Mis à jour le 2 juillet 2026 · 6 min de lecture
Qui est sous-traitant au sens du RGPD ?
Un sous-traitant est toute personne ou organisation qui traite des données personnelles pour le compte d'un responsable de traitement, selon ses instructions (article 28). Hébergeur, éditeur de logiciel, prestataire de paie, agence marketing, service client externalisé : la plupart de vos prestataires sont des sous-traitants.
Pourquoi c'est important
Le responsable de traitement reste responsable des données, même confiées à un tiers. Un sous-traitant mal encadré est un risque direct pour votre conformité. L'encadrement contractuel n'est pas optionnel : c'est une obligation.
Les obligations du sous-traitant
- N'agir que sur instruction documentée du responsable de traitement.
- Garantir la confidentialité et la sécurité des données (article 32).
- N'engager un sous-traitant ultérieur qu'avec autorisation.
- Aider le responsable à répondre aux demandes de droits et à gérer les violations.
- Notifier toute violation dans les meilleurs délais.
- Restituer ou supprimer les données en fin de contrat.
Les clauses à prévoir dans le contrat (article 28)
Le contrat de sous-traitance (ou une annexe RGPD) doit au minimum préciser :
| Clause | Objet |
|---|---|
| Objet et durée | Nature du traitement, finalités, durée |
| Instructions | Le sous-traitant agit uniquement sur vos instructions |
| Confidentialité | Engagement des personnes habilitées |
| Sécurité | Mesures techniques et organisationnelles (art. 32) |
| Sous-traitance ultérieure | Autorisation préalable, mêmes obligations |
| Assistance | Aide aux droits, aux AIPD et aux violations |
| Sort des données | Restitution ou suppression en fin de contrat |
| Audit | Droit de contrôle et mise à disposition des preuves |
Transferts hors UE
Si le sous-traitant (ou son support, ou sa maison mère) accède aux données depuis un pays hors Union européenne, le transfert doit être encadré par une garantie appropriée : clauses contractuelles types ou décision d'adéquation.
Avant de signer : les points à vérifier
- Le prestataire présente des garanties de sécurité suffisantes.
- La localisation de l'hébergement des données est connue.
- Le prestataire figure à votre registre des traitements.
- Le contrat prévoit la notification des violations et l'assistance.