Sous-traitant RGPD 2026 : obligations + modèle de contrat
Sous-traitant RGPD : définition, obligations de l'article 28, contrat DPA obligatoire, sanctions et modèle de clauses à adapter. Guide pratique 2026.
L’essentiel. Le sous-traitant est l’organisme qui traite des données personnelles pour le compte d’un responsable de traitement, sur ses instructions documentées (art. 4, point 8 du RGPD). Il ne décide jamais des finalités. Sa relation avec le responsable doit obligatoirement être encadrée par un contrat écrit — le DPA — comportant les clauses de l’article 28. Le sous-traitant a des obligations propres (registre, sécurité, assistance, réversibilité, encadrement de la sous-traitance ultérieure) et peut être sanctionné directement par la CNIL. Ci-dessous : ses obligations point par point, un modèle de clauses et la marche à suivre pour le sélectionner.
Il est très courant qu’un responsable de traitement fasse appel à des prestataires pour collecter ou gérer des données personnelles. Quelques exemples que je rencontre tous les jours :
- une entreprise utilise une plateforme en ligne pour diffuser sa newsletter ;
- une organisation s’appuie sur un CRM hébergé pour suivre ses clients ;
- une association externalise la maintenance de ses postes et imprimantes ;
- une société confie la vidéosurveillance de ses locaux à un prestataire qui la gère à distance ;
- un dirigeant met en place un centre d’appels piloté par une entreprise tierce.
Dans chacun de ces cas, le responsable de traitement — celui qui décide de la mise en œuvre du traitement et des moyens à y consacrer — fait appel à un sous-traitant au sens du RGPD. Cette relation est régie par l’article 28 du RGPD, qui impose un contrat écrit et des clauses obligatoires. Voyons ce que recouvre exactement cette qualification (1), les obligations qu’elle emporte (2), le contenu du contrat (3), le modèle de clauses (4), les sanctions et la jurisprudence (5), puis la méthode de sélection (6).
1. Qu’est-ce qu’un sous-traitant au sens du RGPD ?
Le RGPD définit le sous-traitant à son article 4, point 8 :
« sous-traitant », la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement.
Ce qui caractérise l’essence du sous-traitant, c’est qu’il intervient pour le compte et sur instruction du responsable de traitement. Le sous-traitant exécute les ordres du responsable et — à la différence de celui-ci — ne peut pas faire ce qu’il veut des données qu’il traite.
L’exemple type est la plateforme d’e-mailing : le responsable décide de la finalité (informer ses abonnés) et des moyens (choix de l’outil) ; la plateforme est sous-traitant. Elle ne peut donc traiter les adresses que sur instruction du responsable — impossible pour elle d’envoyer ses propres campagnes aux abonnés du responsable ou d’exploiter ces adresses à d’autres fins.
Le critère décisif est donc le pouvoir de décision sur les finalités. Dès qu’un prestataire détermine lui-même pourquoi et comment il traite les données, il cesse d’être sous-traitant et devient responsable de traitement pour cet usage. L’article 28(10) le formalise : le sous-traitant qui enfreint le RGPD en déterminant les finalités et les moyens du traitement est considéré comme responsable pour ce traitement. C’est un risque de requalification concret, notamment pour les prestataires qui « valorisent » les données de leurs clients.
2. Les obligations du sous-traitant
Contrairement à une idée reçue, le sous-traitant n’est pas un simple exécutant sans responsabilité. Le RGPD lui impose des obligations propres, dont il répond directement.
2.1 Ne traiter les données que sur instruction documentée
La première obligation du sous-traitant est de ne traiter les données que sur instruction documentée du responsable de traitement. Il ne peut pas décider seul de ce qu’il fait des données qu’il traite pour le compte de son client. L’article 29 le rappelle :
Le sous-traitant et toute personne agissant sous l’autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement […].
À défaut, le sous-traitant engage sa responsabilité personnelle — et risque, on l’a vu, une requalification en responsable de traitement.
2.2 Ne pas recourir à un sous-traitant ultérieur sans autorisation
Le sous-traitant ne peut faire appel à un autre sous-traitant (« sous-traitant ultérieur ») qu’avec l’autorisation du responsable de traitement (art. 28(2)). Si la plateforme de newsletter veut par exemple louer des serveurs d’hébergement, elle doit disposer de l’accord de son client.
Deux régimes coexistent :
- l’autorisation spécifique, donnée au cas par cas pour chaque sous-traitant ultérieur ;
- l’autorisation générale écrite, où le responsable accepte le principe du recours à des sous-traitants ultérieurs, à charge pour le sous-traitant de l’informer de tout ajout ou remplacement et de lui laisser la possibilité de s’y opposer.
Le sous-traitant ultérieur doit être soumis aux mêmes obligations que celles fixées dans le contrat initial, et le sous-traitant demeure pleinement responsable devant le responsable de traitement de l’exécution par le sous-traitant ultérieur.
2.3 Être lié par un contrat écrit conforme à l’article 28
C’est le pivot de la relation : le sous-traitant doit être lié au responsable par un contrat écrit (le DPA, Data Processing Agreement). Nous détaillons son contenu obligatoire dans la section 3 et fournissons un modèle en section 4. À défaut de contrat, les deux parties sont en infraction — l’obligation pèse à la fois sur le responsable et sur le sous-traitant.
