Sous-traitant RGPD : quelles clauses et quels contrôles
Ce qu’il faut retenir
- Un sous-traitant RGPD traite des données personnelles pour votre compte et sur vos instructions : hébergeur, éditeur SaaS, prestataire d’envoi, agence.
- L’article 28 du RGPD impose un acte juridique écrit. Son absence est sanctionnable en elle-même, sans incident.
- Le DPA standard convient aux traitements courants ; les traitements sensibles appellent un avenant sur la sécurité, l’audit et les sous-traitants ultérieurs.
- Un sous-traitant ultérieur ne s’ajoute pas par silence : il s’autorise et se notifie.
- Le contrôle vaut autant que la signature : audit proportionné au risque, revue annuelle, procédure de violation testée avant l’incident.
Les directions juridiques signent, les achats référencent, les métiers branchent des outils. Entre les trois, personne ne tient la liste complète des prestataires qui touchent aux données personnelles.
Reprendre ses contrats de sous-traitance tient moins de la rédaction juridique que de l’inventaire et du contrôle. Voici ce que le texte exige, ce que les contrats oublient, et comment vérifier dans la durée.
Qu’est-ce qu’un sous-traitant RGPD ?
Un sous-traitant RGPD est une organisation qui traite des données personnelles pour le compte d’un responsable de traitement, selon ses instructions documentées. La qualification ne dépend pas du nom donné à la prestation ni du contrat commercial signé, mais d’une question de fait : qui décide de la finalité et des moyens essentiels du traitement.
La définition posée par le RGPD
L’article 4 du Règlement général sur la protection des données (RGPD) définit le sous-traitant comme la personne physique ou morale qui traite des données pour le compte du responsable de traitement. Le mot « traiter » recouvre tout : collecter, stocker, consulter, modifier, héberger, supprimer.
Un prestataire qui exécute sans décider est donc sous-traitant, même s’il n’ouvre jamais un fichier : un hébergeur l’est par le seul fait qu’il conserve vos données.
Responsable de traitement, sous-traitant, responsables conjoints
Le responsable de traitement décide, le sous-traitant exécute, et les responsables conjoints décident ensemble de la finalité et des moyens, ce qui les oblige à répartir leurs rôles par accord écrit.
La plupart des organisations occupent plusieurs rôles selon les traitements. Une agence qui gère la base e-mail d’un annonceur est sous-traitante sur ce périmètre et responsable sur son propre fichier de prospects. Ce découpage se reporte directement dans le registre des traitements, qui prévoit deux parties distinctes.
Le cas des sous-traitants ultérieurs
Votre prestataire a lui-même des prestataires : hébergeur, messagerie transactionnelle, infogéreur. Ces sous-traitants ultérieurs traitent vos données au même titre que le premier maillon.
L’article 28 du RGPD interdit d’en ajouter un sans l’autorisation du responsable de traitement. En pratique, cette autorisation est presque toujours donnée de manière générale, assortie d’une obligation d’information préalable et d’un droit d’opposition. Encore faut-il que le contrat le prévoie et que la liste soit tenue à jour.
Que doit contenir le contrat avec un sous-traitant RGPD ?
Le contrat avec un sous-traitant RGPD doit être écrit et couvrir un socle précis fixé par l’article 28 : objet, durée, nature et finalité du traitement, catégories de données et de personnes concernées, obligations et droits du responsable de traitement.
Les obligations imposées par l’article 28
Le texte énumère les engagements que le sous-traitant doit prendre : n’agir que sur instruction documentée, garantir la confidentialité des personnes autorisées, mettre en œuvre des mesures de sécurité adaptées, n’ajouter un sous-traitant ultérieur qu’avec autorisation.
S’y ajoutent l’assistance pour répondre aux demandes d’exercice de droits, l’aide en matière de sécurité, de notification de violation et d’analyse d’impact, la restitution ou la suppression des données en fin de contrat, et la mise à disposition des éléments nécessaires au contrôle.
Les clauses que les contrats oublient
Le socle légal est rarement absent ; ses modalités d’exécution manquent. Quatre points reviennent : le délai de notification d’une violation de données, les modalités concrètes du droit d’audit, le format et le calendrier de la réversibilité des données, et la liste nommée des sous-traitants ultérieurs.
Un contrat qui écrit « dans les meilleurs délais » sans chiffrer, ou « sur demande motivée » sans préciser la fréquence et le périmètre, laisse la clause inapplicable le jour où elle sert. Nous chiffrons systématiquement ces quatre points, en heures, en jours ou en formats de fichier.
DPA standard de l’éditeur ou avenant négocié ?
