.