Dès qu’un prestataire accède à des données personnelles pour exécuter une mission, le RGPD s’applique à lui directement. Hébergeur, éditeur de logiciel RH, prestataire de paie : tous entrent dans le cadre réglementaire du sous-traitant et assument des obligations propres, distinctes de celles du responsable de traitement. Voici ce que les deux parties doivent savoir pour structurer leur relation en conformité avec le règlement.
En bref
- Le sous-traitant traite des données personnelles pour le compte d’un responsable de traitement, sur instruction et sous son autorité.
- L’article 28 du RGPD impose un contrat écrit entre les deux parties, avec des clauses obligatoires précises.
- Le sous-traitant est directement responsable vis-à-vis de la CNIL s’il dépasse le cadre de ses instructions ou néglige la sécurité des données.
- Tout recours à un sous-traitant secondaire exige une autorisation préalable du responsable de traitement.
- Les amendes peuvent atteindre des montants significatifs, allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel pour les manquements les plus graves.
Définition et statut du sous-traitant selon le RGPD
La qualification de sous-traitant repose sur deux critères cumulatifs : être une entité distincte du responsable de traitement, et agir pour son compte. Ce n’est pas le type de prestation qui détermine le statut, c’est la relation avec les données.
Qu’est-ce qu’un sous-traitant au sens du RGPD ?
L’article 4§8 du RGPD définit le sous-traitant comme toute personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable de traitement. Cela couvre aussi bien une entreprise privée qu’un organisme public. Un hébergeur qui stocke des dossiers clients, un prestataire informatique qui maintient une base de données RH, une société de paie externalisée : tous sont des sous-traitants dès lors qu’ils accèdent à des données personnelles dans le cadre de leur mission.
Différences entre responsable de traitement et sous-traitant
Le responsable de traitement détermine les finalités et les moyens essentiels du traitement. C’est lui qui décide pourquoi et comment les données sont utilisées. Le sous-traitant, lui, exécute. Il peut choisir les moyens techniques et organisationnels non essentiels, mais ne fixe pas les objectifs du traitement.
La frontière devient critique quand un prestataire commence à traiter des données pour ses propres finalités. À ce moment, il bascule vers le statut de responsable de traitement, avec toutes les obligations que cela implique. Le Comité européen de la protection des données (CEPD) a précisé ce point dans ses lignes directrices adoptées le 7 juillet 2021.
Quand une entreprise est-elle considérée comme sous-traitant ?
Le CEPD retient un faisceau d’indices pour cette analyse : le niveau d’instruction reçu du client, le degré de contrôle exercé par ce dernier, et l’autonomie réelle du prestataire sur les décisions liées au traitement. Une entreprise qui agit sur délégation, suit des instructions précises et ne détermine pas elle-même ce qu’elle fait des données est bien un sous-traitant. La loi s’applique à elle même si elle est établie hors de l’Union européenne, dès lors qu’elle traite des données de résidents de l’UE.
Obligations légales du sous-traitant RGPD
Avant le RGPD, les sous-traitants n’étaient soumis à aucune sanction directe. Le règlement a changé cela : ils sont désormais responsabilisés et peuvent être contrôlés par la CNIL indépendamment du responsable de traitement.
Les responsabilités contractuelles du sous-traitant
L’article 28 du RGPD impose des contrats écrits entre les responsables de traitement et leurs sous-traitants. Ces contrats doivent préciser l’objet, la durée, la nature et la finalité des traitements, le type de données concernées, et les obligations de chaque partie. Sans ces documents, les deux parties s’exposent à des sanctions administratives. Le sous-traitant ne peut agir que sur instruction documentée du responsable : toute action hors cadre engage sa propre responsabilité.
Sécurité des données et mesures techniques obligatoires
Le sous-traitant doit mettre en œuvre des mesures techniques et organisationnelles adaptées au niveau de risque. Chiffrement, contrôle d’accès, journalisation, plan de continuité : ces dispositifs doivent être proportionnés à la sensibilité des données traitées. La CNIL attend des garanties concrètes, pas des engagements de principe. Le responsable de traitement a d’ailleurs l’obligation de vérifier ces garanties avant de signer tout contrat, en s’appuyant sur la fiabilité, l’expertise et la réputation du prestataire.
Gestion des sous-traitants secondaires
Un sous-traitant qui fait appel à un autre prestataire pour exécuter tout ou partie de sa mission engage un sous-traitant ultérieur. Ce transfert de responsabilité n’est pas interdit, mais il est strictement encadré. L’autorisation préalable du responsable de traitement est obligatoire, qu’elle soit spécifique (pour chaque nouveau sous-traitant) ou générale (avec obligation d’information). Le sous-traitant initial reste responsable vis-à-vis du responsable de traitement des manquements du sous-traitant ultérieur.
Notification des violations de données
En cas de violation de données personnelles, le sous-traitant doit en informer le responsable de traitement dans les meilleurs délais après en avoir pris connaissance. C’est ensuite au responsable de notifier la CNIL dans les 72 heures. Le contrat doit formaliser cette procédure d’alerte : délais, canaux de communication, informations à transmettre. Un sous-traitant qui tarde à alerter ou qui dissimule une violation engage directement sa responsabilité.
Clauses contractuelles : ce que le contrat doit contenir
Le contrat de sous-traitance RGPD n’est pas une formalité administrative. C’est le document qui délimite les responsabilités de chaque partie et qui protège les deux en cas de contrôle ou de litige.
Les clauses obligatoires selon l’article 28 incluent :
- Traitement sur instruction uniquement : le sous-traitant ne traite les données que sur instruction documentée du responsable
- Confidentialité : les personnes autorisées à traiter les données s’engagent à la confidentialité
- Sécurité : mise en œuvre des mesures techniques et organisationnelles requises
- Sous-traitance ultérieure : conditions d’autorisation et de contrôle des sous-traitants secondaires
- Assistance : aide au responsable pour répondre aux demandes d’exercice de droits des personnes concernées
- Restitution ou suppression : sort des données à la fin du contrat
- Audit : droit du responsable de traitement de vérifier la conformité du sous-traitant
La CNIL met à disposition des clauses contractuelles types pour aider les organisations à structurer ces documents. Leur utilisation n’est pas obligatoire, mais elle facilite la démonstration de conformité et le respect des exigences réglementaires.
Sanctions et mise en conformité pratique
Les manquements aux obligations RGPD exposent le sous-traitant à deux types de risques : les sanctions administratives prononcées par la CNIL, et la responsabilité civile envers les personnes dont les données ont été compromises.
Les amendes administratives peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour certaines violations, et jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les infractions les plus sérieuses. L’article 82 du RGPD ouvre par ailleurs un droit à réparation pour toute personne ayant subi un dommage matériel ou moral du fait d’un traitement non conforme, impactant directement sa vie privée et professionnelle.
Pour se prémunir, les sous-traitants doivent tenir un registre des activités de traitement effectuées pour le compte de leurs clients, désigner un délégué à la protection des données (DPO) si leur activité l’exige, et former régulièrement leurs équipes aux exigences de protection des données. La formation n’est pas un luxe : c’est l’un des premiers points vérifiés lors d’un contrôle.
