RGPD et IA : DPA, DPIA et sous-traitance en agence

Un directeur d’agence teste un outil IA de filtrage des candidatures. La démo convainc. Le gestionnaire voit passer trois cents dossiers sans ouvrir trois cents boîtes mail. Puis la question arrive, toujours au même moment — à la signature : « et le RGPD, on est couverts ? » L’éditeur répond : « nous sommes conformes RGPD, c’est dans nos CGU ». L’échange s’arrête là, et c’est précisément là que le problème commence.

Parce que la conformité ne s’achète pas avec un outil. Elle se répartit. Un éditeur peut être irréprochable sur son périmètre et l’agence rester en infraction sur le sien — parce que c’est l’agence, pas l’éditeur, qui décide quels candidats sont traités, sur quels critères, et pendant combien de temps. « Nous sommes conformes » n’est pas une réponse à « qui porte quoi ».

Ce guide donne cette répartition, les clauses qui comptent dans un contrat de sous-traitance, le déclenchement de l’analyse d’impact et la liste de questions à poser avant de signer.

Pourquoi la question arrive au moment de signer

Elle arrive tard parce que le projet est porté par l’opérationnel : le gestionnaire veut gagner du temps, l’outil promet ce temps, et la conformité est perçue comme un frein administratif. Elle arrive quand même, parce que le volume traité change de nature.

Traiter cinquante candidatures par mois avec un tri manuel, c’est un usage artisanal. Traiter trois cents candidatures par mois avec un score automatique qui écarte sans qu’un humain regarde, c’est un traitement structuré, systématique, à grande échelle — trois critères que la CNIL identifie explicitement parmi les facteurs de risque élevé. Le même outil, la même agence, mais un régime juridique différent.

Trois questions reviennent systématiquement dans ces dossiers :

• Qui est responsable si un candidat conteste une décision prise à partir du score ?
• Où vont les données — documents d’identité, bulletins de salaire, avis d’imposition — et combien de temps sont-elles gardées ?
• Que se passe-t-il si l’éditeur change de modèle, de serveur ou de sous-traitant ?

Aucune de ces questions ne porte sur la qualité technique de l’outil. Toutes portent sur la traçabilité de la chaîne de traitement. C’est cela qu’un contrat de sous-traitance et une analyse d’impact servent à documenter.

Responsable de traitement, sous-traitant : qui est qui

Le RGPD distingue deux rôles, définis aux points 7 et 8 de l’article 4.

Le responsable de traitement détermine les finalités et les moyens du traitement. Dans une agence, c’est l’agence. C’est elle qui décide de traiter des candidatures, de demander les pièces justificatives, de fixer les critères de sélection et de refuser un dossier. Aucun outil ne prend cette décision à sa place : l’outil exécute un paramétrage que l’agence a choisi.

Le sous-traitant traite des données à caractère personnel pour le compte du responsable. C’est le rôle de l’éditeur quand il héberge les dossiers, extrait les données des pièces, calcule un score ou envoie des relances. Il agit sur instruction documentée de l’agence.

Cette répartition a une conséquence pratique immédiate : l’agence reste l’interlocuteur du candidat et de la CNIL. Un candidat qui exerce son droit d’accès s’adresse à l’agence. Une violation de données se notifie depuis l’agence. L’éditeur peut être en cause, il n’est pas le débiteur principal de ces obligations.

Deux nuances à ne pas rater, parce qu’elles déplacent la frontière :

Un éditeur qui poursuit ses propres finalités sort du rôle de sous-traitant. S’il réutilise les dossiers de vos candidats pour entraîner ses modèles, pour enrichir sa base ou pour produire ses propres statistiques, il ne traite plus « pour votre compte » : il devient responsable de traitement sur ce second usage — parfois responsable conjoint. La question à poser est directe : vos modèles sont-ils entraînés sur nos données, et si oui, comment en excluez-vous les données personnelles ?

