Hébergeur = sous-traitant RGPD : la responsabilité de l'article 28 que vous signez sans la lire
Vous pensiez n'être qu'un prestataire technique. Le RGPD vous qualifie de sous-traitant, avec des obligations directes et une responsabilité propre devant la CNIL.
- Tout hébergeur qui stocke des données personnelles pour le compte d'un client est "sous-traitant" au sens de l'article 28 du RGPD, qu'il l'ait formalisé ou non.
- Le sous-traitant a une responsabilité PROPRE devant la CNIL : il peut être sanctionné directement, pas seulement le responsable de traitement.
- L'absence de DPA (contrat de sous-traitance article 28) est en soi une violation sanctionnable, indépendamment de toute fuite.
- La garantie Cyber et RGPD couvre les frais de notification, d'accompagnement et de défense liés à votre responsabilité de sous-traitant.
"Je ne fais qu'héberger" : pourquoi cet argument ne tient pas devant le RGPD
Beaucoup d'hébergeurs raisonnent ainsi : "Je fournis de l'espace disque et de la puissance de calcul. Ce que mes clients y mettent, ce sont leurs données, leur responsabilité." C'est une lecture rassurante, et elle est juridiquement fausse.
Le RGPD distingue deux rôles :
- Le responsable de traitement (votre client) : il décide des finalités et des moyens du traitement.
- Le sous-traitant (vous) : vous traitez des données personnelles pour le compte du responsable de traitement.
L'article 4-8 du RGPD définit le sous-traitant comme "la personne physique ou morale qui traite des données à caractère personnel pour le compte du responsable du traitement". Or héberger, c'est traiter : la notion de "traitement" (article 4-2) englobe explicitement la conservation, le stockage et la mise à disposition. Dès lors que les serveurs de votre client contiennent des e-mails, des fiches clients, des données RH, vous traitez des données personnelles pour son compte.
Vous êtes sous-traitant RGPD que vous l'ayez voulu ou non, que vous l'ayez écrit ou non. Le défaut de formalisation n'efface pas le statut : il aggrave votre situation.
Les obligations directes de l'article 28 : ce que la loi vous impose en propre
L'article 28 du RGPD ne se contente pas de dire qu'un contrat doit exister. Il impose au sous-traitant des obligations de fond, directement opposables :
- N'agir que sur instruction documentée du responsable de traitement. Vous ne pouvez pas réutiliser les données hébergées à vos propres fins (analyse, entraînement, revente) sans base juridique.
- Garantir la confidentialité des personnes autorisées à traiter les données (engagements de vos administrateurs système).
- Mettre en œuvre les mesures de sécurité de l'article 32 : chiffrement, pseudonymisation, résilience, capacité de restauration, tests réguliers. Ces mesures vous incombent en propre.
- Encadrer la sous-traitance ultérieure : si vous vous appuyez vous-même sur un fournisseur cloud tiers (un "sous-traitant ultérieur"), vous devez obtenir l'autorisation du responsable de traitement et lui imposer les mêmes obligations par contrat.
- Aider le responsable de traitement à répondre aux demandes d'exercice des droits (accès, effacement, portabilité) et à notifier les violations.
- Notifier sans délai toute violation de données dont vous avez connaissance, pour que le responsable puisse alerter la CNIL dans les 72 heures.
- Supprimer ou restituer les données en fin de contrat, et tenir un registre des activités de traitement (article 30-2, propre au sous-traitant).
Chacune de ces obligations est une source potentielle de manquement. La transférabilité du risque vers votre assurance Cyber repose précisément sur le fait que ces obligations vous engagent directement.
Le DPA absent : une violation sanctionnable même sans fuite de données
Voici le point que la plupart des hébergeurs ignorent : l'absence de contrat de sous-traitance (DPA, Data Processing Agreement) est en elle-même une violation du RGPD, indépendamment de toute fuite.
L'article 28-3 exige que le traitement par un sous-traitant soit régi par un contrat écrit comportant des mentions obligatoires précises (objet, durée, nature, finalité, catégories de données, obligations et droits du responsable). Si ce contrat n'existe pas, ou s'il est incomplet, la CNIL peut sanctionner les deux parties.
La CNIL a déjà prononcé des sanctions pour ce seul motif. Le raisonnement est simple : sans DPA, il n'existe aucune garantie documentée que les données sont protégées. Le manquement est constitué par l'absence de cadre, pas par un préjudice avéré.
Les mentions qui rendent un DPA valable
Un DPA opposable doit préciser, au minimum :
- L'objet, la durée, la nature et la finalité du traitement ;
- Le type de données personnelles et les catégories de personnes concernées ;
- Les obligations de sécurité (renvoi à vos mesures techniques) ;
- Le régime de sous-traitance ultérieure ;
- Le sort des données en fin de contrat ;
- Les modalités d'audit et de coopération.
Un simple paragraphe "nous respectons le RGPD" dans vos CGV ne constitue PAS un DPA. C'est une déclaration d'intention sans valeur contractuelle au sens de l'article 28.