L’accord de traitement des données (DPA, pour Data Processing Agreement) proposé par un éditeur est généralement correct juridiquement, et non négociable sur les offres en libre-service. La question n’est pas sa qualité, mais son adéquation au risque.
| Critère d’arbitrage | DPA standard de l’éditeur | Avenant négocié |
|---|---|---|
| Sensibilité des données | Données de contact, usage courant | Santé, RH, données stratégiques |
| Délai de notification d’une violation | Formule générale, non chiffrée | Délai chiffré, contact nommé |
| Droit d’audit | Rapport de certification transmis | Questionnaire annuel, visite possible |
| Sous-traitants ultérieurs | Liste en ligne, modifiable | Liste annexée, notification et opposition |
| Localisation des données | Zone géographique indicative | Pays et entité contractante précisés |
| Réversibilité en fin de contrat | Export au format propriétaire | Format ouvert, délai et preuve de suppression |
| Effort de négociation | Nul, signature immédiate | De quelques jours à quelques semaines |
Comment qualifier un prestataire avant de signer
La conformité d’un prestataire se vérifie pendant l’achat, quand le rapport de force existe encore. Contrat signé et outil déployé, obtenir un avenant devient une négociation à sens unique.
Les questions à poser pendant la consultation
Quatre questions suffisent à trier les dossiers : où sont hébergées les données, quelle entité juridique signe, quels sont les sous-traitants ultérieurs, que reste-t-il après résiliation. Elles se posent dans le cahier des charges, pas à la signature.
Les réponses évasives sont une information en elles-mêmes : un éditeur incapable de nommer ses propres sous-traitants ne tiendra pas ses engagements de notification.
Les preuves à demander, au-delà des déclarations
Une déclaration de conformité ne vaut pas preuve. Demandez les pièces : certification ISO 27001 ou qualification délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), rapport d’audit, politique de gestion des incidents.
Pour les traitements sensibles, la localisation des sauvegardes mérite une question à part : elles suivent rarement la même géographie que la production, et c’est là que les transferts non documentés apparaissent. Un hébergement souverain réduit cette zone grise.
Les transferts hors Union européenne
Dès qu’un sous-traitant ou l’un de ses sous-traitants ultérieurs traite des données depuis un pays tiers, un mécanisme de transfert est nécessaire : décision d’adéquation, clauses contractuelles types adoptées par la Commission européenne en juin 2021, ou règles d’entreprise contraignantes.
Elles ne suffisent pas seules : il faut y joindre une analyse du droit du pays destinataire et, le cas échéant, des mesures supplémentaires comme le chiffrement avec conservation des clés en Europe. Ce travail se documente, car il sera demandé.
Vos contrats de sous-traitance datent d’avant vos derniers outils ? Faisons le point sur votre chaîne de prestataires lors d’un premier échange d’une heure.
Comment contrôler un sous-traitant RGPD dans la durée
Le contrôle d’un sous-traitant RGPD repose sur trois dispositifs qui se complètent : un plan d’audit proportionné au risque, une revue périodique de la chaîne, et une procédure de violation de données répétée avant d’en avoir besoin.
Un plan d’audit proportionné au risque
Un audit de sous-traitant mené au même niveau pour tous est irréaliste et inutile. Classez vos prestataires selon trois critères : sensibilité des données, volume, criticité pour l’activité.
Le niveau haut justifie un questionnaire détaillé, l’examen des rapports d’audit et parfois une visite. Le niveau intermédiaire se contente d’un questionnaire annuel. Le niveau bas se limite aux certifications et à la vérification que le DPA est signé.
La revue annuelle de la chaîne de sous-traitance
Une revue annuelle, calée sur celle du registre, reprend la liste des prestataires actifs, retire ceux qui ne le sont plus et vérifie que les sous-traitants ultérieurs notifiés en cours d’année ont été examinés.
C’est le moment de fermer les accès devenus inutiles : les comptes de prestataires sortis du périmètre survivent souvent à la fin du contrat. Les prestations de tierce maintenance applicative appellent la même vigilance, puisqu’elles ouvrent des accès permanents à la production.
Violation de données : qui prévient qui, et dans quel délai
L’article 33 du RGPD impose au responsable de traitement de notifier une violation à la CNIL dans les 72 heures lorsqu’elle présente un risque pour les personnes concernées. Le sous-traitant, lui, doit alerter le responsable de traitement dans les meilleurs délais.
Ce flou est le point faible de la chaîne : si le prestataire met cinq jours à vous prévenir, vos 72 heures sont consommées. Chiffrez ce délai au contrat, nommez un contact d’astreinte des deux côtés, testez le circuit une fois par an.
