Comment encadrer le traitement de données par un sous-traitant : guide pratique
Encadrer le traitement de données par un sous-traitant désigne l'ensemble des obligations que le Règlement général sur la protection des données (RGPD) impose au responsable de traitement lorsqu'il confie à un tiers – un éditeur de logiciel, un hébergeur, un prestataire de services – des opérations portant sur des données à caractère personnel. Sans contrat de sous-traitance conforme, sans vérification préalable du prestataire et sans mécanisme de contrôle continu, le responsable de traitement conserve l'intégralité de la responsabilité juridique : les manquements constatés peuvent donner lieu à des mesures correctrices prononcées par la Commission nationale de l'informatique et des libertés (CNIL).
En avril 2026, la CNIL maintient un niveau d'exigence élevé dans ses contrôles portant sur la chaîne de sous-traitance. Les directions juridiques et les directions des systèmes d'information (DSI) qui n'ont pas formalisé cette chaîne s'exposent à un risque documentaire immédiat. Ce guide présente la méthode pas-à-pas pour structurer, documenter et contrôler le traitement confié à un sous-traitant, depuis l'identification du prestataire jusqu'au suivi contractuel continu.
Le plan : identification et qualification des sous-traitants ; rédaction et contenu obligatoire du contrat ; gestion des transferts hors Union européenne ; vérifications préalables (diligences raisonnables) ; pilotage continu et audits ; erreurs fréquentes et leviers de correction ; check-list opérationnelle.
Étape 1 – Identifier et qualifier chaque sous-traitant impliqué dans vos traitements
La première étape consiste à dresser un inventaire exhaustif de tous les prestataires qui accèdent, stockent, transmettent ou traitent des données à caractère personnel pour votre compte. Un prestataire est qualifié de sous-traitant au sens du RGPD dès lors qu'il traite des données sur instruction du responsable de traitement, sans poursuivre ses propres finalités pour ces données.
Cette distinction est décisive. Un prestataire qui utilise les données que vous lui transmettez pour améliorer ses propres services ou constituer sa propre base devient un responsable de traitement conjoint, voire autonome, ce qui modifie radicalement le régime contractuel applicable. Dans notre pratique, nous observons que cette requalification est l'une des premières sources d'erreur lors des contrôles CNIL.
Pour bâtir cet inventaire, procédez en trois temps :
- Recensez les contrats en cours : éditeurs SaaS, hébergeurs cloud, prestataires de paie, agences marketing, mainteneurs informatiques.
- Croisez avec le registre des activités de traitement : chaque traitement listé doit identifier son ou ses sous-traitants.
- Qualifiez contractuellement chaque prestataire : sous-traitant, responsable conjoint ou tiers autonome. La qualification conditionne le type de contrat à conclure.
Le registre des activités de traitement, que tout responsable de traitement est tenu de maintenir en application des dispositions du RGPD relatives à la responsabilisation, est le point d'entrée naturel de cet inventaire. Il constitue également la pièce centrale que la CNIL demande à consulter lors d'un contrôle sur place ou sur pièces.
Étape 2 – Rédiger un contrat de sous-traitance conforme : quelles clauses sont obligatoires ?
Le contrat de sous-traitance – souvent désigné en pratique par l'anglicisme « Data Processing Agreement » (DPA) – doit impérativement figurer par écrit et comporter un ensemble de stipulations dont le contenu est déterminé par le RGPD. L'absence de contrat écrit, ou la présence d'un contrat incomplet, constitue en elle-même un manquement susceptible d'être relevé par la CNIL.
Les clauses obligatoires portent sur les points suivants :
- Objet et durée : nature, finalité, type de données traitées et catégories de personnes concernées.
- Instructions documentées : le sous-traitant ne traite les données que sur instruction écrite du responsable de traitement. Toute instruction verbale doit être confirmée par écrit.
- Confidentialité : engagement personnel des personnes habilitées à traiter les données.
- Mesures de sécurité : le sous-traitant met en œuvre les mesures techniques et organisationnelles appropriées définies en coordination avec le responsable de traitement.
- Recours aux sous-traitants ultérieurs : autorisation préalable, générale ou spécifique, et transmission des obligations à la chaîne.
- Droits des personnes concernées : assistance apportée au responsable pour répondre aux demandes d'exercice des droits.
- Notification des violations : délai de notification au responsable en cas de violation de données (délai à définir contractuellement, suffisamment court pour permettre la notification à la CNIL dans le délai légal).
