Dans l’écosystème numérique, rares sont les organisations qui traitent seules toutes leurs données. Hébergeur, prestataire informatique, outil d’emailing, cabinet de paie, plateforme CRM : ces acteurs peuvent intervenir sur des informations personnelles pour le compte d’une entreprise. Le RGPD leur donne un statut précis : celui de sous-traitant, avec des obligations propres et une responsabilité juridique à ne pas sous-estimer.
Au sens du Règlement général sur la protection des données, un sous-traitant est une personne physique ou morale, une autorité publique, un service ou un autre organisme qui traite des données personnelles pour le compte d’un responsable du traitement. Autrement dit, il n’agit pas pour ses propres finalités, mais selon les instructions d’un client ou d’un donneur d’ordre.
Cette définition est centrale, car elle permet de distinguer deux rôles souvent confondus. Le responsable du traitement décide pourquoi et comment les données sont utilisées. Le sous-traitant, lui, exécute une mission : héberger une base clients, envoyer une newsletter, gérer un logiciel RH, assurer la maintenance d’un système ou analyser des données dans un cadre défini.
Le critère déterminant n’est donc pas la taille du prestataire ni la nature du contrat commercial, mais le degré d’autonomie dans l’usage des données. Si un prestataire choisit lui-même les finalités du traitement, il peut être considéré comme responsable, voire responsable conjoint. S’il agit uniquement sur instruction, il relève en principe de la sous-traitance au sens du RGPD.
Dans la pratique, la sous-traitance RGPD concerne de nombreux services du quotidien. Une entreprise qui utilise une solution de stockage cloud confie souvent à son fournisseur l’hébergement de fichiers contenant des données de salariés, clients ou prospects. Ce fournisseur peut alors être qualifié de sous-traitant RGPD, dès lors qu’il traite ces informations pour rendre le service prévu.
Un éditeur de logiciel de gestion de la paie peut également être sous-traitant lorsqu’il traite les données des collaborateurs pour produire les bulletins de salaire. Il en va de même pour une agence marketing chargée d’envoyer des campagnes email à partir d’une base fournie par son client, ou pour un prestataire de support informatique ayant accès à des comptes utilisateurs.
Certains cas sont plus nuancés. Un avocat, un expert-comptable ou un médecin peut traiter des données dans le cadre de ses propres obligations professionnelles. Selon le contexte, il ne sera pas nécessairement sous-traitant. L’analyse doit donc porter sur la réalité de la relation : qui décide de la finalité, des moyens essentiels et des modalités du traitement de données personnelles ?
Le responsable du traitement est celui qui fixe l’objectif poursuivi : gérer les candidatures, facturer des clients, assurer la sécurité d’un service, suivre des demandes commerciales. Il détermine également les moyens principaux : catégories de données collectées, durée de conservation, personnes concernées, destinataires et bases légales. Ces choix engagent sa responsabilité RGPD.
Le sous-traitant intervient dans ce cadre, sans réutiliser les données pour ses propres besoins. Il ne peut pas décider librement d’exploiter une base clients à des fins commerciales, d’enrichir des profils ou de transférer les données à un tiers non prévu. Il doit respecter des instructions documentées, sauf obligation légale contraire applicable dans l’Union européenne ou dans un État membre.
Cette distinction a des conséquences pratiques. Le responsable doit choisir des prestataires présentant des garanties suffisantes. Le sous-traitant, lui, doit mettre en œuvre les mesures convenues et alerter son client si une instruction lui paraît contraire au RGPD. La conformité repose donc sur une chaîne d’acteurs, où chacun doit connaître son rôle.
Le RGPD impose qu’un contrat, ou un autre acte juridique, encadre la relation entre le responsable du traitement et le sous-traitant. Ce document ne doit pas être une simple clause symbolique. Il fixe les conditions dans lesquelles les données sont traitées et permet de démontrer le respect du principe d’accountability, c’est-à-dire la capacité à prouver sa conformité.
Le contrat doit notamment préciser l’objet et la durée du traitement, sa nature, sa finalité, les catégories de données concernées, les personnes concernées et les obligations respectives des parties. Il doit aussi organiser la confidentialité, la sécurité, le recours à d’éventuels sous-traitants ultérieurs, l’assistance au responsable du traitement et les modalités de suppression ou de restitution des données.
Sans contrat conforme, les deux parties s’exposent à des risques juridiques. Pour le responsable du traitement, l’absence d’encadrement peut être interprétée comme un défaut de maîtrise de ses prestataires. Pour le sous-traitant, elle peut créer une incertitude sur ses droits, ses obligations et les limites de son intervention.
Le sous-traitant n’est pas un simple exécutant sans responsabilité. Le RGPD lui impose plusieurs obligations directes. Il doit d’abord traiter les données uniquement sur instruction documentée du responsable. Il doit aussi garantir que les personnes autorisées à accéder aux données sont soumises à une obligation de confidentialité, contractuelle ou légale.
