Qu'est-ce qu'un sous-traitant au sens du RGPD ?

Le RGPD répartit les rôles entre deux acteurs principaux. Le responsable du traitement est celui qui détermine pourquoi et comment les données sont traitées. Le sous-traitant traite ces données pour son compte, sans décider de leur usage. La distinction compte : elle fixe qui doit informer les personnes, qui signe quel contrat et qui répond de quoi. Voici comment l'appliquer. Ces repères ne remplacent pas un conseil juridique.

Responsable du traitement ou sous-traitant : comment faire la différence ?

La question clé est simple : qui décide ? La qualification dépend de la réalité des faits, pas de l'intitulé du contrat.

Deux organismes qui décident ensemble des objectifs et des moyens sont responsables conjoints : ils doivent alors se répartir leurs obligations par un accord. Et un sous-traitant qui utilise les données pour ses propres besoins sort de son rôle : pour ce traitement, le RGPD le considère comme responsable.

Quels prestataires sont des sous-traitants ?

En cas de doute sur une situation, appuyez-vous sur les ressources de la CNIL, qui publie un guide destiné aux sous-traitants.

Que doit contenir le contrat de sous-traitance ?

L'article 28 du RGPD impose un contrat ou un autre acte juridique écrit, y compris sous forme électronique. Il décrit le traitement : objet, durée, nature, finalité, types de données, catégories de personnes, obligations et droits du responsable. Il engage le sous-traitant à :

1. ne traiter les données que sur instruction documentée du responsable ;
2. soumettre les personnes autorisées à une obligation de confidentialité ;
3. mettre en œuvre les mesures de sécurité appropriées ;
4. ne recourir à un autre sous-traitant qu'avec l'autorisation écrite préalable du responsable, en lui imposant les mêmes obligations ;
5. aider le responsable à répondre aux demandes d'exercice des droits ;
6. l'aider à assurer la sécurité, à gérer les violations de données et à mener les analyses d'impact ;
7. supprimer ou restituer les données à la fin de la prestation, au choix du responsable ;
8. fournir les informations nécessaires pour démontrer le respect de ces obligations et permettre des audits.

Le sous-traitant doit aussi prévenir le responsable s'il estime qu'une instruction enfreint le RGPD.

Quelles obligations propres pour le sous-traitant ?

• tenir un registre des traitements effectués pour le compte de ses clients ;
• sécuriser les données qu'il traite ;
• alerter le responsable dans les meilleurs délais après avoir pris connaissance d'une violation de données ;
• désigner un délégué à la protection des données s'il remplit les conditions prévues ;
• encadrer les éventuels transferts de données hors de l'Union européenne ;
• coopérer avec la CNIL.

Sa responsabilité peut être engagée directement s'il manque à ces obligations ou s'il agit en dehors des instructions reçues.

Comment choisir et suivre ses sous-traitants ?

Le RGPD impose au responsable de ne faire appel qu'à des sous-traitants capables de démontrer des mesures techniques et organisationnelles appropriées. En pratique :

1. demandez où sont hébergées les données, et par quels sous-traitants ultérieurs elles transitent ;
2. interrogez-les sur leurs mesures de sécurité et la procédure en cas de violation ;
3. vérifiez la réversibilité : format et délai de restitution des données ;
4. listez vos sous-traitants dans votre registre des traitements ;
5. relisez les contrats lors de chaque renouvellement ou changement de service.

Pour recenser vos prestataires et vérifier les contrats qui les lient à vous, consultez l'accompagnement en conformité RGPD de NexSecure.