Sous-traitant RGPD : définition et obligations de l’article 28

Une PME confie son service client à un prestataire. Les conseillers répondent aux courriels depuis le CRM de l’entreprise, avec les scripts et les durées de conservation qu’elle a fixés. Rien de ce qu’ils manipulent ne leur appartient. Dans ce schéma, le prestataire a le profil type du sous-traitant RGPD : il agit pour le compte de son client.

L’intitulé du contrat ne tranche rien : lors d’un contrôle, la CNIL peut requalifier les rôles que les parties se sont attribués, d’après ce qui se passe réellement.

La fiche part donc de la définition et des trois rôles de la chaîne. Elle montre ensuite ce que l’article 28 exige, où se logent les sous-traitants ultérieurs et les transferts, puis ce qu’il faut vérifier avant de signer.

Qu’est-ce qu’un sous-traitant au sens du RGPD ?

Pour l’article 4 du RGPD, le sous-traitant est la personne, l’autorité publique ou l’organisme qui traite des données personnelles pour le compte du responsable du traitement. Traiter s’entend au sens large : collecter, consulter, conserver, modifier ou effacer.

Le Comité européen de la protection des données (CEPD) en tire deux conditions cumulatives : être une entité distincte du client et agir pour son compte. Un salarié n’est donc jamais le sous-traitant de son employeur. Une filiale peut l’être de sa maison mère.

Le sous-traitant suit les instructions du responsable, avec une marge sur les moyens techniques, précise la CNIL. Exemple type : l’hébergeur qui stocke les fichiers d’une entreprise.

Le nom du métier ne suffit jamais. Selon la CNIL, un fournisseur de cloud agit en principe comme sous-traitant pour fournir son service. S’il analyse les usages de tous ses clients pour améliorer son offre, il en devient responsable de traitement. La qualification se fait traitement par traitement, pour une agence ou un freelance aussi.

Responsable de traitement, sous-traitant et sous-traitant ultérieur : comment les distinguer ?

La qualification doit être examinée au regard de la réalité des traitements, pas de l’intitulé du contrat. La CNIL ramène l’analyse à deux questions : qui décide de quoi, qui exécute quoi.

Le responsable fixe la finalité et les moyens essentiels : quelles données, pour combien de temps, transmises à qui. Les moyens non essentiels, comme le choix d’un logiciel, peuvent revenir au sous-traitant.

Même face à un grand prestataire aux conditions standard, le client reste responsable du traitement qu’il externalise, rappelle la CNIL.

Un prestataire peut aussi porter deux casquettes : sous-traitant pour les données de ses clients, responsable pour celles de ses salariés. Réutiliser à ses propres fins des données confiées suppose, selon la CNIL, un usage compatible avec le traitement initial et l’autorisation écrite du client.

Ce que l’article 28 du RGPD impose avant et pendant la prestation

Tout commence par le choix. Le responsable ne fait appel qu’à des sous-traitants présentant des garanties suffisantes. La CNIL y range la compétence technique, la fiabilité, les moyens disponibles, ou l’adhésion à un code de conduite ou à une certification.

La relation est ensuite régie par un contrat ou un autre acte juridique écrit, format électronique compris. Négocié ou fondé sur les clauses contractuelles types de l’article 28, il couvre au moins six points :

• Objet : durée, nature et finalité du traitement, types de données, catégories de personnes concernées, droits et obligations du client.
• Instructions documentées : le prestataire ne traite les données que sur instruction du client, transferts hors Union compris, sauf obligation légale qu’il signale avant d’agir. Il alerte le client si une instruction lui paraît contraire au RGPD.
• Confidentialité et sécurité : engagement de confidentialité des personnes autorisées, mesures de l’article 32 (chiffrement, pseudonymisation, restauration, tests réguliers).
• Assistance et incidents : aide au client pour répondre aux demandes des personnes, sécuriser le traitement, mener une analyse d’impact ou gérer une violation.
• Fin de prestation : au choix du client, suppression ou restitution des données, puis destruction des copies, sauf obligation de conservation.
• Contrôle : informations prouvant le respect des obligations, audits et inspections par le client ou un auditeur qu’il mandate.

Le cas n’a rien de théorique. Le 11 décembre 2025, la CNIL a infligé un million d’euros d’amende à l’ancien sous-traitant marketing d’une plateforme musicale. Il avait gardé une copie des données après la fin du contrat et s’en servait, sans instruction, pour ses propres services.

Côté incidents, le sous-traitant alerte son client dans les meilleurs délais (article 33), puis le client notifie la violation à la CNIL, si possible sous 72 heures. Une alerte tardive consomme ce délai à sa place.

