Prestataire GED, sous-traitant RGPD : la responsabilité cachée que personne ne vous explique
Dès que vous stockez les documents d'un client, le RGPD vous transforme en sous-traitant avec des obligations propres et une responsabilité directe. Décryptage d'un statut juridique souvent ignoré.
- En hébergeant ou en traitant les documents de vos clients, vous devenez sous-traitant au sens de l'article 28 du RGPD, avec des obligations qui vous sont propres.
- La CNIL peut vous sanctionner directement en tant que sous-traitant — vous ne vous abritez pas derrière la responsabilité du client.
- Les durées de conservation et le droit à l'effacement sont les points de friction qui déclenchent le plus de litiges entre GED et donneurs d'ordre.
- La garantie Cyber et la RC Pro couvrent les frais de notification, la défense face à la CNIL et le préjudice client lié à une non-conformité.
Le statut que vous endossez sans le savoir : sous-traitant RGPD
Beaucoup de prestataires GED se croient à l'abri du RGPD au motif que « les données appartiennent au client ». C'est une erreur d'analyse lourde de conséquences. Dès lors que vous stockez, indexez, migrez ou restituez des documents contenant des données personnelles pour le compte d'un client, vous traitez ces données « pour son compte ». Le RGPD vous qualifie alors de sous-traitant au sens de son article 4.
Ce statut n'est pas symbolique. L'article 28 du RGPD impose au sous-traitant des obligations propres : encadrement contractuel, mesures de sécurité, tenue d'un registre des traitements, assistance au responsable de traitement, et notification des violations. Vous n'êtes plus un simple exécutant technique : vous êtes un acteur juridiquement responsable de la conformité.
La conséquence la plus brutale : la CNIL peut vous sanctionner directement, sans passer par le client. Vous ne pouvez pas vous défausser intégralement en disant « je n'ai fait qu'héberger ».
Cette responsabilité propre s'accompagne d'une responsabilité partagée avec le client : en cas de dommage causé à une personne, le sous-traitant et le responsable de traitement peuvent être tenus solidairement, à charge ensuite de répartir entre eux la part de chacun. Autrement dit, une victime peut réclamer la totalité de son préjudice au prestataire GED, qui devra ensuite se retourner contre le client pour récupérer sa quote-part. Cette mécanique de solidarité, souvent ignorée, explique pourquoi un sous-traitant peut se retrouver en première ligne financière alors qu'il n'a fait qu'exécuter des instructions.
Ce que l'article 28 vous oblige réellement à faire
L'article 28 transforme votre relation commerciale en relation réglementée. Concrètement, vous devez :
- Signer un contrat de sous-traitance conforme (ou un DPA — Data Processing Agreement) avec chaque client, précisant l'objet, la durée, la nature et la finalité du traitement.
- Ne traiter les données que sur instruction documentée du responsable de traitement.
- Garantir la confidentialité et la formation de vos collaborateurs ayant accès aux documents.
- Mettre en place des mesures de sécurité adaptées (chiffrement, contrôle d'accès, journalisation).
- Assister le client dans l'exercice des droits des personnes (accès, rectification, effacement) et dans les analyses d'impact.
- Notifier toute violation de données dans les meilleurs délais.
L'absence de DPA conforme est l'un des manquements les plus fréquemment relevés. Si un incident survient et que vous n'avez pas de contrat de sous-traitance en règle, vous cumulez deux fautes : la violation elle-même et le défaut d'encadrement. C'est aussi un point que vérifie la garantie Cyber avant de couvrir un sinistre de violation de données.
Durées de conservation : le piège n°1 du métier
Le RGPD impose le principe de limitation de la conservation : les données ne doivent pas être conservées plus longtemps que nécessaire. Or, votre métier consiste précisément à conserver des documents — souvent indéfiniment, « au cas où ». Cette contradiction est la source de litiges majeurs.
Le problème pratique : c'est le responsable de traitement (votre client) qui fixe les durées légales, mais c'est vous qui implémentez la purge automatique. Trois scénarios de sinistre se présentent :
- Vous purgez trop tôt : un document encore utile (litige en cours, obligation comptable de 10 ans) est détruit. Le client subit un préjudice et vous reproche la suppression.
- Vous ne purgez jamais : des données personnelles sont conservées au-delà de la durée légale. La CNIL sanctionne, et le client se retourne contre vous.
- Vous appliquez une durée générique sans tenir compte des catégories de documents (RH, fiscal, médical), créant une non-conformité en cascade.
La parade : une matrice de durées de conservation validée par écrit par le client, document par document. Sans cette validation tracée, toute purge — ou absence de purge — peut vous être imputée.
Droit à l'effacement et secret professionnel : le casse-tête de la restitution
Le droit à l'effacement (article 17 du RGPD) ajoute une couche de complexité. Lorsqu'une personne demande la suppression de ses données, le client vous transmet l'instruction. Mais effacer un document d'un système d'archivage à valeur probante n'est pas anodin : cela peut compromettre l'intégrité du journal d'événements et donc la valeur probante des autres archives.
