La protection des données en sous-traitance désigne l'ensemble des obligations contractuelles et techniques qui s'imposent dès qu'un prestataire traite des données personnelles pour le compte d'un responsable de traitement, sur instruction de celui-ci. Selon l'article 28 du RGPD, ce cadre exige un contrat écrit - souvent appelé DPA (Data Processing Agreement) - qui formalise les garanties du sous-traitant avant tout traitement. Sans ce contrat, ni le responsable ni le sous-traitant ne sont en conformité, quelle que soit la qualité technique du service rendu.
Trois actions s'imposent immédiatement à tout responsable de traitement :
- Qualifier les rôles : vérifier, pour chaque prestataire, s'il agit comme sous-traitant ou comme responsable conjoint, en analysant qui décide des finalités et des moyens essentiels du traitement.
- Contractualiser les garanties : exiger un DPA signé reprenant les mentions obligatoires de l'article 28.3 du RGPD avant tout accès aux données.
- Inventorier les sous-traitants ultérieurs : identifier la chaîne complète de traitement, y compris les prestataires que votre sous-traitant engage lui-même.
Table des matières
- Responsable, sous-traitant, sous-traitant ultérieur : qui fait quoi ?
- Quelles obligations légales le RGPD impose-t-il aux deux parties ?
- Comment rédiger un contrat de sous-traitance (DPA) conforme à l'article 28 ?
- Quelles mesures techniques et organisationnelles mettre en place ?
- Comment sélectionner et contrôler un sous-traitant dans la durée ?
- Qui est responsable en cas de violation, et quelles sanctions risquez-vous ?
- Plan d'action prioritaire : que faire dès maintenant ?
- Points clés
- La conformité en sous-traitance est un avantage concurrentiel, pas une contrainte
- Safe-doc vous aide à protéger vos données en sous-traitance
- Sources officielles à consulter
Responsable, sous-traitant, sous-traitant ultérieur : qui fait quoi ?
La distinction entre responsable de traitement et sous-traitant ne repose pas sur le contrat signé, mais sur la réalité factuelle du traitement. C'est le critère que l'EDPB rappelle dans ses lignes directrices 07/2020 : le responsable décide du « pourquoi » (les finalités) et du « comment essentiel » (les moyens déterminants) ; le sous-traitant exécute sur instruction, sans latitude sur ces deux points.
En pratique, la frontière glisse facilement. Un hébergeur cloud qui se contente de stocker des fichiers chiffrés selon vos paramètres est clairement sous-traitant. En revanche, un prestataire RH qui décide lui-même des durées de conservation, des destinataires des données ou des critères de profilage des candidats bascule vers la qualification de responsable, même si le contrat le désigne comme « sous-traitant ». La requalification expose alors les deux parties : le prestataire assume des obligations qu'il ignorait, et le responsable perd la protection contractuelle qu'il croyait avoir.
Le sous-traitant ultérieur est le prestataire que votre sous-traitant engage à son tour pour exécuter tout ou partie du traitement. Il doit recevoir les mêmes obligations de protection que celles prévues dans votre DPA, et son recours doit être autorisé - explicitement ou par liste - par le responsable initial.
**Avant toute prestation, documentez le rôle retenu dans votre registre des activités de traitement. Cette décision doit être justifiée par une analyse factuelle, pas seulement par la rédaction du contrat.
Quelles obligations légales le RGPD impose-t-il aux deux parties ?
Les obligations ne pèsent pas uniquement sur le responsable de traitement. Le RGPD crée une responsabilité directe du sous-traitant sur plusieurs points, que la CNIL détaille dans ses bonnes pratiques.
Ce que l'article 28 impose au responsable
- Choisir un sous-traitant présentant des garanties suffisantes - techniques et organisationnelles - avant de lui confier des données.
- Formaliser la relation par un contrat écrit (ou un acte juridique équivalent) reprenant les mentions de l'article 28.3.
- Vérifier que le sous-traitant n'engage pas de sous-traitant ultérieur sans autorisation préalable.
Ce que le RGPD impose directement au sous-traitant
- Traiter les données uniquement sur instruction documentée du responsable, sauf obligation légale contraire.
- Garantir la confidentialité des données traitées, y compris vis-à-vis de ses propres employés.
- Mettre en œuvre les mesures de sécurité adaptées au risque (art. 32 RGPD).
- Assister le responsable dans l'exercice des droits des personnes concernées (accès, rectification, effacement) et dans la réalisation des analyses d'impact (AIPD).
- Notifier sans délai toute violation de données au responsable, afin que celui-ci puisse respecter son délai de 72 heures pour informer la CNIL.
- Restituer ou détruire les données à l'issue de la prestation, selon les instructions du responsable.
- Tenir un registre de ses activités de traitement effectuées pour le compte de responsables.