Votre responsabilité propre devant la CNIL : vous n'êtes pas à l'abri derrière votre client
Le changement majeur apporté par le RGPD (par rapport à l'ancienne loi de 1978) est que le sous-traitant peut être sanctionné directement. Avant 2018, seul le responsable de traitement répondait devant la CNIL. Désormais, l'autorité peut viser l'hébergeur lui-même.
Deux régimes de plafond d'amende coexistent (article 83) :
| Type de manquement | Plafond |
|---|---|
| Manquements aux obligations du sous-traitant (sécurité art. 32, DPA art. 28, registre art. 30) | 10 M€ ou 2 % du CA mondial annuel |
| Manquements aux principes fondamentaux (licéité, droits des personnes) | 20 M€ ou 4 % du CA mondial annuel |
Au-delà de l'amende, une violation de données vous expose à :
- Les frais de notification aux personnes concernées et à la CNIL ;
- Les frais d'accompagnement juridique et technique (forensic, avocat spécialisé, DPO externe) ;
- Les actions récursoires de votre client responsable de traitement, qui se retournera contre vous s'il établit que la faille vient de votre périmètre ;
- Les actions des personnes concernées elles-mêmes, qui peuvent agir contre le responsable ET le sous-traitant (article 82).
C'est exactement le périmètre que couvre une garantie Cyber et RGPD : frais de notification CNIL, accompagnement, défense, et prise en charge des dommages dans la limite des plafonds. Le montant de l'amende administrative elle-même reste soumis aux limites légales d'assurabilité, mais tout l'écosystème de frais autour est assurable.
Le plan d'action : se mettre en conformité de sous-traitant en 6 étapes
Que vous hébergiez dix ou mille clients, la démarche est la même :
- Cartographiez vos traitements. Quelles données personnelles transitent ou résident sur votre infrastructure, pour quels clients ?
- Établissez un DPA standard conforme à l'article 28, à signer avec chaque client. Idéalement annexé à vos conditions de service comme document distinct.
- Tenez votre registre de sous-traitant (article 30-2). Il est obligatoire et la CNIL le demande en premier lors d'un contrôle.
- Documentez vos mesures de sécurité (article 32) : chiffrement au repos et en transit, gestion des accès, journalisation, plan de reprise, tests de restauration. La preuve compte autant que la mesure.
- Encadrez vos propres fournisseurs (cloud, CDN, sauvegarde externalisée) par des contrats de sous-traitance ultérieure et informez vos clients.
- Adossez le dispositif à une assurance Cyber et RGPD. La conformité réduit le risque, l'assurance absorbe le résiduel.
Le contrôle CNIL : ce qui se passe concrètement
Un contrôle peut être déclenché par une plainte, une violation notifiée ou une campagne thématique de la CNIL. Les contrôleurs demandent d'abord votre registre de sous-traitant, vos DPA signés et votre documentation de sécurité. L'absence de ces pièces n'est pas une circonstance neutre : elle pèse à la hausse sur l'éventuelle sanction, car elle révèle un défaut structurel de conformité. À l'inverse, une entreprise capable de présenter un registre tenu, des DPA conformes et des mesures de sécurité documentées démontre sa bonne foi, ce qui module favorablement la décision. La conformité n'est donc pas qu'une protection juridique : c'est un facteur direct d'atténuation du risque financier.
Pour comprendre précisément ce que prend en charge une garantie face à un contrôle CNIL ou une fuite, consultez notre page assurance Cyber et les spécificités métier sur l'assurance hébergeur et traitement de données.
Questions fréquentes
Oui. Le RGPD définit le traitement comme incluant le stockage et la conservation (article 4-2). Dès que vous hébergez des données personnelles pour le compte d'un client, vous êtes sous-traitant au sens de l'article 4-8, que vous l'ayez formalisé ou non. Le statut découle de l'activité, pas d'une déclaration.
Oui. L'article 28-3 du RGPD impose un contrat écrit de sous-traitance avec des mentions obligatoires. Son absence est en elle-même un manquement sanctionnable par la CNIL, indépendamment de toute fuite de données. La CNIL a déjà prononcé des sanctions sur ce seul fondement.
Directement. Depuis le RGPD (2018), le sous-traitant a une responsabilité propre. La CNIL peut viser l'hébergeur pour ses manquements à la sécurité (article 32), au DPA (article 28) ou au registre (article 30), avec un plafond de 10 M€ ou 2 % du CA mondial annuel.
Non. Une simple mention de conformité est une déclaration d'intention sans valeur contractuelle. Un DPA valable doit comporter les mentions obligatoires de l'article 28-3 : objet, durée, nature et finalité du traitement, catégories de données, obligations de sécurité, régime de sous-traitance ultérieure et sort des données en fin de contrat.
Oui. La garantie Cyber et RGPD Insurio couvre les frais de notification CNIL, l'accompagnement juridique et technique, les frais de défense et les dommages causés aux clients et personnes concernées, dans la limite des plafonds souscrits. Le montant de l'amende administrative reste soumis aux limites légales d'assurabilité, mais l'ensemble des frais associés est pris en charge.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Traitement de données, hébergement et activités connexes — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Traitement de données, hébergement et activités connexes →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.