- Analyse d'impact : contribution du sous-traitant lorsqu'une analyse d'impact relative à la protection des données (AIPD) est requise.
- Sort des données : restitution ou suppression à l'issue du contrat, avec attestation.
- Coopération : participation aux audits et aux demandes d'information de la CNIL.
Nous accompagnons régulièrement des DSI qui reçoivent de leurs prestataires des DPA standardisés rédigés en anglais, aux clauses substantiellement incomplètes au regard du droit français et du RGPD. La revue juridique de ces documents avant signature est une étape que nous ne recommandons jamais de contourner.
Votre DPA est-il réellement conforme au RGPD ?
La procédure décrite ci-dessus vaut pour les situations courantes. Votre dossier suppose l'examen des clauses, des flux de données identifiés et de la pratique de la CNIL. Pour une analyse de votre contrat de sous-traitance au regard du RGPD, écrivez-nous à contact@vernaylestang.com.
Étape 3 – Comment gérer les transferts de données hors Union européenne ?
Lorsque le sous-traitant est établi hors de l'Union européenne ou qu'il recourt à des infrastructures situées dans un pays tiers, le responsable de traitement doit vérifier l'existence d'un mécanisme de transfert valide avant tout flux de données. L'absence de fondement juridique pour le transfert constitue un manquement autonome, indépendant de la conformité du contrat de sous-traitance lui-même.
Les mécanismes disponibles s'organisent selon une hiérarchie :
- Décision d'adéquation : la Commission européenne a reconnu que le pays de destination offre un niveau de protection adéquat. Le transfert est possible sans formalité complémentaire.
- Clauses contractuelles types (CCT) : adoptées par la Commission européenne, elles constituent le mécanisme le plus fréquemment utilisé. Depuis leur mise à jour, les CCT couvrent plusieurs configurations dont le transfert responsable-sous-traitant et le transfert sous-traitant-sous-traitant ultérieur.
- Règles d'entreprise contraignantes (BCR) : pour les groupes internationaux, approuvées par une autorité de contrôle chef de file.
- Dérogations : à usage exceptionnel et strictement encadré par le RGPD (consentement explicite, exécution d'un contrat, intérêt public, etc.).
L'adoption des CCT n'est plus suffisante en elle-même depuis la décision de la Cour de justice de l'Union européenne dite « Schrems II » : le responsable de traitement doit conduire une évaluation des effets du transfert (Transfer Impact Assessment – TIA) pour s'assurer que la législation du pays de destination ne compromet pas le niveau de protection garanti. Cette évaluation doit être documentée et tenue à disposition de la CNIL.
Nous observons, dans notre pratique de la conformité données, que les entreprises françaises sous-estiment régulièrement la portée de cette obligation d'évaluation, notamment pour les prestataires américains soumis à la législation américaine de surveillance.
Étape 4 – Conduire les diligences raisonnables (due diligence) avant de confier un traitement
Le RGPD impose au responsable de traitement de ne recourir qu'à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Cette obligation de sélection préalable implique une diligence raisonnable documentée avant la conclusion du contrat.
Cette vérification porte sur plusieurs axes :
- Politique de protection des données : le prestataire dispose-t-il d'une politique publique claire, d'un délégué à la protection des données (DPO) désigné, d'une documentation des mesures de sécurité ?
- Certifications et audits : existence de certifications reconnues (ISO 27001, SOC 2, etc.) ou de rapports d'audit de sécurité récents. Ces documents ne remplacent pas l'obligation contractuelle mais attestent du niveau de maturité.
- Gestion des violations passées : le prestataire a-t-il fait l'objet de violations de données notifiées à des autorités de contrôle ? Comment y a-t-il répondu ?
- Localisation et sous-traitance en cascade : où les données sont-elles hébergées ? Quels sous-traitants ultérieurs sont impliqués ?
Le résultat de cette diligence raisonnable doit être formalisé par écrit – une note interne, un questionnaire complété par le prestataire ou un rapport d'évaluation – et conservé pour démontrer, en cas de contrôle, que le choix du sous-traitant n'a pas été fait à l'aveugle. C'est l'une des pièces que les équipes de la CNIL demandent systématiquement.
Illustration pratique
Lors d'une opération récente (Nantes, printemps 2025), nous avons accompagné une ETI du secteur agroalimentaire dans la revue complète de sa chaîne de sous-traitance données avant un audit de certification. L'évaluation a mis en évidence plusieurs contrats non conformes et des flux vers un prestataire américain sans évaluation des effets du transfert documentée. La mise en conformité a permis de lever l'ensemble des réserves identifiées par les auditeurs.
