Sous-traitant RGPD : ce que l'article 28 vous oblige réellement à signer

Beaucoup de professionnels du traitement à façon raisonnent comme un imprimeur ou un coursier : « je rends un service, je facture, je ne suis pas responsable du contenu ». Le RGPD ne voit pas les choses ainsi. Dès l'instant où vous effectuez une opération sur des données personnelles pour le compte d'un client — saisie d'un fichier de prospects, numérisation de bulletins de paie, dédoublonnage d'une base d'adhérents, fusion-publipostage sur un fichier client — vous devenez sous-traitant au sens de l'article 4 du règlement.

La distinction est juridique, pas commerciale. Le responsable de traitement est celui qui décide pourquoi et comment les données sont traitées : c'est votre client. Le sous-traitant, c'est celui qui agit sur instruction, pour son compte : c'est vous. Cette qualification ne dépend ni de votre taille, ni de votre statut, ni du fait que vous « ne regardez pas le contenu ». Elle découle de la nature même de votre prestation.

Conséquence directe : vous entrez dans le champ de l'article 28 du RGPD, qui encadre très précisément la relation entre responsable et sous-traitant. Ignorer cette qualification est l'erreur la plus fréquente — et la plus coûteuse — du secteur.

L'article 28.3 impose que la relation soit régie par un contrat écrit, souvent appelé DPA (Data Processing Agreement / accord de traitement des données). Ce n'est pas une option de confort : sans ce contrat, le responsable de traitement et le sous-traitant sont en situation d'infraction, indépendamment de tout incident.

Le DPA doit obligatoirement préciser :

• L'objet et la durée du traitement (ce que vous faites, sur combien de temps) ;
• La nature et la finalité du traitement (saisie, numérisation, indexation…) ;
• Le type de données et les catégories de personnes concernées (clients, salariés, patients…) ;
• L'engagement de n'agir que sur instruction documentée du client ;
• Les mesures de sécurité techniques et organisationnelles que vous mettez en œuvre ;
• Les conditions de recours à un sous-traitant ultérieur (votre propre prestataire cloud, votre saisie offshore…) ;
• L'obligation d'assister le client en cas de demande d'exercice de droits ou de contrôle ;
• Le sort des données en fin de contrat (restitution ou suppression).

Dans la pratique, ce sont vos donneurs d'ordre — surtout les grandes entreprises et les administrations — qui vous présenteront leur propre DPA à signer. Beaucoup de prestataires signent sans lire, en pensant à une formalité. C'est une erreur : certaines clauses transfèrent vers vous des obligations lourdes (audits sur site, délais de notification de quelques heures, pénalités forfaitaires) qu'il faut être en mesure de tenir, et surtout d'assurer.

Avant le RGPD, la logique dominante était simple : seul le donneur d'ordre était responsable vis-à-vis de la loi, le prestataire technique étant un exécutant protégé. Cette époque est révolue.

Depuis mai 2018, le sous-traitant porte des obligations propres et peut être :

• Sanctionné directement par la CNIL (amendes administratives pouvant atteindre des montants très élevés en proportion du chiffre d'affaires) ;
• Poursuivi en réparation par les personnes dont les données ont été compromises, qui peuvent agir contre le responsable ou le sous-traitant ;
• Tenu pour solidairement responsable du dommage total causé, à charge ensuite de se retourner contre le donneur d'ordre selon les parts de responsabilité.

La règle clé : un sous-traitant qui agit en dehors des instructions du responsable, ou qui détermine lui-même les finalités du traitement, est considéré comme responsable de traitement à part entière — avec toutes les obligations qui en découlent.

Concrètement, si vous décidez de réutiliser une base confiée pour « tester un nouvel outil », de conserver des fichiers « au cas où » après la fin de mission, ou de sous-traiter une saisie à l'étranger sans encadrement, vous sortez du rôle de simple sous-traitant et vous endossez une responsabilité bien plus large.

Imaginons un cas réaliste. Vous numérisez et indexez les dossiers RH d'une PME. Un collaborateur, en partageant un lien cloud, met par erreur l'ensemble du dossier en accès public pendant trois jours. Des bulletins de paie, RIB et copies de pièces d'identité ont été indexés par un moteur de recherche.

La chaîne de conséquences est immédiate :

1. Votre client (responsable de traitement) doit notifier la CNIL sous 72 heures et, selon la gravité, informer chaque personne concernée ;
2. Le DPA que vous avez signé vous impose probablement de l'assister dans cette notification, à vos frais ;
3. Des salariés concernés peuvent demander réparation du préjudice moral lié à la divulgation ;
4. La CNIL peut diligenter un contrôle et examiner vos propres mesures de sécurité ;
5. Votre client peut activer les pénalités contractuelles et résilier.

Sans assurance adaptée, vous absorbez seul les frais juridiques, les frais techniques de remédiation, l'accompagnement spécialisé et les éventuelles indemnisations. C'est précisément ce que couvre une garantie Cyber : prise en charge des frais de notification, mise à disposition d'experts en gestion de crise, défense face à la CNIL, et indemnisation des conséquences financières de la violation.

Sur le volet « faute professionnelle » classique (une erreur de paramétrage qui corrompt la base, une instruction mal exécutée), c'est l'assurance RC Pro qui intervient. Les deux garanties sont complémentaires : l'une traite le préjudice immatériel lié à votre travail, l'autre le sinistre lié aux données.

Voici une feuille de route concrète, adaptée au traitement à façon :

• Cartographiez vos traitements : pour chaque client, notez quelles données vous touchez, où elles transitent, qui y accède, et combien de temps vous les conservez ;
• Tenez un registre des activités de sous-traitance : l'article 30 vous l'impose dès lors que le traitement n'est pas occasionnel, ce qui est presque toujours le cas en saisie ou numérisation de masse ;
• Auditez les DPA que vous signez : repérez les clauses de délai de notification, de pénalité et d'audit, et assurez-vous de pouvoir les tenir ;
• Encadrez vos propres sous-traitants (hébergeur, saisie déléguée) par un contrat équivalent et obtenez l'autorisation du donneur d'ordre ;
• Sécurisez les flux : chiffrement des transferts, cloisonnement des bases par client, suppression vérifiée en fin de mission ;
• Couvrez le risque résiduel : aucune mesure ne ramène le risque à zéro, d'où l'intérêt d'une garantie Cyber dimensionnée sur le volume et la sensibilité des données que vous manipulez.

Vous trouverez le détail des protections adaptées à votre activité sur la page dédiée au traitement informatique à façon.