Guide pratique — RGPD et sous-traitance
Hébergeur web, logiciel de comptabilité en ligne, outil de newsletter, agence qui gère votre site : dès qu'un prestataire touche aux données de vos clients, le RGPD impose un contrat écrit avec des clauses précises (article 28). Ce qu'il doit contenir, comment repérer vos sous-traitants — et pourquoi vous restez responsable de leur choix.
Est sous-traitant (article 4.8 du RGPD) tout prestataire qui traite des données personnelles pour votre compte, sur vos instructions : hébergeur du site, logiciel de compta ou de paie en ligne, outil de newsletter, agence web. Vous, qui décidez du « pourquoi » et du « comment » du traitement, êtes le responsable de traitement (article 4.7). Dès qu'un prestataire traite des données pour vous, un contrat écrit est obligatoire (article 28.3) : objet, durée, finalités, type de données, et les obligations du sous-traitant (instructions documentées, confidentialité, sécurité, sous-traitance ultérieure encadrée, aide aux droits des personnes, suppression ou restitution en fin de contrat, audits). Vous ne pouvez choisir que des sous-traitants présentant des garanties suffisantes (article 28.1) : le choix reste votre responsabilité. Attention aux outils américains : transfert licite si l'entreprise est certifiée dans le Data Privacy Framework UE–États-Unis (depuis juillet 2023), sinon clauses contractuelles types. L'absence de contrat relève de l'article 83.4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires.
Le RGPD distingue deux rôles, définis à l'article 4 du règlement européen 2016/679. Le responsable de traitement (article 4.7) est celui qui détermine les finalités et les moyens du traitement — en clair, celui qui décide pourquoi et comment les données sont collectées. Pour le formulaire de contact de votre site, votre fichier clients ou votre newsletter, c'est vous.
Le sous-traitant (article 4.8) est celui qui traite des données personnelles pour le compte du responsable de traitement, sur ses instructions. Il ne décide pas de l'usage des données : il fournit un service qui les manipule. Si un prestataire décide lui-même de ce qu'il fait de vos données — les réutilise pour son compte, par exemple —, il n'est plus sous-traitant mais responsable de traitement, et la relation change de nature.
Concrètement, pour une TPE, les sous-traitants les plus courants sont :
Le réflexe à adopter : faites la liste de tous les outils et prestataires qui stockent, consultent ou manipulent des données de vos clients, prospects, salariés ou visiteurs. Chacun est un sous-traitant, même si personne ne l'a jamais appelé comme ça.
C'est le cœur de l'obligation : le traitement par un sous-traitant doit être encadré par un contrat ou un autre acte juridique, écrit — y compris sous forme électronique. Pas de contrat, pas de sous-traitance conforme, même avec un prestataire sérieux et connu.
Le contrat fixe d'abord le cadre du traitement :
Il impose ensuite au sous-traitant une série d'obligations précises :
Bonne nouvelle pour les TPE : vous n'avez pas à rédiger ces contrats vous-même. Les grands outils en ligne publient des clauses de traitement de données standard — souvent appelées DPA (Data Processing Agreement) ou « addendum sur la protection des données » — qui reprennent ces stipulations et s'ajoutent à leurs conditions générales. Votre travail consiste à les accepter, les télécharger et les conserver : c'est votre preuve de conformité. Pour un prestataire de proximité (agence web, informaticien), en revanche, vérifiez qu'un tel contrat existe — c'est souvent là qu'il manque.
Beaucoup d'outils du quotidien — e-mailing, analytics, cloud, support — sont fournis par des entreprises américaines ou stockent les données hors de l'Union européenne. Or un transfert de données personnelles vers un pays tiers n'est licite que s'il est encadré (chapitre V du RGPD).
Depuis le 10 juillet 2023, le cas américain est simplifié : la Commission européenne a adopté une décision d'adéquation pour le Data Privacy Framework (DPF) UE–États-Unis. Les entreprises américaines certifiées dans ce cadre offrent un niveau de protection jugé équivalent à celui de l'UE : transférer des données vers elles ne demande pas de formalité supplémentaire. La liste officielle des entreprises certifiées est publiée sur dataprivacyframework.gov — les grandes plateformes (Google, Microsoft, Amazon Web Services, Meta, Mailchimp…) y figurent.
Si votre outil n'est pas certifié DPF, il faut une autre garantie : en pratique, les clauses contractuelles types (CCT) adoptées par la Commission européenne, intégrées au contrat avec l'importateur. La plupart des fournisseurs sérieux les proposent dans leur DPA. Le réflexe pour chaque outil : où sont stockées les données ? L'entreprise est-elle certifiée DPF ? Sinon, ses conditions intègrent-elles les CCT ? Quand c'est possible, choisir un hébergeur ou un outil qui garde les données dans l'UE reste la solution la plus simple à justifier.
Point capital, souvent mal compris : déléguer un traitement ne délègue pas la responsabilité. L'article 28.1 vous oblige à ne recourir qu'à des sous-traitants « présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ». Autrement dit, le choix du prestataire fait partie de votre conformité : réputation, localisation des données, engagements de sécurité, existence d'un DPA — autant d'éléments que vous êtes censé vérifier avant de confier vos données.
Le sous-traitant a bien sûr ses propres obligations directes (articles 28 à 32 et 82 : sécurité, respect des instructions, alerte sans délai en cas de violation) et peut être sanctionné ou tenu de réparer le dommage. Mais si votre outil de newsletter perd votre base d'abonnés, c'est vous que les personnes concernées et la CNIL regarderont en premier : évaluer le risque, notifier la violation sous 72 heures le cas échéant, informer les personnes — tout cela reste à votre charge. D'où l'importance du contrat : c'est lui qui oblige le sous-traitant à vous prévenir et à coopérer.