2.4 Tenir un registre des activités de sous-traitance
Le sous-traitant doit tenir son propre registre des activités de traitement effectuées pour le compte de ses responsables (art. 30(2)), distinct de celui du responsable. Ce registre recense les catégories de traitements réalisés pour chaque client, les transferts hors UE éventuels et une description générale des mesures de sécurité.
Pour un prestataire qui gère de nombreux clients, tenir ce registre à jour manuellement devient vite ingérable. Un logiciel RGPD permet d’industrialiser la tenue du registre de sous-traitance et le suivi des obligations attachées à chaque contrat.
2.5 Garantir la sécurité et la confidentialité
Le sous-traitant doit mettre en œuvre les mesures techniques et organisationnelles appropriées de l’article 32 et veiller à ce que les personnes autorisées à traiter les données soient soumises à une obligation de confidentialité (art. 28(3)(b)). C’est souvent sur ce terrain — défaut de sécurité — que les sous-traitants sont sanctionnés.
2.6 Assister le responsable de traitement
Le sous-traitant doit aider le responsable à respecter ses propres obligations (art. 28(3)(e) et (f)) :
- répondre aux demandes d’exercice des droits (accès, rectification, effacement, opposition) — il doit relayer et faciliter le traitement de ces demandes ;
- garantir la sécurité des données et notifier au responsable toute violation dans les meilleurs délais afin que celui-ci puisse, le cas échéant, respecter son délai de notification à la CNIL de 72 heures ;
- contribuer à la réalisation des analyses d’impact (AIPD) et aux consultations préalables lorsque le traitement l’exige.
2.7 Permettre les audits
Le sous-traitant doit mettre à disposition du responsable toutes les informations nécessaires pour démontrer le respect de ses obligations et permettre la réalisation d’audits, y compris des inspections (art. 28(3)(h)). En pratique, cela passe par des questionnaires, des certifications et des droits d’audit contractuels — un point à cadrer dès la sélection (voir section 6).
2.8 Assurer la réversibilité en fin de prestation
Le sous-traitant est tenu à une obligation de réversibilité : au terme de la prestation, il doit, selon le choix du responsable, supprimer ou renvoyer l’ensemble des données et détruire les copies existantes, sauf obligation légale de conservation. Le RGPD l’exprime ainsi (art. 28(3)(g)) :
selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l’Union ou le droit de l’État membre n’exige la conservation des données à caractère personnel.
2.9 Encadrer les transferts hors UE
Si le sous-traitant (ou l’un de ses sous-traitants ultérieurs) traite les données depuis un pays tiers, un encadrement des transferts est nécessaire. En 2026, les outils principaux sont les clauses contractuelles types adoptées par la Commission (décision d’exécution (UE) 2021/914 du 4 juin 2021) et, pour les transferts vers des organisations certifiées aux États-Unis, le Data Privacy Framework (décision d’adéquation de la Commission du 10 juillet 2023, toujours en vigueur à la date de rédaction, en juillet 2026, mais contestée devant la justice européenne). Les anciennes clauses de 2010 sont abrogées : un contrat qui s’y réfère encore doit être mis à jour.
3. Que doit contenir le contrat de sous-traitance (DPA) ?
L’article 28(3) impose un contrat écrit précisant au minimum :
| Élément obligatoire | Ce qu’il fixe |
|---|---|
| Objet et durée du traitement | Ce qui est traité et pendant combien de temps |
| Nature et finalité du traitement | Le « quoi » et le « pour quoi faire » |
| Type de données et catégories de personnes | Le périmètre exact des données confiées |
| Obligations et droits du responsable | Le cadre des instructions |
| Instruction documentée | Le sous-traitant n’agit que sur instruction |
| Confidentialité | Engagement du personnel autorisé |
| Sécurité (art. 32) | Mesures techniques et organisationnelles |
| Sous-traitance ultérieure | Régime d’autorisation (générale ou spécifique) |
| Assistance aux droits | Aide à répondre aux personnes concernées |
| Assistance sécurité / AIPD / violations | Notification et coopération |
| Réversibilité | Suppression ou restitution en fin de contrat |
| Audit | Mise à disposition d’informations et droit d’audit |
Un DPA qui omet l’une de ces clauses n’est pas conforme. Beaucoup de contrats fournisseurs standard restent lacunaires : il faut les relire ligne à ligne au regard de ce tableau.
4. Modèle de clauses de sous-traitance (extrait)
Voici un extrait de clauses que vous pouvez reprendre pour bâtir ou compléter votre DPA.
Article X — Traitement pour le compte du responsable Le Sous-traitant s’engage à ne traiter les données à caractère personnel que sur instruction documentée du Responsable de traitement, y compris en matière de transfert vers un pays tiers, sauf obligation légale contraire, auquel cas il en informe préalablement le Responsable.
Article X+1 — Confidentialité Le Sous-traitant veille à ce que les personnes autorisées à traiter les données s’engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.