Il doit mettre en place des mesures techniques et organisationnelles appropriées au niveau de risque : contrôle des accès, sauvegardes, journalisation, segmentation des environnements, politique de mots de passe, chiffrement lorsque cela est pertinent. Ces mesures doivent être proportionnées à la sensibilité des informations, au volume de données et aux menaces identifiées.
Lorsque les traitements portent sur des informations particulièrement délicates, l’attention doit être renforcée. Les données de santé, les opinions politiques, l’appartenance syndicale ou certaines données biométriques relèvent des catégories de données nécessitant des garanties spécifiques, ce qui implique souvent une sécurité accrue et une documentation plus rigoureuse.
Le sous-traitant doit également aider le responsable du traitement à respecter certains droits des personnes : accès, rectification, effacement, opposition, limitation ou portabilité. Par exemple, lorsqu’un client demande une copie de ses données, le prestataire qui les héberge peut devoir fournir une assistance technique. Les étapes de traitement d’une demande sont détaillées dans ce guide sur la gestion concrète d’un droit d’accès.
Un sous-traitant peut lui-même faire appel à un autre prestataire : on parle alors de sous-traitant ultérieur. C’est fréquent lorsqu’un éditeur SaaS utilise un hébergeur cloud, un outil de support client ou un service d’envoi d’emails transactionnels. Cette chaîne de prestataires doit rester transparente et maîtrisée.
Le sous-traitant initial ne peut pas recourir librement à un nouveau prestataire sans autorisation du responsable du traitement. Cette autorisation peut être spécifique, pour un acteur identifié, ou générale, à condition que le responsable soit informé des changements et puisse formuler des objections. Le contrat doit prévoir cette mécanique de manière claire.
Le sous-traitant initial doit aussi imposer à son propre prestataire des obligations équivalentes à celles prévues dans le contrat principal. En cas de manquement du sous-traitant ultérieur, il demeure en principe responsable vis-à-vis du responsable du traitement. Cette logique vise à éviter les zones grises dans la chaîne de conformité.
Lorsqu’un sous-traitant ou l’un de ses prestataires accède aux données depuis un pays situé hors de l’Espace économique européen, il peut y avoir un transfert international de données. Le RGPD encadre strictement ces situations, notamment lorsque le pays concerné ne bénéficie pas d’une décision d’adéquation de la Commission européenne.
Dans ce cas, des garanties doivent être mises en place, comme des clauses contractuelles types, complétées si nécessaire par une analyse des risques et des mesures additionnelles. Les responsables du traitement doivent donc interroger leurs prestataires sur les lieux d’hébergement, les accès de maintenance, les entités du groupe impliquées et les outils techniques utilisés.
Cette vigilance est particulièrement importante avec certains services cloud, solutions collaboratives ou plateformes de support international. Un transfert ne résulte pas seulement du stockage physique des données : un accès à distance depuis un pays tiers peut suffire à déclencher les exigences du RGPD.
La non-conformité d’un sous-traitant peut entraîner des conséquences importantes. En cas de contrôle, la CNIL peut examiner les contrats, les mesures de sécurité, les registres, la gestion des incidents et les relations avec les prestataires ultérieurs. Les sanctions peuvent viser le responsable du traitement, le sous-traitant ou les deux, selon les manquements constatés.
Au-delà des amendes administratives, les risques sont aussi opérationnels et réputationnels. Une mauvaise gestion des accès, une faille de sécurité ou une réutilisation non autorisée des données peut entraîner une perte de confiance, des litiges contractuels et des obligations de notification. La conformité doit donc être intégrée dès la sélection du prestataire, et non traitée après coup.
Pour limiter ces risques, les organisations ont intérêt à mettre en place une procédure d’évaluation des fournisseurs : questionnaire sécurité, analyse des traitements, revue contractuelle, vérification des certifications, audit lorsque c’est justifié. Cette démarche permet de choisir des partenaires capables d’apporter des garanties suffisantes au regard du RGPD.
Un sous-traitant au sens du RGPD est un acteur qui traite des données personnelles pour le compte d’un responsable du traitement, sans déterminer lui-même les finalités principales. Son rôle peut sembler technique, mais il s’accompagne d’obligations juridiques précises : sécurité, confidentialité, assistance, encadrement contractuel et maîtrise des prestataires ultérieurs.
La bonne qualification des rôles est une étape essentielle de toute démarche de conformité. Elle permet de répartir les responsabilités, de rédiger des contrats adaptés et de mieux protéger les personnes concernées. Dans un environnement numérique de plus en plus externalisé, comprendre la notion de sous-traitant RGPD n’est plus une formalité : c’est une condition indispensable pour traiter les données de façon fiable, transparente et conforme.