Un sous-traitant ultérieur reste votre affaire. L’outil qui extrait du texte d’un PDF, celui qui héberge la base, le fournisseur du modèle de langage sont des sous-traitants ultérieurs. L’article 28.2 impose l’autorisation préalable du responsable — générale ou spécifique — et l’article 28.4 fait retomber sur le sous-traitant initial le devoir d’imposer les mêmes obligations à ses propres sous-traitants. Concrètement : vous devez pouvoir obtenir la liste, et la liste doit être à jour.

Le DPA : les clauses à vérifier avant signature

Le contrat de sous-traitance (DPA, pour Data Processing Agreement) est obligatoire dès qu’un prestataire traite des données personnelles pour votre compte. L’article 28.3 du RGPD en fixe le contenu minimal :

• l’objet, la durée, la nature et la finalité du traitement ;
• le type de données et les catégories de personnes concernées ;
• les obligations et droits du responsable de traitement ;
• le fait que le sous-traitant n’agit que sur instruction documentée du responsable ;
• la confidentialité des personnes habilitées ;
• les mesures de sécurité de l’article 32 ;
• les conditions de recours à un sous-traitant ultérieur ;
• l’assistance pour les droits des personnes et pour les obligations des articles 32 à 36 ;
• la notification des violations de données ;
• la suppression ou le retour des données en fin de contrat ;
• la mise à disposition des informations nécessaires et l’autorisation d’audit.

Un DPA qui reprend ces douze points est un DPA valable. Un DPA qui les survole est un document de façade. Ce qui distingue les deux en pratique, ce sont cinq clauses opérationnelles — celles sur lesquelles les dossiers se jouent réellement :

Clause opérationnelle	Ce qu’il faut lire dans le contrat
Notification de violation	Un délai chiffré, compatible avec les 72 h de l’article 33. Un « dans les meilleurs délais » sans nombre d’heures ne permet pas de tenir le délai.
Assistance DPIA	L’engagement explicite de fournir la description du traitement, les mesures et l’analyse de risque. Sans cela, l’agence rédige sa DPIA à l’aveugle.
Sort des données en fin de contrat	Restitution dans un format exploitable et suppression certifiée, avec un délai. Le choix doit être celui de l’agence.
Sous-traitance ultérieure	La liste nominative, la localisation, et la procédure de notification en cas de changement — avec un droit d’opposition.
Audit	Le droit d’audit, ou à défaut la fourniture de rapports d’audit tiers récents (ISO 27001, SOC 2). Un audit impossible rend le contrat incontrôlable.

Un DPA signé par acceptation de CGU n’est pas nul par nature, mais il est presque toujours incomplet sur ces cinq points. La demande à formuler est simple : les annexes. Liste des sous-traitants ultérieurs, mesures de sécurité, localisation des données, durées de conservation. Un éditeur qui documente sa chaîne de traitement les produit en vingt-quatre heures.

La DPIA : quand la faire et comment

L’analyse d’impact relative à la protection des données (DPIA, article 35 du RGPD) n’est pas un document réservé aux grands groupes. Elle est requise dès qu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes.

Pour savoir si ce seuil est franchi, la CNIL utilise neuf critères : évaluation ou scoring, décision automatisée, surveillance systématique, données sensibles, traitement à grande échelle, croisement de données, personnes vulnérables, usage innovant, exclusion du bénéfice d’un droit ou d’un contrat. La règle : deux critères réunis suffisent à déclencher l’analyse.

Un outil de scoring de candidats locataires en réunit au moins trois. Il évalue (le score), il produit une décision automatisée ou l’outille, il traite à grande échelle dès quelques centaines de dossiers annuels, et il peut conduire à exclure un candidat du bénéfice d’un contrat. La DPIA n’est donc pas optionnelle. Ce n’est pas une opinion : c’est la lecture constante de la CNIL depuis 2018.

Qui la rédige ? L’agence, en tant que responsable de traitement. L’éditeur doit y contribuer — c’est une obligation contractuelle de l’article 28.3.f — mais il ne peut pas l’écrire à sa place, parce qu’une DPIA décrit le traitement réel, pas la fiche produit.