Il faut alors arbitrer entre des obligations contradictoires : le droit à l'effacement d'un côté, l'obligation de conservation légale et l'intégrité de l'archive de l'autre. Une mauvaise manipulation peut, là encore, engager votre responsabilité — soit pour avoir refusé un droit légitime, soit pour avoir altéré une archive opposable.
S'ajoute le secret professionnel quand vous traitez des documents d'avocats, de médecins ou d'experts-comptables. Une fuite ou un accès non autorisé constitue alors une atteinte à la confidentialité aux conséquences pénales, au-delà de la seule sanction RGPD. La couverture « atteinte à la confidentialité et au secret professionnel » de la RC Pro prend tout son sens ici.
Concrètement, formalisez une procédure d'effacement documentée : qui valide la demande, comment l'instruction écrite du client est conservée, comment l'effacement est réalisé sans rompre le journal d'événements (par exemple par anonymisation plutôt que suppression physique), et comment la traçabilité de l'opération est elle-même archivée. Cette procédure est votre meilleure protection : elle prouve que vous avez agi sur instruction et selon les règles de l'art, et reporte la responsabilité du choix sur le responsable de traitement quand c'est lui qui décide.
Combien coûte réellement une violation de données pour un sous-traitant
La sanction CNIL n'est que la partie émergée de l'iceberg. Quand une violation de données touche un prestataire GED, le coût se répartit sur plusieurs postes que la plupart des indépendants sous-estiment :
| Poste de coût | Ordre de grandeur (PME / indépendant) |
|---|---|
| Expertise forensique et confinement de l'incident | 5 000 à 25 000 € |
| Notification aux personnes concernées et à la CNIL | 2 000 à 10 000 € |
| Frais juridiques (défense, négociation responsabilité) | 8 000 à 30 000 € |
| Préjudice client (perte d'exploitation, indemnisation) | variable, souvent > 50 000 € |
| Sanction administrative CNIL | jusqu'à 10 M€ ou 2 % du CA mondial |
Le plafond de sanction (article 83 du RGPD) peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations du sous-traitant. En pratique, les montants infligés à de petites structures sont bien inférieurs, mais le cumul forensique + notification + défense + préjudice client suffit déjà à fragiliser une activité indépendante.
C'est ce cumul que la combinaison garantie Cyber et RC Pro est conçue pour absorber : la première sur la réponse à incident et la défense, la seconde sur l'indemnisation du préjudice causé au client.
Construire votre bouclier : conformité documentée + assurance adaptée
La protection d'un prestataire GED face au RGPD repose sur deux jambes : une conformité prouvable et une assurance qui prend le relais quand la conformité ne suffit pas.
Sur le plan de la conformité, structurez votre dispositif :
- un DPA conforme signé avec chaque client ;
- un registre des activités de traitement en tant que sous-traitant ;
- une matrice de durées de conservation validée par écrit ;
- une procédure de notification de violation testée ;
- des mesures de sécurité documentées (chiffrement, accès, logs).
Sur le plan assurantiel, la combinaison gagnante associe la garantie Cyber — qui finance les frais de notification, l'expertise et la défense face à la CNIL — et la RC Pro qui indemnise le préjudice causé au client par une non-conformité ou une atteinte à la confidentialité. C'est ce double socle qui sécurise durablement l'activité d'un professionnel de la gestion documentaire et de l'archivage numérique.
Questions fréquentes
Oui. Dès que vous stockez, indexez ou restituez des documents contenant des données personnelles pour le compte d'un client, vous traitez ces données pour son compte et devenez sous-traitant au sens de l'article 4 du RGPD. Vous avez alors des obligations propres prévues par l'article 28.
Oui. Le RGPD permet à la CNIL de sanctionner le sous-traitant pour ses manquements propres : absence de DPA, défaut de sécurité, mauvaise gestion des durées de conservation. Vous ne pouvez pas reporter toute la responsabilité sur le responsable de traitement.
C'est le client, responsable de traitement, qui fixe les durées légales applicables. Mais vous les implémentez techniquement. Pour vous protéger, faites valider par écrit une matrice de durées de conservation, document par document, afin qu'aucune purge ou absence de purge ne vous soit imputée seul.
C'est un arbitrage délicat entre le droit à l'effacement et l'obligation de conservation légale ou l'intégrité de l'archive. Il faut une procédure documentée et l'instruction écrite du client. Une mauvaise manipulation peut altérer la valeur probante des autres archives et engager votre responsabilité.
La garantie Cyber finance les frais de notification, l'expertise forensique et la défense face à la CNIL, tandis que la RC Pro indemnise le préjudice causé au client. Pour un prestataire GED, la combinaison des deux est fortement recommandée compte tenu du risque RGPD majeur du métier.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Gestion électronique des documents et archivage numérique — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Gestion électronique des documents et archivage numérique →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.