Étape 5 – Piloter le contrat dans la durée : audits et révisions périodiques
La conformité au RGPD ne se limite pas à la signature d'un DPA : elle implique un suivi actif tout au long de la relation contractuelle. Le responsable de traitement qui signe un contrat conforme puis laisse la relation évoluer sans contrôle s'expose à une divergence progressive entre les obligations contractuelles et la réalité des traitements.
Plusieurs mécanismes de pilotage doivent être mis en place :
- Revue annuelle du contrat : vérification que l'objet du traitement, les catégories de données et les finalités correspondent toujours à la réalité opérationnelle. Toute évolution significative doit être formalisée par un avenant.
- Audit ou questionnaire périodique : le DPA doit prévoir le droit pour le responsable de mener des audits ou de déléguer cette mission à un auditeur tiers. En pratique, un questionnaire annuel est le minimum ; un audit sur site est souhaitable pour les traitements à risque élevé.
- Suivi des sous-traitants ultérieurs : le sous-traitant doit informer le responsable de tout changement de sous-traitant ultérieur. Ce mécanisme de notification doit être prévu et opérationnel.
- Veille sur les violations : un canal de notification dédié entre le sous-traitant et l'équipe conformité du responsable accélère la réponse en cas d'incident.
L'expérience des opérations de conformité montre que les révisions contractuelles sont souvent déclenchées trop tard – après une violation de données ou une demande de la CNIL – plutôt qu'à intervalles réguliers planifiés. Une gouvernance data structurée, pilotée conjointement par la direction juridique et la DSI, est la meilleure protection contre ce risque.
Pour une revue de votre dispositif de pilotage existant, le guide sur les étapes, conditions et délais applicables à l'encadrement du traitement de données par un sous-traitant détaille les jalons procéduraux à intégrer dans votre cycle de conformité.
Étape 6 – Quelles sont les erreurs les plus fréquentes et comment les corriger ?
La majorité des manquements relevés dans les procédures de la CNIL portant sur la sous-traitance ne résulte pas d'une intention de contournement, mais d'écarts procéduraux répétés et identifiables. Les corriger est une démarche de mise en conformité accessible, à condition d'agir méthodiquement.
Erreur 1 – Recourir à un DPA standard sans l'adapter. Les modèles diffusés par les grandes plateformes numériques sont rédigés pour limiter leurs obligations. Leur contenu est souvent insuffisant au regard des exigences du RGPD, notamment sur les clauses d'audit et de notification. Correction : revue systématique de tout DPA reçu avant signature.
Erreur 2 – Omettre la chaîne de sous-traitance en cascade. Un prestataire principal peut recourir à des dizaines de sous-traitants ultérieurs, dont certains situés hors UE. Le responsable de traitement doit avoir la visibilité sur cette chaîne et s'assurer que les obligations se transmettent à chaque niveau. Correction : exiger contractuellement la liste des sous-traitants ultérieurs et ses mises à jour.
Erreur 3 – Confondre sous-traitant et responsable de traitement conjoint. Cette confusion entraîne un régime contractuel inadapté et une allocation incorrecte des responsabilités. Correction : qualification juridique préalable par la direction juridique pour chaque nouveau prestataire.
Erreur 4 – Ne pas documenter les diligences raisonnables. Même si la sélection du prestataire a été rigoureuse, l'absence de traçabilité écrite prive le responsable de traitement de la preuve de sa conformité. Correction : formaliser un dossier de sélection pour tout prestataire traitant des données sensibles ou à grande échelle.
Erreur 5 – Oublier la clause de fin de contrat. Les données remises au sous-traitant doivent être restituées ou supprimées à l'issue de la relation, avec attestation. Cette clause est fréquemment absente ou sans mécanisme opérationnel de mise en œuvre. Correction : inclure une procédure de sortie détaillée, avec délai et format de restitution ou de preuve de suppression.
Illustration pratique
Lors d'une mission conduite pour une société de services financiers (Lyon, hiver 2025), nous avons identifié que quatre contrats sur sept impliquant un traitement de données à caractère personnel ne contenaient aucune clause relative au sort des données à l'expiration du contrat. La régularisation a nécessité la renégociation de chaque instrument contractuel et la mise en place d'un processus de sortie documenté pour les contrats à venir.
Une démarche antérieure a produit des résultats incomplets ?