Que contient-elle ? Quatre parties : une description systématique du traitement et de ses finalités ; une appréciation de la nécessité et de la proportionnalité ; une évaluation des risques pour les personnes ; les mesures envisagées pour les traiter. Une DPIA utile tient en dix à quinze pages. Une DPIA de cent pages que personne ne relit ne protège personne.

Quand la faire ? Avant la mise en production, pas après. Et la refaire dès qu’un élément structurant change : nouveau type de données, nouveau sous-traitant ultérieur, nouveau modèle, nouvelle finalité. La DPIA documente un état du traitement ; elle n’est pas un diplôme acquis une fois pour toutes.

Un point d’honnêteté : la DPIA n’a jamais fait échouer un projet chez nos clients. Elle l’a fait redessiner. C’est presque toujours la même trouvaille au bout de l’exercice — une donnée collectée sans nécessité, une durée de conservation jamais fixée, un accès technique trop large.

Hébergement, résidence des données et transferts

Le RGPD n’impose pas l’hébergement dans l’Union européenne. Il impose que tout transfert hors UE soit encadré par une garantie appropriée : décision d’adéquation, clauses contractuelles types, ou règles d’entreprise contraignantes (chapitre V). Ce qui est interdit, c’est l’ignorance — ne pas savoir où sont les données et se le faire dire par un audit.

Quatre questions suffisent à trancher le sujet :

1. Où sont stockées les données — base de production, sauvegardes, journaux techniques ?
2. Quelles entités juridiques y accèdent, y compris le support technique et la maintenance ?
3. Quels transferts existent vers un pays tiers, sous quel mécanisme, et avec quelle analyse des risques propres à ce pays ?
4. Quels sous-traitants ultérieurs interviennent, et à quel titre ?

Un réglage « région Europe » dans l’interface ne répond à aucune de ces quatre questions. Les sauvegardes peuvent être répliquées ailleurs, le support peut consulter un dossier depuis un autre continent, la télémétrie et les journaux peuvent sortir du périmètre. Ce sont exactement les zones que la CNIL a pointées dans sa doctrine post-Schrems II, et ce sont celles qu’un éditeur sérieux documente noir sur blanc.

La bonne réponse d’un éditeur n’est pas « tout est en Europe ». C’est : voici la liste de nos sous-traitants, voici les localisations, voici les mécanismes de transfert, voici ce qui accède à quoi et pourquoi. Une chaîne de traitement documentée vaut mieux qu’une promesse de localisation.

Conservation des données et droits des candidats

La minimisation et la limitation de conservation (article 5.1.c et 5.1.e) obligent à répondre à deux questions pour chaque donnée : pourquoi la traitons-nous, et jusqu’à quand gardons-nous la trace ? Le tableau ci-dessous donne un cadre de travail pour un flux de candidature locative — les durées sont indicatives et doivent être validées au regard de votre pratique.

Donnée traitée	Finalité	Base légale	Durée de conservation
Identité et coordonnées du candidat	Instruction de la candidature	Mesures précontractuelles (art. 6.1.b)	Durée de la candidature, puis archivage court
Pièces justificatives (revenus, emploi)	Vérification de la solvabilité	Mesures précontractuelles / intérêt légitime	Alignée sur la candidature
Score de solvabilité calculé	Aide à la décision du gestionnaire	Intérêt légitime, avec garanties art. 22	Alignée sur la candidature
Décision et motif de refus	Traçabilité de la décision	Obligation de pouvoir rendre compte	Durée de conservation probatoire
Journaux techniques et accès	Sécurité et traçabilité	Intérêt légitime (art. 6.1.f)	Durée courte, définie

Deux écueils fréquents. D’abord le score conservé ad vitam : une fois le dossier clos, un score n’a plus de finalité et devient une donnée orpheline — donc un risque. Ensuite le refus non motivé : pouvoir expliquer, six mois plus tard, sur quels éléments un candidat a été écarté est le seul moyen de répondre à une contestation.

Sur les droits des personnes, les obligations classiques s’appliquent — information, accès, rectification, effacement, opposition — avec une exigence propre aux traitements automatisés : l’article 22 encadre la décision entièrement automatisée, et impose, quand elle produit des effets significatifs, le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision.