La conformité RGPD en sous-traitance n'est donc pas un simple exercice contractuel : elle implique une organisation interne réelle chez le sous-traitant, des procédures d'incident opérationnelles et une capacité à produire des preuves sur demande.
Comment rédiger un contrat de sous-traitance (DPA) conforme à l'article 28 ?
Un DPA valide n'est pas un formulaire générique. Le guide sous-traitant de la CNIL fournit des clauses types et une structure opérationnelle. Voici les mentions obligatoires et les clauses pratiques à prévoir.
Mentions obligatoires selon l'article 28.3 du RGPD
- Objet et durée du traitement
- Nature et finalité du traitement
- Type de données personnelles traitées et catégories de personnes concernées
- Obligations et droits du responsable de traitement
Conseil de pro : Rédigez la liste des catégories de données avec précision - « données RH » est trop vague. Précisez : numéros de sécurité sociale, données de santé, données bancaires, etc. Une liste imprécise affaiblit la portée du contrat en cas de litige.
Tableau de correspondance : exigence RGPD ↔ clause contractuelle
| Exigence RGPD (art. 28.3) | Clause contractuelle pratique |
|---|---|
| Traitement sur instruction uniquement | Clause d'instruction documentée + procédure de modification |
| Confidentialité du personnel | Engagement de confidentialité signé par les personnes habilitées |
| Mesures de sécurité (art. 32) | Annexe technique listant les TOM mises en œuvre |
| Recours à un sous-traitant ultérieur | Clause d'autorisation (liste ou accord préalable) + obligation de répercussion |
| Assistance aux droits des personnes | Délais et procédures d'assistance définis contractuellement |
| Notification de violation | Délai de notification au responsable (recommandé : 24-48 heures) |
| Audit et contrôle | Droit d'audit du responsable, modalités pratiques (préavis, périmètre) |
| Restitution/destruction des données | Délai, format et preuve de destruction à l'issue du contrat |
| Transferts hors UE | Mécanisme de transfert applicable (clauses contractuelles types, décision d'adéquation) |
Pour les transferts hors Union européenne, vérifiez systématiquement le mécanisme applicable : décision d'adéquation de la Commission européenne, clauses contractuelles types (CCT) adoptées par la Commission, ou règles d'entreprise contraignantes. L'absence de mécanisme valide rend le transfert illicite, indépendamment de la qualité du DPA.
Quelles mesures techniques et organisationnelles mettre en place ?
L'article 32 du RGPD exige des mesures « adaptées au risque ». La CNIL précise les garanties attendues : chiffrement, pseudonymisation, gestion des habilitations, journalisation et tests réguliers.
Mesures techniques prioritaires
| Mesure | Objectif | Indicateur de preuve pour audit |
|---|---|---|
| Chiffrement en transit (TLS) | Protéger les données lors des échanges réseau | Configuration serveur, certificats SSL |
| Chiffrement au repos (AES) | Protéger les données stockées | Documentation d'architecture, rapports de configuration |
| Pseudonymisation des données | Réduire le risque en cas de fuite | Rapport de pseudonymisation, export de mapping sécurisé |
| Gestion des habilitations | Limiter l'accès au strict nécessaire | Matrice des droits, logs d'accès |
| Journalisation et traçabilité | Détecter et prouver les incidents | Logs horodatés, alertes automatiques |
| Mode stateless (zéro stockage) | Éliminer les données persistantes chez le sous-traitant | Architecture documentée, rapport d'audit |
| Tests et audits réguliers | Vérifier l'effectivité des mesures | Rapports de tests d'intrusion, certificats ISO 27001 |
La pseudonymisation mérite une attention particulière. Appliquée en amont, avant qu'un document soit transmis à un sous-traitant ou à un outil tiers, elle réduit considérablement le périmètre de risque : si une fuite survient, les données exposées ne permettent pas d'identifier directement les personnes concernées. Le mode stateless pousse cette logique plus loin en garantissant qu'aucune donnée ne persiste chez le prestataire après le traitement.
Conseil de pro : La certification ISO 27001 ou ISO 27701 d'un sous-traitant est un signal de maturité, mais elle ne remplace pas les preuves opérationnelles. Exigez des logs d'accès récents, des rapports de tests d'intrusion datés et la documentation de l'architecture de traitement - pas seulement un certificat.
Safe-doc illustre cette approche : la plateforme pseudonymise les documents sensibles en temps réel, sans stocker aucune donnée, et génère un rapport d'audit exportable. Pour un traitement d'actes sensibles sans stockage, ce mode stateless simplifie directement la preuve de conformité lors d'un contrôle CNIL.
Comment sélectionner et contrôler un sous-traitant dans la durée ?