Prenons le cas le plus courant chez un artisan ou un commerçant : un site vitrine avec un formulaire de contact et une petite newsletter. L'exercice prend une demi-heure et consiste à répondre, outil par outil, à deux questions : cet outil touche-t-il des données personnelles ? Où sont-elles stockées ?
Pour chacun, conservez la preuve : le DPA signé ou accepté, la date, et la vérification faite (certification DPF, localisation UE…). Ce petit dossier, ajouté à votre registre des traitements — qui doit justement mentionner les destinataires et sous-traitants —, constitue l'essentiel de ce que la CNIL attend d'une TPE sur ce sujet. C'est aussi ce qui doit apparaître dans votre politique de confidentialité, côté destinataires des données.
Les manquements aux obligations relatives à la sous-traitance — choix d'un sous-traitant sans garanties suffisantes, absence ou insuffisance du contrat de l'article 28 — relèvent de l'article 83.4 du RGPD : amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé). C'est le niveau intermédiaire des sanctions, le même que pour les manquements de sécurité ou de notification des violations.
En pratique, une TPE est rarement contrôlée uniquement pour ce motif : le manquement se révèle à l'occasion d'un autre problème — une violation de données chez un prestataire, une plainte d'un client — et s'ajoute alors aux griefs, facile à constater puisqu'il suffit de demander les contrats. Le risque est d'autant plus inutile qu'il est simple à couvrir : une liste de vos sous-traitants, un DPA conservé pour chacun, et une ligne dans votre registre.
Pour y voir clair, commencez par le scan gratuit MonKitLégal : il liste en 2 minutes ce que votre site collecte et les services tiers qu'il appelle — autant de sous-traitants potentiels à documenter. Le kit à 9 € génère ensuite la documentation qui fait la preuve de votre sérieux en cas de contrôle : politique de confidentialité, registre des traitements pré-rempli, mentions légales, CGU/CGV et bandeau cookies.
Selon l'article 4.8 du RGPD, le sous-traitant est la personne qui traite des données personnelles pour le compte du responsable de traitement, sur ses instructions. Pour une TPE, les sous-traitants typiques sont l'hébergeur du site web, le logiciel de comptabilité ou de facturation en ligne, l'outil de newsletter ou d'e-mailing, l'agence web qui administre le site, le prestataire de paie, ou encore l'outil d'analytics. Le point clé : si un prestataire stocke, consulte ou manipule des données de vos clients ou prospects pour vous, c'est un sous-traitant — même si vous ne l'avez jamais désigné comme tel.
Oui. L'article 28.3 du RGPD impose un contrat (ou autre acte juridique) écrit dès qu'un prestataire traite des données personnelles pour votre compte. Ce contrat doit préciser l'objet, la durée, la nature et les finalités du traitement, le type de données et les catégories de personnes concernées, ainsi que les obligations du sous-traitant : agir uniquement sur instructions documentées, garantir la confidentialité et la sécurité, encadrer la sous-traitance ultérieure, vous aider à répondre aux demandes de droits des personnes, supprimer ou restituer les données en fin de contrat, et permettre les audits. En pratique, les grands outils en ligne intègrent ces clauses dans leurs conditions (souvent appelées DPA, Data Processing Agreement) : il faut les accepter et les conserver.
Oui, mais le transfert de données vers les États-Unis doit être encadré. Depuis le 10 juillet 2023, la Commission européenne reconnaît un niveau de protection adéquat aux entreprises américaines certifiées dans le cadre du Data Privacy Framework (DPF) UE–États-Unis : avec un prestataire certifié (la liste est publique sur dataprivacyframework.gov), le transfert est licite sans formalité supplémentaire. Si l'entreprise n'est pas certifiée, il faut une garantie appropriée — en pratique, les clauses contractuelles types (CCT) adoptées par la Commission européenne, signées avec l'importateur. Vérifiez donc pour chaque outil : est-il certifié DPF ? Sinon, ses conditions intègrent-elles les CCT ? Les grandes plateformes (Google, Microsoft, Mailchimp…) le prévoient dans leurs conditions de traitement de données.
Vous restez responsable vis-à-vis des personnes et de la CNIL : l'article 28.1 vous oblige à ne choisir que des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le choix du prestataire fait donc partie de votre propre conformité. Le sous-traitant a aussi ses responsabilités directes (articles 28 à 32 : sécurité, alerte en cas de violation, respect des instructions) et peut être sanctionné ou poursuivi — mais en cas de fuite chez votre hébergeur ou votre outil de newsletter, c'est vous qui devez évaluer le risque, notifier la CNIL sous 72 heures le cas échéant et informer les personnes. D'où l'importance du contrat : c'est lui qui oblige le sous-traitant à vous alerter sans délai.
L'absence de contrat conforme à l'article 28 relève de l'article 83.4 du RGPD : une amende administrative pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (le montant le plus élevé). En pratique pour une TPE, le manquement est rarement contrôlé isolément : il est découvert à l'occasion d'une violation de données chez un prestataire ou d'une plainte, et s'ajoute alors aux griefs. Le risque est d'autant plus inutile qu'il est simple à couvrir : pour chaque outil ou prestataire qui touche à vos données, vérifiez qu'un contrat ou des clauses de traitement de données (DPA) existent, téléchargez-les et conservez-les.
Le scan gratuit liste les services tiers que votre site appelle — autant de sous-traitants à documenter. Le kit à 9 € génère ensuite politique de confidentialité, registre des traitements, mentions légales, CGU/CGV et bandeau cookies — la documentation qui prouve votre conformité en cas de contrôle.
Analyser mon site gratuitement