Quelles sont les obligations d'un sous-traitant au sens du RGPD ?

Qui est sous-traitant ?

Selon l'article 4, le sous-traitant est la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement. Il n'a pas d'intérêt propre aux données : il fournit un service et exécute des instructions. Les exemples sont innombrables, car presque toute externalisation implique des données personnelles : hébergement d'un site ou d'une messagerie, logiciel de gestion en mode SaaS, prestataire d'envoi d'e-mails, centre d'appels, prestataire de paie, cabinet de recrutement mandaté, société de maintenance informatique ou secrétariat externalisé qui gère l'agenda et les appels d'un cabinet.

Le contrat de sous-traitance

L'article 28 impose que la relation soit régie par un contrat ou un autre acte juridique écrit, y compris sous forme électronique, qui définit l'objet et la durée du traitement, sa nature et sa finalité, le type de données, les catégories de personnes concernées et les obligations et droits du responsable. Le contrat doit en outre comporter une série de clauses obligatoires. La Commission européenne a adopté en 2021 des clauses contractuelles types pour cette relation (décision 2021/915), que les parties peuvent reprendre telles quelles ; la CNIL propose aussi un exemple de clauses dans son guide du sous-traitant.

Le devoir d'alerte

Le sous-traitant doit informer immédiatement le responsable s'il estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition du droit de la protection des données. Ce devoir de conseil n'est pas une formalité : un prestataire qui exécute sans réserve une demande manifestement illicite, comme l'envoi de prospection à une liste achetée sans consentement, s'expose lui aussi.

Les obligations propres du sous-traitant

Depuis le RGPD, le sous-traitant n'est plus un simple exécutant contractuel : il a des obligations directes, contrôlées et sanctionnables par la CNIL. Il doit tenir un registre des catégories d'activités de traitement effectuées pour le compte de ses clients (article 30, paragraphe 2), mettre en œuvre une sécurité adaptée au risque, notifier à son client toute violation de données dans les meilleurs délais après en avoir pris connaissance, désigner un délégué à la protection des données dans les mêmes cas qu'un responsable, et encadrer les transferts hors de l'Union. La CNIL a déjà sanctionné des sous-traitants pour des défauts de sécurité, indépendamment de leurs clients.

La sous-traitance ultérieure

Un sous-traitant ne peut recruter un autre sous-traitant sans l'autorisation écrite, spécifique ou générale, du responsable. En cas d'autorisation générale, il doit informer son client de tout changement prévu afin que celui-ci puisse s'y opposer. Le sous-traitant ultérieur doit être soumis aux mêmes obligations par contrat, et le sous-traitant initial reste pleinement responsable envers son client de l'exécution de ces obligations. Il est donc utile de demander la liste à jour des sous-traitants ultérieurs et leur localisation.

Comment bien choisir un sous-traitant ?

Le responsable ne peut faire appel qu'à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures appropriées. Avant de signer, il est recommandé de vérifier la localisation des données et des accès, les certifications éventuelles, les mesures de sécurité, la politique de sauvegarde, la procédure en cas d'incident, la réversibilité en fin de contrat et la liste des sous-traitants ultérieurs. Pour une petite structure, quelques questions écrites et les réponses du prestataire constituent déjà une trace utile. Les situations les plus fréquentes sont détaillées dans deux articles du blog : l'un sur le prestataire informatique sous-traitant RGPD, l'autre sur le secrétariat externalisé et le RGPD.

Quand le sous-traitant devient responsable

Un sous-traitant qui détermine lui-même les finalités et les moyens d'un traitement, en violation du contrat, est considéré comme responsable de ce traitement (article 28, paragraphe 10). C'est le cas lorsqu'il réutilise les fichiers de ses clients pour sa propre prospection, constitue une base de données commerciale à partir des informations qu'on lui confie ou utilise les données pour entraîner ses outils sans autorisation. Il porte alors toutes les obligations d'un responsable, à commencer par l'obligation de disposer d'une base légale et d'informer les personnes, et engage pleinement sa responsabilité.

Qui paie en cas de dommage ?

L'article 82 prévoit que le sous-traitant n'est tenu pour responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations qui lui incombent spécifiquement ou s'il a agi en dehors des instructions licites du responsable ou contrairement à celles-ci. Lorsque plusieurs acteurs sont impliqués, chacun peut être tenu pour responsable de l'intégralité du dommage envers la personne, afin de garantir sa réparation effective, puis se retourner contre les autres pour la part qui leur revient. Le contrat peut organiser ces recours, mais il ne peut pas priver la personne de son droit à réparation.

Des exemples de sous-traitance au quotidien

La sous-traitance est omniprésente. L'hébergeur d'un site internet, l'éditeur d'un logiciel de paie en ligne, l'outil d'envoi de lettres d'information, le prestataire de maintenance informatique qui accède aux postes, le cabinet comptable pour la tenue de la paie, le centre d'appels qui gère le service client, le prestataire de destruction d'archives, l'outil de prise de rendez-vous ou la plateforme de signature électronique sont des sous-traitants lorsqu'ils traitent des données pour le compte de leur client, selon ses instructions. Un même prestataire peut être sous-traitant pour certaines activités et responsable pour d'autres, par exemple lorsqu'il utilise les données de ses clients pour sa propre facturation ou pour améliorer ses services.

Les professions réglementées

Les experts-comptables, avocats, commissaires aux comptes ou notaires agissent le plus souvent comme responsables de traitement pour les données de leurs clients, car ils déterminent eux-mêmes les finalités liées à leur mission et sont tenus par leurs obligations professionnelles. Un expert-comptable qui établit la paie pour le compte d'une entreprise peut cependant être qualifié de sous-traitant pour cette prestation, selon les modalités convenues. La qualification doit donc être analysée prestation par prestation.

Le contenu détaillé du contrat de l'article 28

Le contrat de sous-traitance doit comporter un ensemble de mentions obligatoires. Il définit l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes, ainsi que les obligations et les droits du responsable. Il impose au sous-traitant de ne traiter les données que sur instruction documentée, de garantir la confidentialité des personnes autorisées, de prendre les mesures de sécurité de l'article 32, de respecter les conditions de recours à un autre sous-traitant, d'aider le responsable à répondre aux demandes de droits, de l'aider à respecter ses obligations de sécurité, de notification des violations et d'analyse d'impact, de supprimer ou restituer les données à la fin de la prestation, et de mettre à disposition toutes les informations nécessaires pour démontrer le respect de ses obligations, y compris en permettant des audits. La Commission européenne a adopté en 2021 des clauses contractuelles types pour les relations entre responsable et sous-traitant au sein de l'Union, qui peuvent être utilisées telles quelles.

Négocier avec les grands prestataires

Face aux grands éditeurs de logiciels en ligne ou aux fournisseurs de cloud, une petite entreprise ne peut généralement pas négocier les clauses. Elle doit alors vérifier que l'accord de traitement des données proposé, souvent appelé DPA, contient bien les mentions de l'article 28, que la liste des sous-traitants ultérieurs est publiée et mise à jour, que les lieux d'hébergement sont connus et que les transferts éventuels hors de l'Union sont encadrés par une décision d'adéquation ou des clauses contractuelles types. Si ces garanties sont absentes, mieux vaut changer de prestataire : le responsable ne peut pas invoquer l'absence de négociation pour justifier un manquement.

Les certifications comme indices

Les certifications ne remplacent pas le contrat, mais elles constituent des indices utiles des garanties offertes. La certification ISO/IEC 27001 atteste d'un système de management de la sécurité, la qualification SecNumCloud de l'ANSSI garantit un haut niveau de sécurité et une immunité aux lois extraterritoriales, et la certification HDS est obligatoire pour l'hébergement de données de santé pour le compte de tiers. L'adhésion à un code de conduite approuvé, comme le code de conduite européen des fournisseurs d'infrastructures cloud (CISPE), peut aussi démontrer des garanties suffisantes au sens de l'article 28, paragraphe 5.

La fin de la prestation

La fin d'un contrat de sous-traitance est un moment souvent négligé. Le responsable doit obtenir, selon son choix, la restitution des données dans un format exploitable ou leur suppression, y compris des copies et des sauvegardes, avec une attestation écrite. Il doit aussi révoquer les accès du prestataire, changer les mots de passe partagés et vérifier que les sous-traitants ultérieurs ont eux aussi supprimé les données. Anticiper ces étapes dans le contrat, avec un délai et un format de restitution, évite de rester dépendant d'un prestataire ou de laisser des données orphelines sur des serveurs qui ne sont plus contrôlés.

Les sanctions visant les sous-traitants

Le RGPD permet de sanctionner directement les sous-traitants, ce que la directive de 1995 ne prévoyait pas. La CNIL a ainsi infligé en 2022 une amende de 1,5 million d'euros à la société Dedalus Biologie, éditeur de logiciels pour laboratoires, après une fuite des données de près de 500 000 patients : elle a retenu que l'éditeur avait extrait plus de données que demandé lors d'une migration et n'avait pas assuré leur sécurité. D'autres décisions ont visé des prestataires d'hébergement ou des éditeurs de solutions marketing. Ces précédents rappellent aux prestataires que la conformité n'est pas seulement l'affaire de leurs clients.

Le registre du sous-traitant

L'article 30, paragraphe 2, impose au sous-traitant de tenir son propre registre des activités de traitement effectuées pour le compte de ses clients. Il y recense le nom et les coordonnées de chaque responsable pour lequel il agit, les catégories de traitements effectués, les transferts éventuels hors de l'Union et une description générale des mesures de sécurité. Ce registre, distinct de celui que le prestataire tient pour ses propres traitements, comme la gestion de ses salariés ou de sa facturation, permet à la CNIL de comprendre l'étendue de son activité de sous-traitance. Beaucoup de prestataires, en particulier les petites entreprises de services numériques, l'ignorent encore.

