Blog

Travailler avec un sous-traitant RGPD : ce qu'il faut vérifier avant de signer

5 septembre 2026 — 7 min de lecture

Votre hébergeur, votre prestataire de paie, l'agence qui gère vos campagnes e-mail : dès qu'un tiers traite des données personnelles pour votre compte, il est un « sous-traitant » au sens du RGPD, et un contrat spécifique doit encadrer cette relation — pas seulement un devis ou des conditions générales de vente standard.

Qu'est-ce qui fait d'un prestataire un sous-traitant RGPD

Un sous-traitant traite des données personnelles pour le compte d'un responsable de traitement, selon ses instructions, sans en décider les finalités. Un hébergeur cloud, un logiciel de paie en SaaS, une plateforme d'emailing, un cabinet comptable qui gère votre facturation clients, une agence qui héberge votre site web avec un formulaire de contact : tous sont des sous-traitants dès qu'ils manipulent des données personnelles que vous leur confiez. À l'inverse, un partenaire qui décide lui-même de l'usage des données qu'il reçoit (par exemple un partenaire commercial qui achète un fichier prospects pour ses propres campagnes) est un responsable de traitement distinct, pas un sous-traitant.

Ce que le contrat doit contenir (article 28)

L'article 28 du RGPD liste des clauses obligatoires dans tout contrat de sous-traitance de données :

• L'objet, la durée, la nature et la finalité du traitement confié, ainsi que le type de données et les catégories de personnes concernées.
• L'obligation de n'agir que sur instruction documentée du responsable de traitement — le sous-traitant ne peut pas décider d'un nouvel usage de son propre chef.
• La confidentialité imposée à toute personne autorisée à traiter les données chez le sous-traitant.
• Les mesures de sécurité mises en œuvre, conformément à l'article 32.
• Le recours à un sous-traitant ultérieur (« sous-sous-traitant »), soumis à autorisation préalable, écrite et spécifique ou générale.
• L'assistance au responsable de traitement pour répondre aux demandes d'exercice de droits et pour la gestion des violations de données.
• La suppression ou la restitution des données à la fin de la prestation, au choix du responsable de traitement.
• Un droit d'audit permettant au responsable de traitement de vérifier le respect de ces engagements.

En pratique, la plupart des éditeurs SaaS proposent déjà un modèle de « Data Processing Agreement » (DPA) prêt à signer — le réflexe à avoir est de vérifier qu'il existe et qu'il couvre bien ces points, pas de partir du principe qu'un contrat commercial standard suffit.

Vous restez responsable du choix

Signer un contrat conforme ne transfère pas toute la responsabilité : le responsable de traitement doit choisir un sous-traitant présentant des garanties suffisantes en matière de sécurité et de conformité. Si votre hébergeur subit une violation de données faute de mesures de sécurité élémentaires, vous restez exposé — d'où l'intérêt de vérifier, avant de signer, les certifications de sécurité du prestataire (ISO 27001, SOC 2, HDS pour la santé), la localisation réelle des serveurs (un transfert hors Union européenne, même via un sous-traitant, doit être encadré), et sa propre politique de sous-traitance en cascade.

Un sous-traitant est un destinataire à documenter

Chaque sous-traitant doit apparaître dans votre registre des traitements comme destinataire du ou des traitements concernés. C'est aussi ce registre qui vous permettra, le jour où vous changez d'outil ou de prestataire, de savoir précisément quelles données étaient partagées et donc quelles suppressions ou transferts demander en fin de contrat.