Sous-traitant RGPD (article 28)

Définition

Le sous-traitant, au sens du RGPD, est l’entité qui traite des données personnelles pour le compte et sur instructions d’un responsable de traitement : hébergeur, éditeur SaaS, prestataire de paie, centre d’appels. Cette qualification, indépendante de la sous-traitance au sens commercial du terme, déclenche un régime propre : encadrement contractuel obligatoire (le DPA de l’article 28), obligations directes du sous-traitant et responsabilité partagée.

Enjeux et pratique

La qualification est le point de départ et la source principale d’erreurs. Trois rôles sont possibles pour un prestataire qui manipule des données : sous-traitant (il traite pour le compte du client, selon ses instructions), responsable de traitement autonome (il détermine lui-même finalités et moyens, comme un avocat ou un expert-comptable pour ses obligations propres) ou responsable conjoint (finalités déterminées ensemble). Chaque rôle emporte un régime contractuel différent, et la qualification dépend des faits, pas des étiquettes : un contrat qui proclame le prestataire sous-traitant ne tient pas si celui-ci réutilise les données pour son propre compte, par exemple pour entraîner ses modèles ou enrichir ses bases. Ce point, devenu central avec les services d’IA, mérite une vérification clause par clause.

Une fois la qualification posée, le sous-traitant a des obligations directes, sanctionnables indépendamment du contrat : registre de ses traitements, sécurité, notification des violations à son client sans délai indu, encadrement de ses propres sous-traitants ultérieurs, coopération avec les autorités. Le responsable, lui, doit choisir des sous-traitants présentant des garanties suffisantes et encadrer la relation par le DPA.

Pour la gestion du portefeuille, l’exercice est un cas d’école de qualification de masse : passer en revue les prestataires, déterminer le rôle de chacun (avec les cas frontières documentés), vérifier l’existence et la version du DPA, et tenir cette qualification à jour au fil des évolutions de service. C’est exactement le type d’attribut qui justifie une métadonnée dédiée dans le référentiel contractuel.

Exemple concret

Une entreprise qualifie systématiquement ses 80 prestataires manipulant des données. Trois cas frontières émergent : un éditeur d’outil marketing qui réutilise les données de navigation à des fins propres (responsable autonome sur ce périmètre, et non sous-traitant comme son contrat l’affirmait), une plateforme de recrutement co-décidant des finalités (responsabilité conjointe à formaliser), et un prestataire d’IA dont les conditions autorisaient l’usage des données pour l’amélioration du service (clause renégociée). Sans cet exercice, les trois auraient été couverts par des DPA inadaptés, c’est-à-dire par rien.

Question fréquente

Un sous-traitant RGPD peut-il être sanctionné directement par la CNIL ?

Oui. Le RGPD impose au sous-traitant des obligations propres (sécurité, registre, notification, sous-traitance ultérieure), dont la violation l’expose directement aux sanctions, indépendamment de la responsabilité de son client. Le contrat répartit les responsabilités entre les parties, il ne fait pas écran vis-à-vis de l’autorité.