RGPD : Les obligations des sous-traitants de données personnelles

xdpo
21 oct. 2022
4 min de lecture

Dernière mise à jour : 23 juin

Imaginons une scène classique : une PME ou une association externalise la gestion de sa paie à un nouvel expert-comptable ou migre ses données clients sur un logiciel CRM en mode SaaS. Pour l'organisation, c'est un gain de temps évident.

Mais que se passe-t-il si ce prestataire subit une faille de sécurité ?

Vis-à-vis de la loi et de vos clients ou adhérents, c'est votre responsabilité qui est engagée. En confiant des données personnelles à un tiers, vous ne transférez pas votre responsabilité juridique : vous devez vous assurer qu'il présente des garanties suffisantes.

Pour éviter les sanctions et protéger vos actifs, l'unique solution repose sur une approche unifiée et une gouvernance des données solide, combinant le respect du RGPD, l'anticipation de la Directive NIS2 et la transparence de l'AI Act.

Qu'est-ce qu'un sous-traitant au sens du RGPD ?

Un sous-traitant est l'organisme qui traite des données personnelles pour le compte et selon les instructions strictes d’un responsable de traitement, dans le cadre d’un service ou d’une prestation.

Si vous pilotez une petite ou moyenne structure, vous collaborez quotidiennement avec des sous-traitants sans parfois le savoir :

Votre expert-comptable
Votre prestataire informatique (infogérance, maintenance)
Votre éditeur de logiciel en mode SaaS (CRM, ERP, SIRH)
Votre hébergeur de données cloud

Référence légale : L'article 28 du RGPD encadre strictement la relation entre le responsable de traitement et le sous-traitant. Il impose la signature d'un contrat écrit ou d'un avenant spécifique détaillant les obligations réciproques.

Pourquoi s'assurer de la conformité RGPD de vos sous-traitants de données personnelles ?

Si vous collectez des données personnelles, vous êtes responsable du traitement des données auprès des personnes concernées et si vous les confiez à un tiers, ce dernier peux être qualifié de sous-traitants de données personnelles.

Au moment de la collecte des données personnelles, vous avez pris des engagements de confidentialité ou de protection des données auprès de ces personnes : il est donc indispensable de vérifier les engagements soient bien repris par vos sous-traitants et de les formaliser par écrit.

Les 6 obligations majeures de votre sous-traitant

Pour garantir une conformité numérique sans faille, votre prestataire doit répondre à des critères précis que vous devez vérifier, par exemple lors d'un audit de sécurité ou d'un suivi régulier.

1️⃣ Une obligation de transparence et de traçabilité

VLe sous-traitant doit mettre à votre disposition toutes les informations nécessaires pour prouver le respect de ses obligations. Cela se matérialise par un contrat clair (contenant les finalités, la durée, les catégories de données) et, très souvent, par la tenue de son propre registre des activités de traitement.

2️⃣ La prise en compte des principes de protection des données dès la conception et par défaut

Votre prestataire doit vous prouver qu'il applique les principes fondamentaux du Privacy by Design (intégration de la vie privée dès le développement de son outil) et du Privacy by Default (niveau de protection maximal activé d'office, limitant la collecte au strict nécessaire).

3️⃣ Une obligation de garantir la sécurité des données traitées

Cette sécurité doit être globale et s'articule en trois couches complémentaires :

Sécurité juridique : Un contrat de sous-traitance solide.
Sécurité technique : Chiffrement des données, journalisation des accès, authentification forte (MFA).
Sécurité organisationnelle : Procédures internes et formation des employés du prestataire.

4️⃣ Une obligation d’assistance, d’alerte et de conseil

En cas de cyberattaque ou de violation de données, le sous-traitant a l'obligation légale de vous informer dans les plus brefs délais. Il doit également vous assister si un utilisateur exerce ses droits (accès, suppression) ou si vous devez mener une Analyse d'Impact relative à la Protection des Données (AIPD). (Pour en savoir plus sur les AIPDs, consulter notre article)

5️⃣ Une chaine de sous-traitance totalement maîtrisée

Par principe votre sous-traitant ne peut recruter un autre sous-traitant que sur autorisation écrite du responsable du traitement. Alors, si celui-ci veut à son tour faire appel à un sous-traitant ou changer de sous-traitant (par exemple son hébergeur de données), il doit vous en informer.

Le sous-traitant ultérieur doit respecter les mêmes obligations et présenter des garanties suffisantes au regard du RGPD.

6️⃣ Le sort des données en fin de contrat

Une fois la prestation terminée, le sous-traitant a l'obligation de supprimer l'ensemble des données ou de vous les restituer (rapatriement) avant d'effacer les copies existantes.

Mon sous-traitant n'est pas conforme : quelle est la marche à suivre ?

Pas de panique, la mise en conformité agile consiste à prioriser les risques critiques pour avancer de manière pragmatique.

Ouvrez le dialogue : Contactez le prestataire ou son DPO externalisé / interne pour faire le point sur sa documentation.
Signez un avenant RGPD : Intégrez des clauses contractuelles types (la CNIL propose des modèles dans son guide du sous-traitant).
Arbitrez si nécessaire : Si le sous-traitant refuse toute transparence ou s'avère injoignable (comme certains géants internationaux de la tech), la saine gestion des risques tiers impose de basculer vers des solutions alternatives locales, européennes et respectueuses de la vie privée.

En conclusion

La gestion de vos sous-traitants ne doit pas être subie comme une contrainte administrative, mais pilotée comme un levier de cyber-résilience.

Chez xdpo, nous défendons une approche humaine et pragmatique de la conformité numérique. Grâce à notre indépendance totale (aucun logiciel imposé) et notre expertise senior, nous vous aidons à cartographier vos risques et à auditer vos prestataires de confiance.

Vous souhaitez sécuriser vos contrats et évaluer vos sous-traitants ? Contactez les experts xdpo pour un audit de vos contrats ou un accompagnement sur mesure.

Les internautes ont aussi consulté dans le Blog: