Quels prestataires sont des sous-traitants au sens du RGPD ?
Un sous-traitant traite des données personnelles pour le compte d'un autre organisme, le responsable du traitement. Si vous êtes le client, ce responsable, c'est vous. Pour la CNIL, l'objet de la sous-traitance correspond le plus souvent au métier du prestataire : routage de courriels, hébergement de données, maintenance ou support. Un accès seulement ponctuel aux données, comme une opération de maintenance, en relève aussi. En revanche, un éditeur qui vend un logiciel sans traiter vos données n'est pas concerné.
L'informatique en nuage suit la même logique. Selon une page de la CNIL datée du 28/05/2026, le fournisseur qui stocke vos données sur vos instructions est en principe sous-traitant. Une autre page de la CNIL classe sous-traitant le développeur d'une application mobile qui intervient sur les données hébergées de l'application, pour sa maintenance. Elle rappelle que « La qualification ne dépend pas d'un choix contractuel mais des faits » : en cas de contrôle, elle peut requalifier les acteurs.
Exemple
Prenons une menuiserie qui confie son site et ses formulaires à un indépendant. S'il héberge les demandes de devis reçues par le site, il les traite pour le compte de la menuiserie. Il est donc son sous-traitant.
Votre responsabilité, elle, ne se transfère pas. Même face à un grand prestataire, précise la CNIL, le responsable du traitement ne peut pas se décharger de ses obligations. Il vérifie que les clauses sont conformes et, s'il accepte le service, il reste responsable.
Que doit contenir le contrat de l'article 28 ?
Le paragraphe 3 de l'article 28 du RGPD fixe le socle. Le contrat définit l'objet et la durée du traitement, sa nature, sa finalité, le type de données et les catégories de personnes concernées. Il précise vos obligations et vos droits de responsable du traitement. Le paragraphe 9 exige un écrit, y compris sous forme électronique.
Le même paragraphe 3 énumère ensuite, de a) à h), les engagements du prestataire. La Commission européenne les reprend dans ses clauses types, adoptées le 04/06/2021 par la décision d'exécution (UE) 2021/915.
| Ce que l'article 28 exige | Où le trouver dans les clauses types |
|---|---|
| Objet, durée, nature et finalité du traitement, types de données, catégories de personnes. | Clause 6 et annexe II. |
| a) Traiter les données sur instruction documentée du client. | Clause 7.1. |
| b) Engager à la confidentialité les personnes autorisées. | Clause 7.4, point b). |
| c) Prendre les mesures de sécurité de l'article 32. | Clause 7.4 et annexe III. |
| d) Respecter les conditions pour recruter un autre sous-traitant. | Clause 7.7 et annexe IV. |
| e) Aider le client à répondre aux demandes des personnes concernées. | Clause 8, points a) et b). |
| f) Aider le client pour la sécurité, les violations et l'analyse d'impact (articles 32 à 36). | Clause 8, point c), et clause 9. |
| g) Supprimer ou renvoyer les données en fin de prestation, puis détruire les copies. | Clause 10, point d). |
| h) Fournir les informations qui prouvent la conformité et permettre les audits. | Clause 7.6. |
Recopier ces points ne suffit pas. Pour la CNIL, « Le contrat ne doit pas se contenter de reproduire le RGPD ». Il doit expliquer comment les obligations seront tenues, notamment le niveau de sécurité. Sa fiche sur la sous-traitance attend des règles sur l'authentification des utilisateurs, la restitution et la destruction des données, la notification des incidents. Elle range parmi les erreurs le fait de démarrer la prestation sans contrat signé.
Clauses types de la Commission ou exemple de la CNIL : lequel prendre ?
Les clauses types ne sont pas obligatoires. La CNIL le précise : un contrat qui contient tous les éléments exigés par l'article 28 suffit. Leur force tient à leur statut. D'après les questions-réponses de la Commission européenne, en anglais, elles valent dans tout l'Espace économique européen. Elles s'imposent à toutes ses autorités de protection des données.
La clause 2 interdit de modifier le texte, sauf pour compléter ou mettre à jour les annexes. Vous pouvez les insérer dans un contrat plus large, sans les contredire. Il faut choisir les options proposées, remplir les annexes et signer l'annexe I, qui liste les parties. Un texte réécrit perd la sécurité juridique d'un acte de l'Union, prévient la Commission.
