Sous-traitant RGPD : définition, obligations et contrat

Une entreprise qui confie son hébergement, sa paie ou le support de son informatique à un prestataire lui donne accès à des données personnelles. Le RGPD appelle ce prestataire un sous-traitant. Ce statut lui impose des obligations propres, et il impose au client de bien le choisir et de signer un contrat précis.

Qui est sous-traitant ?

Le RGPD le définit à l'article 4, point 8 : c'est « la personne physique ou morale, l'autorité publique, le service ou un autre organisme » qui traite des données personnelles « pour le compte du responsable du traitement ». Les lignes directrices européennes 07/2020 en tirent deux conditions : être une entité distincte du responsable, et traiter les données pour son compte.

Le sous-traitant se distingue de deux autres rôles :

Le responsable de traitement

Il fixe, seul ou avec d'autres, les finalités et les moyens du traitement : pourquoi et comment les données sont traitées (article 4, point 7).

Le sous-traitant

Il traite les données pour le compte du responsable et sur ses instructions. Il ne poursuit pas ses propres objectifs avec ces données.

Les responsables conjoints

Deux organismes ou plus qui fixent ensemble les finalités et les moyens d'un traitement. Ils doivent répartir leurs obligations par un accord (article 26).

La qualification dépend de ce qui se passe réellement, pas de ce qu'écrit le contrat. La CNIL le rappelle : le client et le prestataire doivent analyser ensemble leurs rôles, sans pouvoir choisir la qualification qui les arrange.

Des exemples concrets

Les lignes directrices 07/2020 du Comité européen de la protection des données (CEPD) donnent de nombreux exemples :

Un hébergeur qui stocke les données des salariés d'un employeur, pour le compte de celui-ci, est sous-traitant.
Un service de paie qui calcule les salaires reste sous-traitant tant qu'il n'agit pas au-delà des instructions du client.
Un cabinet comptable qui fait de l'audit pour un client est en principe responsable de traitement à part entière, car la loi lui impose ses propres obligations.
Une agence de voyages, une compagnie aérienne et un hôtel sont chacun responsables de leurs propres traitements. Ils deviennent responsables conjoints s'ils créent ensemble une plateforme de réservation commune.

Pour un prestataire informatique, tout dépend de l'accès aux données :

Sous-traitant Un prestataire chargé du support général de systèmes qui contiennent beaucoup de données personnelles. L'accès aux données fait partie de sa mission : un contrat de sous-traitance est nécessaire.

Pas sous-traitant Un consultant appelé pour corriger un bogue, sans mission de traitement de données. S'il voit des données, c'est de façon accessoire. Le client doit quand même prendre des mesures de sécurité pour éviter tout accès non autorisé.

Le guide de la CNIL cite d'autres sous-traitants fréquents : sociétés d'hébergement ou de maintenance, intégrateurs de logiciels, sociétés de sécurité informatique, agences de marketing ou de communication qui traitent des données pour leurs clients. Une association ou un organisme public peut aussi être sous-traitant.

Le contrat de sous-traitance est obligatoire

Le traitement doit être encadré par un contrat ou un autre acte juridique, écrit, y compris sous forme électronique (article 28, paragraphes 3 et 9). Ce contrat décrit l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées. Il doit aussi prévoir que le sous-traitant :

Agit sur instructionIl ne traite les données que sur instruction documentée du responsable, y compris pour les transferts vers un pays hors de l'Union européenne.
Garantit la confidentialitéLes personnes autorisées à traiter les données s'engagent à les garder confidentielles.
Assure la sécuritéIl prend les mesures de sécurité prévues par l'article 32.
Encadre la sous-traitance ultérieureIl ne fait appel à un autre sous-traitant qu'avec l'autorisation écrite préalable du responsable.
Aide le responsablePour répondre aux demandes des personnes (accès, effacement, opposition), et pour respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact.
Supprime ou restitue les donnéesÀ la fin de la prestation, au choix du responsable.
Permet les auditsIl fournit les informations nécessaires pour démontrer la conformité et accepte les audits, y compris les inspections.

Il doit aussi prévenir immédiatement le responsable s'il pense qu'une instruction est contraire au RGPD.

L'autorisation de recourir à un autre sous-traitant peut être spécifique ou générale. Si elle est générale, le sous-traitant informe le responsable de tout changement prévu, et celui-ci peut s'y opposer. Le sous-traitant impose les mêmes obligations à son propre sous-traitant, et il reste pleinement responsable de ses manquements (article 28, paragraphes 2 et 4).

Un sous-traitant qui décide à la place du client devient responsable de traitement. S'il fixe lui-même les finalités et les moyens d'un traitement, il est considéré comme responsable de ce traitement (article 28, paragraphe 10). Selon la CNIL, il ne peut réutiliser les données pour son propre compte que si cet usage est compatible avec le traitement initial et que le responsable l'a autorisé par écrit.