Les erreurs fréquentes et notre méthode chez Venise Activation
Les écarts constatés lors d’un contrôle tiennent rarement à une méconnaissance du texte, mais à une organisation qui n’a pas relié achats, métiers et conformité.
Quatre erreurs qui reviennent
La première confond périmètre contractuel et périmètre réel : les outils souscrits par carte bancaire dans un service n’apparaissent dans aucun référencement achat. La deuxième signe le DPA sans lire l’annexe sécurité, qui porte l’essentiel des engagements techniques.
La troisième est de ne jamais exercer le droit d’audit obtenu, ce qui le rend inopposable dans les faits. La quatrième est d’oublier la sortie : sans clause de réversibilité des données précise, récupérer un fichier exploitable à la fin d’un contrat tendu relève de la négociation commerciale, pas du droit.
Comment nous procédons
Chez Venise Activation, agence marketing et digitale indépendante basée à Paris depuis 1989, nous croisons trois sources : le référencement fournisseurs, les flux comptables et les outils réellement utilisés par les métiers. L’écart entre ces listes est le vrai périmètre de sous-traitance.
Vient ensuite la hiérarchisation par risque, puis la mise en conformité des contrats dans cet ordre. Nous outillons le suivi avec VIQTOR®, pour piloter vos sous-traitants et vos DPA, et nous faisons signer les avenants avec DoYouSign, notre solution de signature électronique, afin que la mise à jour contractuelle ne bloque pas sur un circuit papier.
Cette façon de travailler prolonge la promesse de Venise Activation, agence indépendante à Paris depuis 1989 : réconcilier marketing, vente, informatique et conformité. En 2026, un dossier de sous-traitance tenu est devenu un argument de réponse aux appels d’offres autant qu’une obligation réglementaire. Le sujet s’inscrit dans le guide complet de la conformité RGPD et de la souveraineté numérique.
Questions fréquentes sur le sous-traitant RGPD
Quelle différence entre un responsable de traitement et un sous-traitant RGPD ?
Le responsable de traitement décide de la finalité et des moyens essentiels : pourquoi les données sont collectées, lesquelles, pour combien de temps. Le sous-traitant exécute pour son compte, selon ses instructions documentées. Un même prestataire peut être sous-traitant sur une prestation et responsable sur ses propres fichiers. La qualification se fait traitement par traitement.
Le contrat de sous-traitance RGPD est-il obligatoire pour tous les prestataires ?
Oui, dès qu’un prestataire accède à des données personnelles pour votre compte, même ponctuellement. L’article 28 du RGPD exige un acte juridique écrit, contrat ou avenant, qui lie le sous-traitant au responsable de traitement. Un prestataire de maintenance connecté à votre base de production entre dans ce périmètre : l’accès technique suffit à créer la sous-traitance.
Le DPA standard de mon éditeur de logiciel suffit-il ?
Souvent oui pour un outil courant traitant des données peu sensibles. Il devient insuffisant quand le traitement porte sur des données sensibles, qu’il est critique pour votre activité ou qu’il implique un transfert hors Union européenne. Lisez alors l’annexe sécurité, la clause d’audit et la liste des sous-traitants ultérieurs, puis négociez un avenant sur ces trois points.
Comment auditer un sous-traitant RGPD sans y passer un budget entier ?
Segmentez par risque. Les prestataires qui traitent des données sensibles ou de gros volumes justifient un audit documentaire annuel, voire une visite. Pour les autres, un questionnaire court et la collecte des certifications suffisent. L’essentiel est une règle écrite expliquant pourquoi tel prestataire est audité et tel autre non : c’est cette logique que l’autorité de contrôle examine.
Mon sous-traitant peut-il faire appel à un autre prestataire sans me prévenir ?
Non. L’article 28 du RGPD subordonne le recours à un sous-traitant ultérieur à votre autorisation, écrite et spécifique ou générale. En autorisation générale, le sous-traitant doit vous informer de tout ajout ou remplacement, avec un délai qui vous laisse la possibilité de vous y opposer. Un contrat qui ne prévoit ni liste, ni notification, ni délai d’opposition vous laisse sans visibilité sur la chaîne réelle.
Que risque une entreprise dont les contrats de sous-traitance ne sont pas conformes ?
Un manquement à l’article 28 du RGPD relève du plafond de l’article 83.4 : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Au-delà de l’amende, le défaut de contrat complique la répartition des responsabilités en cas de violation de données, et devient un point bloquant dans les appels d’offres des grands comptes.
Un contrat de sous-traitance se rédige une fois et se contrôle chaque année. Demandez un audit de votre chaîne de sous-traitance à nos équipes.
Sources de référence : les exemples de clauses de sous-traitance publiés par la CNIL et le texte intégral du RGPD sur EUR-Lex.