Article X+2 — Sous-traitance ultérieure Le Sous-traitant ne recrute pas de sous-traitant ultérieur sans autorisation écrite, préalable et [générale / spécifique] du Responsable. Il impose au sous-traitant ultérieur les mêmes obligations que celles prévues au présent contrat et demeure pleinement responsable de leur exécution.
Article X+3 — Réversibilité Au terme de la prestation, le Sous-traitant, selon le choix du Responsable, supprime ou renvoie l’ensemble des données et détruit les copies existantes, sauf obligation légale de conservation.
Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — mise à jour du 10 juillet 2026.
Pour aller plus loin, voyez notre modèle de questionnaire sous-traitants RGPD et, sur les clauses de secret, notre clause de confidentialité.
5. Sanctions et jurisprudence
Les sanctions du RGPD s’appliquent aussi au sous-traitant pour le non-respect de ses obligations. Les plafonds atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les manquements de l’article 28, et 20 millions d’euros ou 4 % pour les manquements aux principes fondamentaux — des montants qui, pour un grand groupe, se chiffrent en centaines de millions.
La CNIL a par ailleurs sanctionné directement des sous-traitants. Dans une décision de janvier 2021, elle a prononcé une amende à l’encontre d’un responsable de traitement (150 000 €) et de son sous-traitant (75 000 €) à la suite d’attaques par bourrage d’identifiants (credential stuffing) : le sous-traitant avait tardé à mettre en place des mesures de sécurité adaptées, ce qui a contribué à la compromission de données de clients. Cette affaire illustre un principe désormais bien établi : le sous-traitant répond de ses propres manquements de sécurité, indépendamment de la responsabilité du donneur d’ordre.
Le Comité européen de la protection des données a également publié des lignes directrices détaillées sur les notions de responsable et de sous-traitant, qui précisent les critères de qualification et le contenu attendu des contrats de l’article 28. Elles constituent la référence doctrinale pour cadrer une relation de sous-traitance.
6. Comment sélectionner et encadrer un sous-traitant
Le responsable ne doit faire appel qu’à des sous-traitants présentant des garanties suffisantes (art. 28(1)). La sélection est donc un acte de conformité à part entière. Méthode en cinq temps :
- Cartographier les traitements que vous confiez et les données concernées (finalités, sensibilité, durée de conservation).
- Évaluer les garanties du prestataire via un questionnaire sous-traitants : localisation des données, mesures de sécurité, certifications (ISO 27001, code de conduite), sous-traitants ultérieurs, gestion des violations.
- Contractualiser avec un DPA complet (section 3) — ne pas signer les CGU du fournisseur sans vérifier la présence des clauses de l’article 28.
- Encadrer les transferts hors UE (clauses 2021/914, Data Privacy Framework) le cas échéant.
- Suivre dans la durée : mise à jour du registre de sous-traitance, revue périodique, audits. Un audit RGPD régulier permet de vérifier que la chaîne de sous-traitance reste conforme.
Appliquer la minimisation des données dès la sélection — ne confier que les données strictement nécessaires — réduit d’autant votre exposition en cas d’incident chez le sous-traitant.
FAQ
Quelle différence entre responsable de traitement et sous-traitant ?
Le responsable de traitement décide des finalités et des moyens ; le sous-traitant exécute pour son compte, sur instruction. Le critère décisif est le pouvoir de décision sur les finalités. Un prestataire qui utilise les données pour ses propres fins devient responsable de traitement (art. 28(10)).
Le contrat de sous-traitance (DPA) est-il obligatoire ?
Oui. L’article 28 impose un contrat écrit dès qu’un prestataire traite des données pour votre compte. Son absence est un manquement sanctionnable, qui pèse à la fois sur le responsable et sur le sous-traitant. Les CGU standard d’un fournisseur ne suffisent que si elles contiennent toutes les clauses obligatoires.
Un sous-traitant peut-il être sanctionné directement par la CNIL ?
Oui. Le sous-traitant répond de ses obligations propres (sécurité, registre, confidentialité, sous-traitance ultérieure). La CNIL a sanctionné des sous-traitants directement, notamment pour des défauts de sécurité ayant conduit à des violations de données.
Un sous-traitant peut-il recourir à d’autres sous-traitants ?
Seulement avec l’autorisation du responsable, générale ou spécifique (art. 28(2)). Le sous-traitant ultérieur doit être soumis aux mêmes obligations, et le sous-traitant initial reste pleinement responsable de son exécution devant le responsable de traitement.
Que devient un sous-traitant qui utilise les données pour ses propres besoins ?
Il est requalifié en responsable de traitement pour cet usage (art. 28(10)) et supporte alors toutes les obligations et responsabilités attachées : base légale, information des personnes, registre, sanctions. C’est un risque juridique majeur pour les prestataires qui « valorisent » les données de leurs clients.
Comment gérer les données quand la prestation prend fin ?
Le sous-traitant doit, au choix du responsable, supprimer ou restituer toutes les données et détruire les copies (art. 28(3)(g)), sauf obligation légale de conservation. Prévoyez cette clause de réversibilité dès le contrat, avec un délai et un format de restitution précis.