Sous-traitance RGPD : ce qu'exige l'article 28

Dès que vous utilisez un prestataire qui manipule des données personnelles pour vous, un outil d'emailing, un hébergeur, un logiciel de paie, le RGPD s'invite dans la relation. L'article 28 encadre cette sous-traitance. Voici l'essentiel.

Responsable ou sous-traitant ?

Le RGPD distingue deux rôles. Le responsable de traitement décide pourquoi et comment les données sont traitées. Le sous-traitant traite les données pour le compte du responsable, en suivant ses instructions. Un éditeur de logiciel de facturation, par exemple, est sous-traitant de ses clients.

Beaucoup d'entreprises sont les deux à la fois : responsable pour leurs propres fichiers, et sous-traitant quand elles traitent les données de leurs clients. Savoir dans quel rôle on se trouve est la première étape.

Le contrat est obligatoire

L'article 28 du RGPD impose un contrat écrit entre responsable et sous-traitant (souvent appelé DPA, pour Data Processing Agreement). Sans ce contrat, la sous-traitance est irrégulière, des deux côtés. Ce document précise notamment :

• l'objet et la durée du traitement ;
• la nature et la finalité des opérations ;
• les types de données et les catégories de personnes ;
• les obligations du sous-traitant.

Ce que le sous-traitant s'engage à faire

Le sous-traitant ne fait pas ce qu'il veut avec les données. Il s'engage notamment à : n'agir que sur instruction du responsable ; garantir la confidentialité de son personnel ; mettre en place des mesures de sécurité ; aider le responsable à répondre aux demandes des personnes et à gérer les violations ; et supprimer ou restituer les données en fin de contrat.

La question des sous-traitants ultérieurs

Un sous-traitant qui souhaite lui-même faire appel à un autre prestataire (un « sous-traitant ultérieur ») doit obtenir l'autorisation du responsable et lui imposer les mêmes obligations. C'est un point souvent négligé : votre hébergeur, votre outil d'emailing peuvent eux-mêmes s'appuyer sur d'autres prestataires, parfois hors Union européenne.

Le lien avec les questionnaires clients

Cette logique est exactement celle de l'effet cascade qu'on retrouve en cybersécurité : le client responsable évalue et encadre ses sous-traitants. Quand vous êtes sous-traitant, on vous demandera vos garanties (contrat, sécurité, localisation des données). Les avoir prêtes accélère vos réponses commerciales.

En résumé

Dès qu'un prestataire traite des données pour vous, l'article 28 du RGPD impose un contrat écrit et des garanties précises : instructions, confidentialité, sécurité, aide en cas de demande ou de violation, sort des données en fin de contrat. Sachez si vous êtes responsable ou sous-traitant, encadrez vos prestataires, et surveillez les sous-traitants ultérieurs, y compris hors UE.

FAQ

Un simple prestataire informatique est-il un sous-traitant RGPD ? S'il traite des données personnelles pour votre compte (hébergement, maintenance avec accès aux données), oui. Un contrat article 28 est alors nécessaire.

Qui rédige le contrat de sous-traitance ? En pratique, c'est souvent le sous-traitant qui propose son modèle (DPA), mais la responsabilité de sa présence incombe aux deux parties.

Faut-il l'accord du client pour changer de sous-traitant ultérieur ? Oui. Le sous-traitant doit obtenir l'autorisation du responsable et répercuter les mêmes obligations sur le nouveau prestataire.