La CNIL se méfie aussi des contrats qui recopient le règlement : elle attend un texte qui dit comment chaque obligation sera appliquée. Prix, niveaux de service et loi applicable relèvent d’autres clauses ; hors de France, le guide ExternFlow sur la loi du contrat traite ce volet.

Recours à un sous-traitant ultérieur et transferts hors UE

Un sous-traitant ne recrute pas un autre prestataire sans autorisation écrite préalable du responsable, spécifique (un prestataire nommé) ou générale. Dans le second cas, il annonce chaque ajout ou remplacement, et le client peut s’y opposer.

Le sous-traitant ultérieur reçoit par contrat les mêmes obligations de protection des données. S’il y manque, le sous-traitant initial en répond pleinement devant le client. Le CEPD attend du responsable qu’il connaisse à tout moment l’identité de toute la chaîne (avis 22/2024).

La localisation est une autre question : le RGPD n’interdit pas un prestataire établi hors de l’Union. L’envoi de données vers un pays tiers, ou leur mise à disposition, doit alors être encadré par le chapitre V : décision d’adéquation ou garanties appropriées. La question se pose concrètement lors de l’ouverture d’un GCC par un éditeur de logiciel hors de l’Union européenne.

Pour le CEPD, ouvrir un accès à distance à une entité distincte située hors de l’Union constitue déjà un transfert. Le télétravail d’un salarié de l’entreprise depuis l’étranger n’en constitue pas un à ce seul titre. Proche ou lointain, le prestataire relève de la même analyse, que reprend notre fiche sur les modèles de localisation.

Que vérifier avant de confier un traitement à un prestataire ?

Cette liste prépare les échanges avec le prestataire, sans remplacer un audit ni l’avis d’un juriste. Chaque point appelle une réponse écrite.

• Le périmètre réel : lister les traitements confiés, les catégories de données et les personnes concernées.
• Les garanties du prestataire : obtenir sa politique de sécurité, ses certifications et leur périmètre, ses interlocuteurs.
• Les instructions et le contrat : vérifier que les instructions sont écrites et que les responsabilités sont réparties sans zone grise.
• La chaîne de sous-traitance : demander la liste des sous-traitants ultérieurs et la procédure prévue pour en ajouter.
• La localisation et les accès : savoir où les données sont hébergées, qui y accède à distance et depuis quels pays.
• L’assistance, les incidents et la sortie : fixer les délais d’alerte et le sort des données, en s’appuyant sur les règles de sortie d’un prestataire.

Dernier réflexe, recommandé par la CNIL : documenter la qualification retenue et sa justification. Le délégué à la protection des données, s’il existe, en est le premier relecteur.

Ce qu’il faut retenir

Le sous-traitant RGPD agit pour le compte d’un responsable de traitement, qui garde la main sur la finalité et les moyens essentiels. L’article 28 encadre d’abord le choix du prestataire, puis le contrat écrit. Avant toute externalisation, une règle : examiner les traitements réels, la chaîne de sous-traitance et les garanties.

La fiche sur ce que recouvre la sous-traitance contractuelle évite de confondre les deux notions. Hors de l’Union, les garanties à réunir pour externaliser hors de l’Union européenne s’ajoutent aux obligations de tout sous-traitant RGPD.

Sources et références

Cet article s’appuie notamment sur l’article 28 du règlement général sur la protection des données publié sur EUR-Lex, dont les articles 4, 29, 32 et 33 ont aussi été relus, et sur le chapitre IV du RGPD tel que le publie la CNIL. La méthode de qualification vient de la page de la CNIL sur l’identification des rôles de responsable et de sous-traitant, de ses orientations de mai 2026 pour les acteurs du cloud et des lignes directrices 07/2020 du CEPD sur les notions de responsable du traitement et de sous-traitant. Les obligations pratiques s’appuient sur la page de la CNIL consacrée au travail avec un sous-traitant, sur sa fiche de sécurité dédiée à la sous-traitance et sur l’avis 22/2024 du CEPD relatif aux sous-traitants ultérieurs. L’exemple de sanction vient de la décision de la CNIL du 11 décembre 2025 contre un sous-traitant, publiée sur Légifrance (délibération SAN-2025-014). La question des transferts renvoie au cadre général des transferts hors de l’Union présenté par la CNIL et aux lignes directrices 05/2021 du CEPD. Sources vérifiées le 22 septembre 2026, à revoir à chaque évolution du RGPD, de la doctrine de la CNIL ou des lignes directrices du CEPD.