L'annexe III décrit les mesures de sécurité. Sa note est nette : « Les mesures techniques et organisationnelles doivent faire l'objet d'une description concrète, et non pas générique ». Selon la clause 1, ces clauses ne suffisent pas pour un transfert hors de l'Union : la CNIL renvoie alors aux clauses types dédiées aux transferts.
L'exemple de clauses de la CNIL, daté du 04/10/2017, a été publié dans l'attente de clauses types. Pour la CNIL, « Ces clauses ne constituent pas, à elles seules, un contrat de sous-traitance ». Elles restent utiles pour lire un contrat : leurs options montrent qui informe les personnes et qui répond à leurs demandes. Elles laissent aussi en blanc le délai de notification d'une violation, à fixer en heures.
Indépendant du numérique en Pévèle : quelles obligations de votre côté ?
Ces contrats se signent aussi dans l'autre sens. D'après le dossier complet de l'Insee, l'intercommunalité Pévèle Carembault comptait 417 unités légales actives dans l'information et la communication en 2024. En 2025, 104 entreprises de ce secteur y ont été créées, dont 76,9 % d'entreprises individuelles. Dans la nomenclature de l'Insee, ce secteur comprend notamment l'édition de logiciels et les activités informatiques.
Si vous hébergez ou maintenez l'outil qui contient les données d'un client, le RGPD vous vise directement. Vous tenez un registre des traitements faits pour vos clients (article 30, paragraphe 2). Vous prévenez le client d'une violation « dans les meilleurs délais » (article 33, paragraphe 2). Vous l'alertez si une instruction vous paraît contraire au RGPD. Vous ne recrutez un autre sous-traitant qu'avec son autorisation écrite, et vous répondez de lui.
La CNIL a publié un cas fictif le 27/05/2026. Une coupure imprévue chez un sous-traitant, susceptible de durer, y oblige chaque client à notifier une violation. L'article 83 du RGPD prévoit des amendes pour les manquements aux articles 25 à 39, dont l'article 28. L'amende peut atteindre 10 millions d'euros ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial de l'exercice précédent. Le montant le plus élevé est retenu.
C'est mon cas : mon entreprise individuelle est installée à Coutiches, comme l'indique ma fiche d'entreprise. Quand une mission me fait traiter vos données, un contrat de sous-traitance au sens de l'article 28 accompagne le devis. Vous restez responsable du traitement ; j'agis sur vos instructions écrites, et je supprime ou restitue les données à la fin, comme l'indiquent les questions fréquentes. Le nom de domaine, l'hébergement et les comptes sont à votre nom dès le départ, selon ma méthode. L'hébergeur est alors, en principe, votre propre sous-traitant : son contrat se relit avec la même grille.
Comment vérifier le contrat de votre prestataire, point par point ?
Je vous propose dix points à vérifier, avant de signer ou pour relire un contrat en cours.
À vérifier
- Le contrat existe par écrit, papier ou électronique, et il est signé avant le début de la prestation.
- La description du traitement est remplie : données, personnes concernées, finalité, durée. Dans les clauses types, c'est l'annexe II.
- Vos instructions sont écrites. Pour une opération non prévue, la CNIL préconise une renégociation ou, au moins, une instruction écrite.
- Les mesures de sécurité sont décrites concrètement : accès, authentification, chiffrement, restauration après incident.
- La liste des autres sous-traitants est jointe, avec le mode d'autorisation choisi et le délai pour vous opposer à un changement.
- Un délai et un moyen de notification des violations sont fixés. Ce délai doit vous laisser le temps de notifier la CNIL, si possible dans les 72 heures, quand la violation présente un risque.
- La fin de mission est prévue : suppression ou restitution des données, destruction des copies, justificatif écrit.
- Le lieu d'hébergement est connu. La CNIL déconseille un service en nuage sans garantie sur la localisation effective des données.
- Aucune clause n'autorise le prestataire à réutiliser vos données de façon générale : pour la CNIL, une autorisation préalable et générale de réutilisation n'est pas légale.
- Le prestataire s'engage à fournir ses informations de conformité et à accepter les audits.
Pour une question sur vos obligations, la CNIL répond gratuitement aux professionnels, par téléphone ou par formulaire. Ses canaux et ses horaires figurent sur sa page de contact. Ces règles sont celles des textes en vigueur au 26/09/2026 : vérifiez votre situation auprès de la CNIL.