Le sous-traitant, au sens du RGPD
Un prestataire qui traite des données personnelles pour votre compte est un sous-traitant, même s’il ne s’en présente jamais ainsi. La confusion entre responsable et sous-traitant est l’une des premières failles relevées lors d’un contrôle CNIL.
Responsable ou sous-traitant : la distinction qui change tout
Le responsable de traitement décide pourquoi et comment les données sont traitées. Le sous-traitant agit uniquement sur instruction, pour le compte du responsable, sans finalité propre. Votre expert-comptable, votre hébergeur, votre outil d’emailing, votre logiciel de paie externalisée : tous sont vos sous-traitants dès lors qu’ils traitent des données que vous leur confiez.
Une même entreprise est souvent les deux à la fois : responsable pour les données de ses propres salariés et clients, sous-traitante pour les données que ses propres clients lui confient dans le cadre d’une prestation.
Le règlement fixe des clauses obligatoires. Elles peuvent figurer dans le contrat de prestation lui-même ou dans une annexe dédiée (souvent appelée DPA, Data Processing Agreement) :
| Clause | Ce qu’elle couvre |
|---|---|
| Objet et durée | Ce que fait le sous-traitant pour vous, et jusqu'à quand |
| Nature et finalité du traitement | Hébergement, envoi d'emails, paie externalisée, support client |
| Données et personnes concernées | Salariés, clients, prospects — et catégories de données traitées |
| Obligations du sous-traitant | Instructions documentées, confidentialité des équipes, mesures de sécurité |
| Sort des données en fin de contrat | Suppression ou restitution — à préciser, pas à laisser sous-entendu |
| Sous-traitance ultérieure | Autorisation écrite préalable du responsable avant tout recours à un tiers |
| Assistance au responsable | Réponse aux demandes des personnes, notification en cas de violation |
| Documentation et audits | Mise à disposition des éléments prouvant la conformité, droit d'audit |
Repartez de votre registre des traitements : chaque ligne « destinataires » y mentionne déjà, en principe, vos sous-traitants. Sinon, la liste vient vite en passant par vos outils du quotidien :
- Hébergement et infrastructureCloud, serveurs, sauvegardes, nom de domaine.
- Paie et ressources humainesLogiciel de paie externalisé, plateforme de gestion des congés.
- Relation clientCRM, outil de support, emailing et marketing automation.
- Comptabilité et facturationExpert-comptable, logiciel de facturation en ligne.
- Outils internesSuite bureautique, messagerie, visioconférence, stockage partagé.
Pour chacun, la question est simple : ce prestataire a-t-il accès à des données personnelles, et existe-t-il un contrat couvrant l’article 28 ?
Pas de contrat écrit du tout
Un abonnement à un outil SaaS payé par carte bancaire n'est pas un contrat de sous-traitance RGPD. Sans document signé couvrant l'article 28, l'entreprise ne peut rien démontrer lors d'un contrôle.
Un contrat général sans clause RGPD
Beaucoup de contrats de prestation datent d'avant 2018 ou n'ont jamais été mis à jour. Les obligations, la finalité et la durée y figurent ; l'article 28 n'y figure pas.
Sous-traitant hors UE sans garanties
Un outil hébergé aux États-Unis ou ailleurs hors UE exige des garanties spécifiques (clauses contractuelles types ou équivalent). L'absence de vérification est l'un des points les plus contrôlés en ce moment.
La chaîne de sous-traitance invisible
Votre logiciel de paie sous-traite lui-même son hébergement à un tiers. Cette sous-traitance ultérieure doit être autorisée et connue — elle est souvent découverte a posteriori, en cas d'incident.
Aucune vérification après signature
Un contrat signé une fois ne suffit pas si le sous-traitant change de pratiques, d'hébergeur ou de pays. Une revue régulière, même légère, fait partie de l'obligation de vigilance du responsable de traitement.
Identifier ses sous-traitants ne suffit pas : encore faut-il savoir, pour chacun, si le contrat couvre réellement l’article 28, si un transfert hors UE existe, et ce qu’il resterait à corriger avant un contrôle.
Notre atelier RGPD relie chaque sous-traitant déclaré aux lignes de votre registre des traitements, et signale les contrats manquants ou incomplets — daté, prêt à présenter.
Un simple email d’accord suffit-il ?
Non. L’article 28 exige un contrat ou un autre acte juridique contraignant, écrit — y compris sous forme électronique. Un échange d’emails informel ne couvre pas les clauses obligatoires.
Et si mon sous-traitant refuse de signer un DPA ?
C’est un signal d’alerte à prendre au sérieux : la responsabilité du choix du sous-traitant reste la vôtre. Beaucoup d’éditeurs proposent un DPA type sur simple demande ; en son absence, mieux vaut envisager une alternative.
Suis-je responsable si mon sous-traitant se fait pirater ?
Le responsable de traitement reste engagé sur le choix d’un sous-traitant présentant des garanties suffisantes. Un contrat solide et des vérifications régulières ne suppriment pas le risque, mais démontrent la diligence attendue.
Faut-il un contrat par sous-traitant ?
Oui, un acte contractuel par sous-traitant, même si plusieurs relèvent du même groupe. Chaque traitement, chaque finalité et chaque périmètre de données diffèrent.
Cette page présente les obligations issues du règlement (UE) 2016/679 de façon générale. Elle ne constitue pas un avis juridique : la qualification de vos relations contractuelles relève d’un professionnel.