Dans votre entreprise, vous utilisez hébergement web, paie externalisée, logiciel CRM ou RH en mode SaaS, agence marketing qui gère vos campagnes d’emailing ? Toutes ces prestations externalisées impliquent qu’un tiers traite des données personnelles pour votre compte. Ce tiers est un sous-traitant au sens du RGPD, et le recours à ses services ne vous décharge pas de vos responsabilités en matière de protection des données personnelles. Vous en restez aussi garant auprès de vos salariés, usagers, clients, prestataires, même si cette responsabilité est partagée. Une question se pose donc : comment assurer sa conformité RGPD lorsqu’on fait appel à un sous-traitant ?
Pour vous aider à y voir plus clair, Lexactitude vous explique ce qu’est un sous-traitant RGPD, ses obligations légales issues de l’article 28 du RGPD, le cas particulier du sous-traitant ultérieur, et surtout comment vérifier que vos prestataires respectent leurs engagements. Un sujet que nous abordons au quotidien pour les entreprises, associations et collectivités de Grenoble, Lyon et de toute la région Auvergne-Rhône-Alpes !
Qu’est-ce qu’un sous-traitant en RGPD ?
Définition d’un sous-traitant au sens du RGPD
Un sous-traitant, au sens du RGPD (article 4), est une personne ou un organisme qui traite des données personnelles pour le compte, sur instruction et sous l’autorité d’un autre organisme, appelé responsable de traitement. Il peut s’agir d’une entreprise, d’une association ou même d’un organisme public, dès lors qu’il agit pour exécuter une prestation confiée par un client.
Voici les catégories de sous-traitants les plus fréquemment concernées par l’article 28 RGPD :
- les hébergeurs et prestataires informatiques (hébergement, maintenance, infogérance, cyber-sécurité, etc.) ;
- les éditeurs de logiciels SaaS (RH, paie, CRM, gestion clients) dès lors qu’ils ont accès aux données ;
- les agences de marketing ou de communication qui traitent des fichiers clients pour le compte de leurs donneurs d’ordre ;
- les prestataires de gestion de la paie ou des ressources humaines ;
- plus largement, tout organisme qui réalise une prestation impliquant un traitement de données personnelles pour le compte d’un autre organisme.
Ne sont en revanche pas considérés comme sous-traitants les fournisseurs qui n’ont ni accès ni interaction avec les données personnelles, comme un simple éditeur de matériel informatique ou biométrique sans accès aux contenus traités (ex. : un fabricant de badgeuse).
⚠️ Attention : un sous-traitant ne peut pas réutiliser pour son propre compte les données que lui confie son client. Cette réutilisation n’est possible que si elle est compatible avec le traitement initial et si le responsable de traitement l’a autorisée par écrit.
Sous-traitant et responsable de traitement, quelle différence ?
Il faut bien distinguer la notion de sous-traitant RGPD de celle de responsable de traitement.
- Le responsable de traitement est celui qui donne les ordres et détermine les finalités et les moyens d’un traitement de données. En bref, celui qui décide pourquoi et comment les données sont utilisées.
- Le sous-traitant, lui, exécute selon les instructions documentées de ce responsable, et n’a pas vraiment d’autonomie sur les finalités. Idem s’il fournit à une entreprise un outil clé en main pour gérer des données personnelles (ex : un outil de gestion RH) : il est sous-traitant.
- Tous les deux ont des obligations en matière de traitement et de protection des données selon l’article 28 du RGPD notamment.
📝 Exemple : vous faites appel à une agence de communication qui gère vos campagnes d’emailing de vos clients. L’agence est sous-traitant pour le traitement des données desdits clients. Par contre, elle reste responsable de traitement pour la gestion des données concernant votre structure, si elle les utilise pour sa comptabilité ou les entre dans son propre CRM.
Attention, une analyse au cas par cas est parfois nécessaire pour établir le rôle de chacun. Cette étude prend notamment en compte le degré d’autonomie du prestataire, son expertise; le niveau de contrôle de la part du client, si le prestataire est présenté en tant que tel auprès des personnes qui utilisent son service, etc.
Les obligations du sous-traitant selon l’article 28 du RGPD
L’article 28 du RGPD encadre la relation entre le responsable de traitement et son sous-traitant, en imposant à ce dernier des garanties précises pour protéger les données qui lui sont confiées. Cela se traduit par 4 obligations qu’on peut résumer ainsi :
- obligation de transparence et de traçabilité
- obligation de concevoir des outils respectueux de la protection des données
- obligation de sécuriser les données faisant l’objet d’un traitement
- obligation de conseil, d’alerte et d’assistance.