Cela se traduit par deux questions à poser à l’éditeur : l’outil permet-il d’exporter et de supprimer l’ensemble des données d’un candidat sur demande ? et qui, chez vous, répond à une demande d’explication sur un score ? Si la réponse est « le gestionnaire se débrouille », l’agence portera seule une obligation que l’outil aurait pu outiller. Sur ce terrain, notre approche du scoring locataire et de la conformité détaille les garanties à mettre en place côté décision.

La checklist à passer avec son éditeur

Avant la signature, chaque obligation doit avoir un porteur identifié et une pièce justificative. La colonne de droite est celle qui compte en cas de contrôle : c’est le document qu’on produit, pas l’intention.

Obligation RGPD	Qui la porte	Pièce à demander à l’éditeur
Registre des traitements (art. 30)	Agence, sur le périmètre outil	Fiche de traitement décrivant le service
Contrat de sous-traitance (art. 28)	Les deux, signé	DPA et ses annexes
Analyse d’impact (art. 35)	Agence, avec l’appui de l’éditeur	Description du traitement, analyse de risque, mesures
Sécurité (art. 32)	Éditeur sur son périmètre	Certification ou rapport d’audit, politique de sécurité
Violations de données (art. 33)	Éditeur → agence → CNIL	Procédure et délai de notification chiffré
Information des candidats (art. 13-14)	Agence	Modèle de mentions d’information
Droits des personnes (art. 15-22)	Agence, outillée par l’éditeur	Fonctions d’export et de suppression, procédure de contestation
Transferts hors UE (chap. V)	Les deux	Liste des sous-traitants ultérieurs, localisations, garanties

La réunion de cadrage tient en une heure si elle est menée comme un entretien d’achat et non comme un débat juridique. Sept questions suffisent :

1. Quelles données personnelles traitez-vous, et lesquelles sont indispensables au service ?
2. Sur quelles instructions agissez-vous, et comment les documentez-vous ?
3. Quels sous-traitants ultérieurs intervenez-vous, où sont-ils, et comment nous prévenez-vous d’un changement ?
4. Où sont hébergées les données, sauvegardes et journaux compris ?
5. Vos modèles sont-ils entraînés sur nos données de candidats ?
6. En combien d’heures nous notifiez-vous une violation de données ?
7. Quelles fonctions permettent de répondre à une demande d’accès ou d’effacement ?

Un éditeur incapable de répondre à la cinquième question en réunion ne répondra pas davantage dans un contrat. Ce n’est pas un détail technique : c’est le premier test de la chaîne de traitement.

Un dernier point, qui dépasse le RGPD sans le remplacer. Un outil qui évalue des candidats entre dans le champ des systèmes d’IA à haut risque au sens de l’AI Act, avec ses propres obligations de documentation et de supervision humaine. Sur ce volet aussi, la charge pèse d’abord sur l’agence qui déploie. Nous avons détaillé les obligations de l’AI Act pour les agences immobilières dans un article dédié.

Ce qu’il faut retenir

La conformité d’un projet IA en agence ne se joue pas sur la qualité de l’outil, mais sur la clarté de la chaîne de responsabilité. L’agence reste responsable de traitement, quoi qu’en disent les CGU. Le DPA fixe les obligations du sous-traitant et rend la chaîne auditable. La DPIA documente le risque réel du traitement. Et l’hébergement n’est un sujet que tant qu’il n’est pas documenté.

Les équipes qui se bloquent sur la conformité sont presque toujours celles qui ont posé la question après avoir choisi l’outil. Celles qui avancent l’ont posée pendant l’évaluation, avec les documents sous les yeux. La différence n’est pas juridique. Elle est d’ordre : demander les annexes avant la signature coûte une réunion ; les demander après coûte un projet.

Chez Homies, chaque déploiement commence par cette cartographie : quelles données, pour quelle finalité, chez quel sous-traitant, pendant combien de temps. Si vous voulez la voir appliquée à vos propres dossiers, demandez une démo — on la passe sur vos annonces et vos flux candidats réels, pas sur un jeu de données de démonstration.