RGPD : pourquoi le DBA est un « sous-traitant » qui peut être sanctionné directement par la CNIL

L'administrateur de bases de données vit souvent avec une représentation rassurante de son rôle au regard de la protection des données : « je gère la tuyauterie technique, les données appartiennent au client, c'est lui le responsable, pas moi ». Cette vision était à peu près tenable avant 2018. Le Règlement général sur la protection des données (RGPD) l'a rendue obsolète.

Le RGPD distingue deux acteurs principaux. Le responsable de traitement est celui qui détermine les finalités et les moyens du traitement : c'est généralement votre client, qui décide pourquoi et comment les données sont collectées et utilisées. Le sous-traitant, défini à l'article 4, est celui qui « traite des données à caractère personnel pour le compte du responsable du traitement ».

Or « traiter », au sens du RGPD, est une notion extrêmement large : cela inclut la consultation, l'organisation, la structuration, la conservation, l'extraction, la modification, l'effacement. Autrement dit, dès que vous accédez à une base contenant des données personnelles, que vous la sauvegardez, la migrez, l'optimisez ou la restaurez, vous traitez des données personnelles pour le compte de votre client. Vous êtes, juridiquement, un sous-traitant. Que vous le vouliez ou non.

Le changement de statut introduit par le RGPD est profond : le sous-traitant n'est plus un simple prestataire qui exécute des ordres et que l'on tient quitte de toute responsabilité. L'article 28 lui assigne des obligations propres, dont il répond directement.

Concrètement, en tant que DBA sous-traitant, vous devez notamment :

• Agir uniquement sur instruction documentée du responsable de traitement, et non utiliser les données à d'autres fins.
• Garantir la confidentialité : toute personne accédant aux données doit être tenue à une obligation de confidentialité.
• Mettre en œuvre des mesures de sécurité appropriées (article 32) : chiffrement, contrôle d'accès, pseudonymisation lorsque pertinent, capacité à restaurer les données.
• Encadrer la sous-traitance ultérieure : si vous faites appel à un autre prestataire (hébergeur, infogérant), vous devez obtenir l'autorisation et lui imposer les mêmes obligations.
• Aider le responsable de traitement à répondre aux demandes des personnes (droit d'accès, d'effacement) et à respecter ses obligations de sécurité et de notification.
• Notifier sans délai toute violation de données dont vous avez connaissance.
• Tenir un registre des catégories de traitements effectués pour le compte de vos clients.

Le RGPD a fait du sous-traitant un acteur responsable, pas un simple exécutant. Un DBA qui manipule des données personnelles sans contrat de sous-traitance ni mesures de sécurité documentées est en infraction, même si aucune donnée n'a jamais fuité.

L'une des exigences les plus concrètes — et les plus souvent négligées par les indépendants de l'IT — est l'obligation d'un contrat de sous-traitance écrit, souvent appelé DPA (Data Processing Agreement). L'article 28 impose que la relation entre responsable de traitement et sous-traitant soit régie par un contrat précisant l'objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes concernées, et l'ensemble des obligations du sous-traitant.

Ce point mérite une attention particulière, car il est source d'un manquement « invisible » : l'absence de DPA conforme est en soi une infraction, indépendamment de tout incident. Vous pouvez n'avoir jamais perdu la moindre donnée et être malgré tout en situation irrégulière simplement parce que votre relation contractuelle avec votre client ne comporte pas les clauses requises par l'article 28.

Les pièges fréquents pour un DBA :

1. Travailler sur la base d'un simple devis ou d'un contrat de prestation classique, sans clauses de protection des données.
2. Ignorer la chaîne de sous-traitance : si vous stockez des sauvegardes chez un hébergeur cloud, celui-ci est votre sous-traitant ultérieur et doit être encadré.
3. Ne pas documenter les instructions du client, ce qui vous expose si vous effectuez une opération qu'il n'avait pas demandée.
4. Conserver des données au-delà du nécessaire, par exemple d'anciennes sauvegardes qui auraient dû être purgées.

C'est le point qui surprend le plus les DBA : la CNIL, et plus largement les autorités de contrôle, peuvent sanctionner directement le sous-traitant pour manquement à ses obligations propres. Vous n'êtes pas à l'abri derrière votre client. Si l'enquête révèle que la violation résulte d'un défaut de sécurité ou d'un manquement qui relevait de votre périmètre, votre responsabilité peut être engagée pour votre propre part.

Cette responsabilité se décline sur deux plans qu'il faut bien distinguer :

À cela s'ajoute, en pratique, le risque le plus immédiat pour un indépendant : la mise en cause par votre propre client. Si une violation survient et que la CNIL le sanctionne, le responsable de traitement se retournera presque systématiquement vers le sous-traitant qu'il estime fautif, pour lui faire supporter sa part. Le DBA se retrouve alors exposé sur plusieurs fronts simultanés : l'autorité de contrôle, son client, et éventuellement les personnes dont les données ont été compromises.

La bonne nouvelle, c'est que la conformité d'un DBA indépendant ne demande pas un appareil juridique disproportionné. Quelques actions structurantes couvrent l'essentiel de vos obligations propres :

1. Signez un DPA avec chaque client dont vous administrez des bases contenant des données personnelles. Une annexe de protection des données à votre contrat de prestation suffit souvent.
2. Tenez un registre simple des traitements que vous opérez pour le compte de vos clients : nature, catégories de données, mesures de sécurité.
3. Documentez vos mesures de sécurité : politique d'accès, chiffrement des sauvegardes, gestion des habilitations, traçabilité des opérations sensibles.
4. Cartographiez votre chaîne de sous-traitance : identifiez vos propres prestataires (cloud, hébergement) et vérifiez qu'ils sont encadrés.
5. Préparez une procédure de notification : sachez quoi faire et qui prévenir dans les heures qui suivent la découverte d'une violation.

Ces démarches ne sont pas qu'une protection juridique : elles sont devenues un argument commercial. Un client soucieux de sa propre conformité préférera toujours un DBA capable de signer un DPA et de documenter sa sécurité à un prestataire qui découvre le sujet au moment de l'incident. Pour comprendre comment cette exposition réglementaire s'articule avec votre couverture, consultez notre page assurance administrateur de bases de données.

La conformité réduit le risque, mais ne l'élimine pas. Une faille exploitée, une violation de données malgré des mesures raisonnables, et c'est tout l'arsenal de responsabilités qui s'active : enquête de la CNIL, mise en cause du client, réclamation des personnes concernées. C'est là que l'assurance prend le relais de la conformité.

La garantie cyber et atteinte aux données est centrale sur ce risque. Elle couvre la gestion de la violation (assistance, expertise, communication de crise, frais de notification), les conséquences d'une atteinte aux données personnelles, et accompagne la procédure face à l'autorité de contrôle. Dans bien des cas, certains frais de défense liés à une procédure administrative peuvent être pris en charge selon les conditions du contrat — un point décisif quand on affronte seul une instruction de la CNIL.

En parallèle, la RC Professionnelle couvre la mise en cause par votre client au titre d'un manquement à votre prestation, lorsqu'il vous reproche d'avoir failli à vos obligations de sous-traitant. Les deux garanties forment un filet cohérent : la cyber pour l'atteinte aux données et la dimension réglementaire, la RC Pro pour la faute professionnelle reprochée par le client. Pour un métier devenu, par la grâce du RGPD, un sous-traitant responsable, cette double couverture n'est plus un luxe mais le pendant naturel de vos obligations.