Dans les faits, voici ce que doit faire le sous-traitant au regard du RGPD.
L’établissement d’un contrat de sous-traitance
Un contrat écrit est obligatoire, qu’on appelle souvent DPA (Data Processing Agreement) ou contrat de sous-traitance. Il doit préciser, en termes de traitement de données :
- l’objet et la durée du traitement (généralement, de la prestation du sous-traitant);
- la nature et l’objectif du traitement de données ;
- le type de données personnelles concernées et les catégories de personnes visées ;
- la possibilité ou non de recruter un sous-traitant ultérieur (sous-traitant du sous-traitant)
- les obligations et droits respectifs du responsable et du sous-traitant.
💡 Conseil : vérifiez vos contrats de sous-traitance (DPA) actuels, ou demandez à un consultant RGPD comme Lexactitude de le faire pour vous.
Les actions du sous-traitant lors de la prestation
Tout au long de la prestation, il est fortement conseillé au sous-traitant RGPD de :
- mettre à disposition toute la documentation permettant de démontrer sa conformité, y compris pour la réalisation d’audits, pour que le responsable de traitement puisse vérifier le respect du RGPD :
- traiter les données uniquement sur instruction documentée de son client, et l’alerter s’il estime qu’une instruction constitue une violation du RGPD ;
- garantir la confidentialité des données, notamment en imposant cette obligation à ses propres équipes ;
- mettre en œuvre des mesures de sécurité techniques et organisationnelles adaptées au risque ;
- notifier son client dans les meilleurs délais en cas de violation de données ;
- assister son client dans la réponse aux demandes d’exercice de leurs droits par les personnes concernées (accès, rectification, effacement…) car souvent, c’est lui qui peut techniquement y procéder ;
- supprimer ou restituer les données à la fin de la prestation, selon les instructions de son client.
Ces obligations du sous-traitant en matière de RGPD ont un impact auprès de l’autorité de contrôle. Leur non-respect a déjà valu à plusieurs entreprises des sanctions significatives de la part de la CNIL au regard de l’article 28, notamment pour insuffisance des mesures de sécurité mises en œuvre.
📝 Exemple : le 11 décembre 2025, la société Mobius Solutions, fournissant une solution SaaS pour des campagnes marketing, a été condamnée à 1 million d’euros d’amende par la CNIL ainsi que la publication de la décision. Motif : elle est à l’origine d’une fuite de données de millions d’utilisateurs de Deezer, dont elle était sous-traitante.
Un sous-traitant ultérieur est un sous-traitant recruté par votre sous-traitant initial pour l’aider à exécuter tout ou partie de la prestation. Par exemple, un éditeur de logiciel RH qui héberge ses données chez un prestataire cloud tiers fait appel à un sous-traitant ultérieur. Il s’agit donc d’une chaîne de sous-traitance, ou sous-traitance en cascade.
Le RGPD encadre strictement cette situation : le sous-traitant ne peut pas recruter un sous-traitant ultérieur sans l’autorisation écrite préalable de son client, qu’elle soit :
- spécifique, c’est-à-dire donnée pour un prestataire nommément désigné ;
- ou générale, à condition que le client soit informé de tout changement (ajout ou remplacement) et dispose d’un délai pour s’y opposer.
Vous faites appel à des prestataires ? Assurez-vous que votre sous-traitant et le sous-traitant ultérieur ont les mêmes exigences que vous en matière de protection des données et de sécurité des données. Si le sous-traitant ultérieur ne respecte pas ses obligations, c’est le sous-traitant initial qui en est responsable à votre égard.
Comment vérifier la conformité de vos prestataires au RGPD ?
Signer un contrat de sous-traitance conforme au RGPD et à l’article 28 est une première étape nécessaire, mais insuffisante sans suivi dans la durée. Pour sécuriser durablement vos relations de sous-traitance selon le RGDP, voici les points à vérifier régulièrement :
- Les clauses contractuelles sont-elles réellement conformes à l’article 28 ? Objet, durée, finalité, catégories de données et de personnes concernées, obligations de chaque partie : ces mentions doivent figurer explicitement dans le contrat qui vous lie à vos sous-traitants.