Choisir un sous-traitant conforme est une obligation, pas une option. La CNIL recommande d'exiger des preuves documentaires avant la signature et de maintenir une surveillance active tout au long de la relation contractuelle.
Critères de sélection avant contractualisation
- Existence d'une politique de sécurité documentée et à jour
- Certifications pertinentes (ISO 27001, ISO 27701, SOC 2) - à vérifier sur leur périmètre réel
- Historique d'incidents : le prestataire a-t-il subi des violations ? Comment les a-t-il gérées ?
- Capacité à fournir un DPA conforme à l'article 28 sans négociation excessive
- Localisation des données et mécanismes de transfert si hébergement hors UE
- Procédure de notification des incidents : délais, interlocuteurs, canaux
Procédure de due diligence documentaire
1. Demander la politique de sécurité et le plan de continuité d'activité (PCA/PRA).
2. Obtenir la liste des sous-traitants ultérieurs envisagés et leurs propres garanties.
3. Vérifier les certifications (date de délivrance, périmètre, organisme certificateur).
4. Analyser le DPA proposé par le prestataire au regard de la checklist de l'article 28.
5. Documenter les résultats dans votre registre et conserver les preuves recueillies.
Contrôles périodiques en cours de contrat
La sélection initiale ne suffit pas. Prévoyez contractuellement :
- Un audit annuel ou sur demande, avec droit d'accès aux locaux et aux systèmes (ou recours à un auditeur tiers mandaté).
- Des indicateurs SLA de sécurité : taux de disponibilité, délai de notification des incidents, fréquence des sauvegardes.
- Un rapport de conformité périodique fourni par le sous-traitant (résultats de tests, mises à jour des certifications).
- La mise à jour du DPA à chaque évolution significative du traitement ou de l'architecture technique.
Conservez toutes ces preuves dans un dossier de conformité dédié. En cas de contrôle CNIL, c'est ce dossier qui démontre votre diligence - pas le contrat seul.
Qui est responsable en cas de violation, et quelles sanctions risquez-vous ?
La responsabilité en cas de faille de données est partagée, mais pas symétrique. Le responsable de traitement répond en premier lieu vis-à-vis des personnes concernées et de la CNIL. Le sous-traitant engage sa responsabilité propre s'il a agi hors instruction ou manqué à ses obligations de sécurité.
Obligations de notification en cas de violation
- Le sous-traitant doit notifier le responsable de traitement sans délai injustifié dès qu'il prend connaissance d'une violation - le DPA doit fixer un délai précis, généralement 24 à 48 heures.
- Le responsable dispose ensuite de 72 heures pour notifier la CNIL, sauf si la violation est peu susceptible d'engendrer un risque pour les personnes concernées.
- Si la violation présente un risque élevé pour les droits et libertés des personnes, le responsable doit également les informer directement.
Sanctions et jurisprudence
Les sanctions administratives prononcées par la CNIL peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Les manquements contractuels entre responsable et sous-traitant ouvrent également la voie à des actions en responsabilité civile.
Sur le plan jurisprudentiel, un arrêt de la Cour de cassation d'octobre 2025 rappelle la rigueur du régime applicable au sous-traitant en matière contractuelle : la présomption de faute et la causalité renforcée pèsent lourdement sur le prestataire qui ne peut prouver qu'il a respecté ses engagements. Bien que cet arrêt porte sur un contexte contractuel distinct du RGPD, il illustre la tendance des juridictions françaises à durcir les exigences probatoires envers les sous-traitants.
Pour les violations impliquant des données RH, les exemples concrets de violations RGPD montrent que les manquements du sous-traitant rejaillissent systématiquement sur le responsable, même lorsque la faille est technique et extérieure à son périmètre direct.
Plan d'action prioritaire : que faire dès maintenant ?
Voici les actions à mener sans attendre, classées par urgence.
Priorités selon la criticité des données
Pour les traitements impliquant des données sensibles (santé, données financières, données judiciaires, données RH), renforcez les contrôles : audit annuel obligatoire, chiffrement de bout en bout, pseudonymisation systématique avant transmission au sous-traitant.
Pour les traitements courants à risque modéré, une revue documentaire annuelle et la mise à jour du DPA suffisent généralement, à condition que les TOM de base soient en place et vérifiables.
Documents à conserver dans votre dossier de conformité
- DPA signé avec chaque sous-traitant et ses avenants
- Résultats des due diligences (politiques de sécurité, certifications, questionnaires)
- Rapports d'audit et comptes-rendus de visites
- Preuves de notification en cas de violation (horodatage, contenu, destinataires)
- Registre des activités de traitement mis à jour
Conseil de pro : Conservez ces documents pendant au moins 5 ans après la fin du contrat. En cas de contrôle CNIL ou de litige, la charge de la preuve repose sur vous - et un dossier lacunaire équivaut à une absence de conformité aux yeux des autorités.