Des modèles de clauses existent

Le RGPD permet de fonder le contrat, en tout ou en partie, sur des clauses contractuelles types (article 28, paragraphe 6). La Commission européenne en a adopté par la décision d'exécution (UE) 2021/915 du 4 juin 2021. La CNIL précise qu'elles ne sont pas obligatoires si le contrat contient déjà tout ce que demande l'article 28. Ces clauses ne servent pas à encadrer les transferts hors de l'Union : d'autres clauses types existent pour cela.

La CNIL publie aussi un « Guide du sous-traitant » (édition de septembre 2017), avec en annexe un exemple de clauses à adapter à chaque prestation.

Les obligations propres du sous-traitant

Le RGPD impose aussi directement plusieurs obligations au sous-traitant.

Tenir un registre des traitements qu'il effectue pour chaque client (article 30, paragraphe 2) : coordonnées des clients, catégories de traitements, transferts hors de l'Union, description générale des mesures de sécurité. Les structures de moins de 250 salariés en sont dispensées, sauf si le traitement présente un risque, n'est pas occasionnel ou porte sur des données sensibles ou relatives aux condamnations (paragraphe 5).
Sécuriser les données par des mesures adaptées au risque (article 32), par exemple le chiffrement, la pseudonymisation ou des sauvegardes permettant de rétablir l'accès après un incident.
Désigner un DPO dans les mêmes cas que le responsable (article 37) : organisme public, suivi à grande échelle des personnes, ou données sensibles à grande échelle.

En cas de violation de données, les délais s'enchaînent :

Dès la découverteLe sous-traitant prévient le responsable de traitement « dans les meilleurs délais » (article 33, paragraphe 2). Le contrat peut fixer un délai précis, en heures.
72 heures au plus tardLe responsable notifie la violation à la CNIL, si possible dans ce délai, sauf si elle ne présente pas de risque pour les personnes (article 33, paragraphe 1).

Comment choisir un sous-traitant

Le responsable ne doit faire appel qu'à des sous-traitants qui présentent des « garanties suffisantes » (article 28, paragraphe 1). Les lignes directrices du CEPD et la CNIL donnent des pistes concrètes :

Ses compétences et sa fiabilitéLes connaissances spécialisées du prestataire, ses ressources, et sa réputation sur le marché.
Sa documentation de sécuritéDemandez sa politique de sécurité et la façon dont les accès sont limités aux seules personnes habilitées.
Ses certificationsL'adhésion à un code de conduite ou à un mécanisme de certification approuvé peut aider à démontrer ses garanties.
Un suivi dans le tempsSelon le CEPD, la vérification ne s'arrête pas à la signature : c'est une obligation permanente, à contrôler régulièrement, notamment par des audits.

Qui est responsable en cas de problème ?

Une personne qui subit un dommage peut demander réparation au responsable de traitement ou au sous-traitant (article 82). Le sous-traitant n'est responsable que s'il n'a pas respecté les obligations que le RGPD lui impose, ou s'il a agi en dehors des instructions licites du responsable. Quand plusieurs acteurs sont en cause, chacun peut être tenu de réparer la totalité du dommage.

La CNIL peut aussi infliger des amendes au sous-traitant (article 83) :

10 M€ ou 2 %du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu : manquements au contrat, au registre, à la sécurité, à la notification des violations ou au DPO

20 M€ ou 4 %du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu : transferts hors de l'Union non conformes

En résumé

Le sous-traitant traite des données pour le compte d'un responsable de traitement, qui en fixe les finalités et les moyens.
Un contrat écrit est obligatoire, avec les mentions de l'article 28. Des clauses types de la Commission européenne peuvent servir de base.
Le sous-traitant a ses propres obligations : registre, sécurité, alerte en cas de violation, DPO s'il y a lieu, et il peut être sanctionné.

Pour vous faire accompagner, consultez le classement des DPO externes, établi à partir du fichier public de la CNIL, découvrez ce que comprend un audit RGPD, ou comparez les logiciels RGPD.

Sources (consultées le 6 novembre 2026) : RGPD, articles 4, 26, 28, 30, 32, 33, 37, 82 et 83 (texte publié par la CNIL, « Le règlement général sur la protection des données - RGPD ») ; CEPD, « Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD », version 2.0 adoptée le 7 juillet 2021 ; décision d'exécution (UE) 2021/915 de la Commission du 4 juin 2021 relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants ; CNIL, « RGPD : Guide du sous-traitant » (septembre 2017) ; CNIL, « Clauses contractuelles types entre responsable de traitement et sous-traitant » ; CNIL, « Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles » ; CNIL, « Travailler avec un sous-traitant ».