- Quelles mesures de sécurité RGPD votre sous-traitant applique-t-il ? Chiffrement, gestion des accès, sauvegardes, suppression des informations, mise à jour des systèmes, plan de continuité d’activité, contrôles réguliers, etc.
- Votre prestataire a-t-il recours à des sous-traitants lui-même ? Si oui, lesquels ? Vous a-t-il informé comme l’exige le RGPD ? Ces prestataires présentent-ils des garanties en termes de protection des données ? Quelles données lui sont transférées ?
- Votre prestataire a-t-il un process clair en cas de violation de données ou de demande d’exercice de droits ?
- Votre sous-traitant peut-il justifier de sa propre conformité RGPD ? Registre des traitements (notamment les vôtres), documentation, existence d’un DPO, etc.
💡 Bon à savoir : pensez à organiser un point régulier avec vos prestataires les plus sensibles (ceux qui traitent des volumes importants de données ou des données sensibles). Vous éviterez ainsi les mauvaises surprises et disposerez d’éléments de preuve nécessaires en cas de contrôle de la CNIL.
Les sanctions en cas de manquement à l’article 28 du RGPD
En cas de violation de données, le RGPD aux articles 82 et 83 prévoit que le sous-traitant peut être directement sanctionné par la CNIL, au même titre que le responsable de traitement.
Les peines financières encourues sont des amendes administratives pouvant atteindre 10 ou 20 millions d’euros selon la nature du manquement, ou jusqu’à 2 % ou 4 % de son chiffre d’affaires annuel mondial si ce montant est plus élevé.
Ce type de sanction s’applique notamment :
- si le sous-traitant agit en dehors des instructions de son client,
- ne permet pas à ce dernier de respecter ses obligations des articles 32 et suivants,
- ne met pas à disposition la documentation permettant de démontrer sa conformité,
- recrute un sous-traitant ultérieur sans autorisation,
- ne tient pas son registre des traitements.
Bien sûr, au-delà du risque financier, client et sous-traitants mettent en jeu leur réputation et la confiance de leurs propres clients. Les décisions de la CNIL peuvent être assorties d’une publication qui ne manquerait pas de ternir vos relations commerciales !
Où en êtes-vous avec vos sous-traitants RGPD ?
Vous n’êtes pas certain d’avoir bien sécurisé vos relations avec vos sous-traitants RGPD ? C’est normal : cela demande de la rigueur juridique et un suivi opérationnel dans la durée, que vous n’avez peut-être pas le temps ni les capacités de réaliser. Mais vous savez maintenant que vous pouvez risquer une fuite ou une violation de données, alors que vous-mêmes avez mis en œuvre la conformité daans votre structure.
Vous voulez vous assurer que vos contrats de sous-traitance sont conformes et vos prestataires bien encadrés ? Prenez contact sans attendre avec Lexactitude et échangeons sur votre situation. Nous sommes à votre service en tant qu’expert RGPD à Grenoble, Lyon et dans toute la région Auvergne-Rhône-Alpes, ainsi qu’à distance partout en France !
FAQ - Vos questions sur les sous-traitants RGPD
Qui est un sous-traitant au sens du RGPD ?
Un sous-traitant au sens du RGPD est une personne ou un organisme qui traite des données personnelles pour le compte, sur instruction et sous l’autorité d’un client responsable de traitement, dans le cadre d’une prestation de services. Hébergeur, éditeur de logiciel SaaS, agence marketing ou prestataire de paie en sont des exemples courants.
Un sous-traitant peut-il être aussi responsable de traitement ?
Oui. Une même structure peut être sous-traitant pour les traitements qu’elle réalise pour le compte de ses clients, et responsable de traitement pour ses propres opérations, comme la gestion de son personnel ou de ses propres prospects.
Faut-il un contrat avec chaque sous-traitant ?
Oui, l’article 28 du RGPD impose un contrat écrit (ou tout autre acte juridique équivalent) avec chaque sous-traitant, précisant l’objet, la durée, la nature et la finalité du traitement, ainsi que les obligations de chaque partie.
Qui est responsable en cas de faute du sous-traitant ?
Le responsable de traitement reste responsable vis-à-vis des personnes concernées, mais le sous-traitant RGPD peut également voir sa responsabilité engagée directement en cas de manquement à ses propres obligations. Si un sous-traitant ultérieur est en cause, le sous-traitant initial reste pleinement responsable devant son client.
Sources juridiques :