Sous-traitant RGPD : la clause manquante dans votre contrat
70 % des PME françaises n'ont pas signé de DPA avec leurs prestataires. Hébergeur, CRM, outil email, agence web : chacun qui touche à vos données clients doit signer un accord de sous-traitance conforme Art. 28 RGPD. Sans ça, vous portez seul le risque.
Qui est sous-traitant ?
Un sous-traitant au sens du RGPD (Art. 4.8) est toute personne physique ou morale qui traite des données personnelles pour le compte du responsable de traitement, sur ses instructions. La relation est asymétrique : vous décidez de la finalité et des moyens, le sous-traitant exécute.
Exemples concrets de sous-traitants pour une PME :
Les 7 clauses obligatoires d'un DPA Art. 28
Description précise du traitement (ex : hébergement application SaaS, envoi emails marketing), catégories de données concernées, durée du contrat et procédure en fin de contrat.
Ce que le sous-traitant est autorisé à faire avec les données. Il ne peut pas utiliser les données à ses propres fins (ex : entraîner des modèles IA) sauf consentement explicite.
Les employés du sous-traitant accédant aux données doivent être liés par une obligation de confidentialité. Clause de non-divulgation à des tiers.
Liste des sous-traitants ultérieurs autorisés (ex : AWS pour l'hébergement Mailchimp). Obligation d'informer le responsable de tout nouveau sous-traitant. Droit d'opposition possible.
Art. 32 RGPD : chiffrement, contrôle d'accès, sauvegardes, tests de sécurité. Le DPA doit décrire les mesures ou renvoyer vers une politique de sécurité annexée.
Obligation du sous-traitant d'alerter le responsable de traitement sans délai injustifié (idéalement sous 24h) en cas de breach, pour permettre la notification CNIL sous 72h.
À la fin du contrat : restitution complète des données dans un format structuré ET suppression définitive (y compris les sauvegardes). Délai maximum recommandé : 30 jours. Attestation de suppression à conserver.
Vos outils SaaS déposent-ils des cookies avant votre consentement ?
Un sous-traitant qui dépose des cookies avant consentement engage votre responsabilité RGPD. Détectez-le en 60s.
Sanctions pour absence de DPA
CNIL délibération SAN-2022-009 : sous-traitant SaaS médical ayant exposé 491 000 dossiers patients. Absence de clause contractuelle adéquate avec les clients responsables de traitement. Double condamnation : sécurité insuffisante + encadrement contractuel absent.
CNIL délibération SAN-2024-003 : absence de DPA avec plusieurs sous-traitants accédant aux données de 500 000 clients, dont transferts hors UE non encadrés.
Pour aller plus loin
- Transferts hors UE : êtes-vous en infraction ?
- Registre des traitements : guide Art. 30
- Checklist RGPD complète 2026
- RGPD pour éditeurs SaaS