La sécurité, obligation partagée

L'article 32 impose au responsable et au sous-traitant de mettre en œuvre les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Le sous-traitant est donc directement tenu de sécuriser les données qu'il traite, indépendamment de ce que prévoit le contrat. Il doit notamment gérer les accès de ses équipes, chiffrer les données lorsque c'est pertinent, assurer les sauvegardes, tenir à jour ses systèmes, journaliser les accès et tester régulièrement ses mesures. En cas de violation, il doit notifier son client dans les meilleurs délais, afin que celui-ci puisse respecter son propre délai de 72 heures à l'égard de la CNIL. Le contrat fixe généralement un délai plus court, de 24 ou 48 heures, et précise le contenu de l'alerte.

Le sous-traitant face aux demandes des autorités étrangères

Un sous-traitant soumis à une législation étrangère peut recevoir une demande d'accès d'une autorité publique d'un pays tiers, par exemple en application du Cloud Act américain. Les clauses contractuelles types de transfert de 2021 imposent alors au destinataire de notifier son client, de contester les demandes illégales et de ne communiquer que le minimum nécessaire. L'article 48 du RGPD rappelle qu'une décision d'une juridiction ou d'une autorité d'un pays tiers n'est reconnue que si elle est fondée sur un accord international, comme un traité d'entraide judiciaire. Pour les données les plus sensibles, le recours à un prestataire européen non soumis à ces législations, ou le chiffrement avec des clés détenues par le client, limite fortement ce risque.

Le sous-traitant et l'intelligence artificielle

De nombreux prestataires intègrent désormais des fonctions d'intelligence artificielle à leurs services : résumé automatique de réunions, aide à la rédaction, analyse de documents. Le client doit vérifier si les données transmises servent à entraîner les modèles du prestataire, ce qui ferait de ce dernier un responsable pour cette finalité, et si cette réutilisation peut être désactivée. Le contrat doit prévoir clairement la non-réutilisation ou, à défaut, une information des personnes et une base légale adaptée.

Bonnes pratiques pour le prestataire

Un prestataire qui veut rassurer ses clients a intérêt à proposer d'emblée un accord de traitement des données complet, une liste publique de ses sous-traitants ultérieurs avec un mécanisme d'information en cas de changement, une description claire de ses mesures de sécurité, un point de contact pour les questions de protection des données et une procédure documentée pour les violations et les demandes de droits. Ces éléments facilitent les appels d'offres, réduisent les échanges contractuels et constituent un argument commercial auprès des clients soucieux de leur conformité.

Les erreurs fréquentes dans la sous-traitance

Les contrôles révèlent des erreurs récurrentes. Beaucoup d'organismes n'ont signé aucun contrat avec leurs prestataires, ou se contentent de conditions générales qui ne reprennent pas les mentions de l'article 28. D'autres ignorent la liste des sous-traitants ultérieurs de leur prestataire, ou ne savent pas où leurs données sont hébergées. Les accès accordés aux prestataires de maintenance sont parfois permanents et partagés, sans journalisation. À la fin des contrats, les données restent chez l'ancien prestataire faute de demande de suppression. Enfin, certaines entreprises qualifient de sous-traitants des partenaires qui utilisent les données pour leur propre compte, comme des régies publicitaires, ce qui fausse toute l'analyse de conformité.

La sous-traitance en cascade dans le cloud

Les services en ligne reposent souvent sur une chaîne de prestataires : un éditeur de logiciel s'appuie sur un hébergeur, qui utilise lui-même un fournisseur de centres de données, tandis qu'un service d'envoi de courriels ou un outil d'assistance client intervient en parallèle. Chaque maillon qui traite des données pour le compte du responsable est un sous-traitant ultérieur, qui doit être autorisé et lié par les mêmes obligations que le sous-traitant initial. Le responsable doit pouvoir connaître cette chaîne, au moins par la liste publiée par son prestataire, et être informé des changements pour pouvoir s'y opposer. Lorsque la chaîne comporte un prestataire établi hors de l'Union, la question des transferts se pose à chaque maillon, et le sous-traitant initial doit mettre en place les clauses contractuelles types appropriées avec ses propres sous-traitants.

Vérifier un sous-traitant en dix minutes

Avant de signer avec un nouveau prestataire, quelques vérifications rapides permettent d'écarter les offres les moins sérieuses : existence d'un accord de traitement des données accessible en ligne, liste des sous-traitants ultérieurs, localisation de l'hébergement, mention des transferts et de leur encadrement, description des mesures de sécurité, certifications éventuelles, procédure de notification des violations, conditions de suppression des données en fin de contrat et coordonnées d'un contact protection des données. Un prestataire incapable de fournir ces éléments présente un risque qu'il vaut mieux ne pas prendre.