Points clés
La conformité RGPD en sous-traitance repose sur trois piliers indissociables : la qualification factuelle des rôles, un DPA complet et des mesures techniques démontrables.
| Point | Détails |
|---|---|
| Qualification des rôles | La réalité factuelle prime sur le contrat : documentez qui décide des finalités et des moyens essentiels. |
| Contrat DPA obligatoire | L'article 28.3 du RGPD impose un contrat écrit avec neuf mentions minimales avant tout traitement. |
| Mesures techniques (TOM) | Chiffrement, pseudonymisation et journalisation doivent être prouvables par des rapports et des logs datés. |
| Surveillance continue | Prévoyez des audits périodiques et conservez les preuves dans un dossier de conformité dédié. |
| Safe-doc en pratique | Safe-doc pseudonymise en temps réel, sans stockage, et génère des rapports d'audit exportables pour faciliter la preuve de conformité. |
La conformité en sous-traitance est un avantage concurrentiel, pas une contrainte
On présente souvent la conformité RGPD comme un coût : des contrats à rédiger, des audits à financer, des procédures à documenter. Cette lecture est courte. Pour un DSI, un DPO ou un directeur juridique qui gère des prestataires sensibles, une gouvernance solide des sous-traitants produit des effets concrets sur la compétitivité.
Les clients grands comptes et les donneurs d'ordre publics exigent désormais des preuves de conformité avant de signer. Un dossier de conformité structuré, avec DPA à jour, certifications vérifiées et rapports d'audit récents, raccourcit les cycles de vente et réduit les frictions lors des appels d'offres. À l'inverse, une faille chez un sous-traitant mal encadré peut bloquer une transaction, déclencher une procédure CNIL et générer des coûts bien supérieurs à ceux d'un programme de conformité bien conduit.
La réduction du risque opérationnel passe aussi par des choix techniques. Pseudonymiser les données avant de les transmettre à un sous-traitant, ou choisir un prestataire en mode stateless, réduit mécaniquement le périmètre d'exposition. Moins de données persistantes chez le sous-traitant signifie moins de surface d'attaque, moins de données à notifier en cas d'incident, et une preuve de conformité plus simple à produire.
Mon conseil : ne traitez pas la surveillance des sous-traitants comme un exercice annuel. Automatisez ce que vous pouvez - alertes sur les certifications expirées, rappels de révision des DPA, collecte automatique des rapports de sécurité - et concentrez l'effort humain sur les prestataires à risque élevé. C'est là que la vigilance produit le plus d'effet.
Safe-doc vous aide à protéger vos données en sous-traitance
Pseudonymiser vos documents sensibles avant de les confier à un sous-traitant ou à un outil d'IA, c'est exactement ce que fait Safe-doc, sans stocker une seule donnée. La plateforme détecte automatiquement plus de 90 types d'informations personnelles et confidentielles (PII, données financières, données RH), les remplace par des alias en temps réel, et génère un rapport d'audit exportable au format PDF.
Pour les DSI et RSSI, l'architecture zéro stockage par conception simplifie directement la preuve de conformité lors d'un contrôle CNIL : aucune donnée persistante chez le sous-traitant, aucun risque de fuite à documenter. Pour les DPO, la page pseudonymisation, conformité et audit détaille comment les rapports d'audit Safe-doc s'intègrent dans un dossier de conformité RGPD. Les cas d'usage couvrent l'analyse de data room en M&A, les dossiers RH, les documents juridiques et les opérations de due diligence.
Testez la plateforme ou demandez une démonstration directement sur safe-doc.ai pour voir comment Safe-doc s'intègre dans votre chaîne de sous-traitance existante.
Sources officielles à consulter
Ces références constituent la base documentaire de tout dossier de conformité RGPD en matière de sous-traitance. Conservez-les accessibles pour vos équipes juridiques et techniques.
- Travailler avec un sous-traitant | CNIL
- Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles | CNIL
- Sécurité : Gérer la sous-traitance | CNIL
- RGPD - Guide sous-traitant | CNIL (PDF)
- EDPB - Concepts: responsable et sous-traitant (guidelines 07/2020) (FR)
- Legifrance - Référence CNIL (texte officiel)
- Obligation de résultat du sous-traitant - analyse Cour de cassation (Village Justice)
- WP169 - Concepts controller/processor (ancien Article 29 Working Party)
Cet article fournit des informations générales sur le cadre RGPD applicable à la sous-traitance en France. Il ne constitue pas un conseil juridique. Pour toute situation spécifique, consultez un juriste spécialisé en protection des données ou votre DPO, et vérifiez les textes en vigueur auprès de la CNIL et sur Legifrance.