Si une mise en conformité préalable n'a pas couvert l'ensemble de la chaîne de sous-traitance, un second regard permet d'identifier les lacunes restantes. Pour examiner l'application du RGPD à votre dispositif de sous-traitance, contactez-nous à contact@vernaylestang.com.
Quels documents faut-il préparer pour encadrer le traitement de données par un sous-traitant ?
La constitution d'un dossier documentaire complet est à la fois une exigence de conformité au titre du principe de responsabilisation (accountability) du RGPD et une garantie pratique en cas de contrôle. Voici la check-list opérationnelle des documents à réunir ou à produire.
Check-list – Ce qu'il faut préparer
- Registre des activités de traitement mis à jour, mentionnant chaque sous-traitant par traitement.
- Contrat de sous-traitance (DPA) signé, conforme au RGPD, adapté à la réalité opérationnelle du prestataire.
- Dossier de diligence raisonnable du prestataire (questionnaire complété, certifications, politique de protection des données).
- Évaluation des effets du transfert (TIA) si des données sont transmises vers un pays tiers, accompagnée du mécanisme de transfert retenu (CCT, décision d'adéquation, BCR).
- Liste des sous-traitants ultérieurs, avec indication de leur localisation et du mécanisme de transfert applicable.
- Analyse d'impact relative à la protection des données (AIPD), si le traitement est à risque élevé au sens du RGPD.
- Procédures internes de gestion des droits des personnes concernées et de notification des violations.
- Calendrier de révision contractuelle et d'audit.
Pour approfondir la protection des actifs numériques dans une logique d'ensemble, la page consacrée à la protection des droits d'auteur sur les logiciels présente les mécanismes de titularité applicables aux développements confiés à des prestataires externes – une question connexe qui se pose fréquemment en parallèle de la conformité données.
Matrice de décision – Quel régime contractuel selon la situation ?
- Situation A – Prestataire traite les données exclusivement sur vos instructions, sans finalité propre → Sous-traitant → DPA obligatoire → risque élevé si absent.
- Situation B – Prestataire détermine conjointement avec vous les finalités et moyens du traitement → Responsable conjoint → Accord de coresponsabilité → régime distinct du DPA.
- Situation C – Prestataire situé hors UE, sans décision d'adéquation → DPA + CCT + TIA → délai de mise en place à anticiper avant tout flux de données.
- Situation D – Prestataire principal recourant à des sous-traitants ultérieurs hors UE → DPA avec clause de sous-traitance en cascade + vérification des CCT à chaque niveau → surveillance continue.
Des aspects liés à la conformité numérique sont également traités dans notre guide sur la gestion d'une demande d'information de l'Autorité de la concurrence, qui détaille les obligations de coopération applicables aux entreprises dans un cadre réglementaire comparable.
Domaines liés
- Protection des droits d'auteur sur les logiciels – titularité, cession et garantie lors du recours à des prestataires
- Étapes, conditions et délais – sous-traitance données – séquencement procédural détaillé et jalons de conformité RGPD
Questions fréquentes sur l'encadrement du traitement de données par un sous-traitant
1. Quelles conséquences en cas d'erreur de procédure ?
Une erreur de procédure dans l'encadrement d'un traitement de données par un sous-traitant expose le responsable de traitement à des mesures correctrices prononcées par la CNIL : mise en demeure, injonction de mise en conformité et, dans les cas les plus graves, sanction pécuniaire dont le montant est fixé par les dispositions du RGPD en fonction de la gravité du manquement et du chiffre d'affaires de l'entité concernée. L'absence de contrat écrit, l'omission de clauses obligatoires ou l'absence de mesures de sécurité documentées constituent des manquements autonomes, cumulables. La responsabilité civile du sous-traitant peut également être engagée si le manquement lui est imputable, mais le responsable de traitement demeure solidairement exposé vis-à-vis des personnes concernées.
2. Encadrer le traitement de données par un sous-traitant : comment procéder en pratique ?
Encadrer le traitement de données par un sous-traitant implique, dans l'ordre : qualifier le prestataire (sous-traitant ou responsable conjoint) ; conduire une diligence raisonnable documentée ; négocier et signer un DPA conforme aux exigences du RGPD ; vérifier l'existence d'un mécanisme de transfert valide si le prestataire est hors UE ; intégrer le sous-traitant dans le registre des activités de traitement ; mettre en place un pilotage continu incluant des révisions périodiques et le droit d'audit. Chacune de ces étapes doit être tracée par écrit pour satisfaire l'obligation de responsabilisation.
3. Quels sont les prérequis avant d'encadrer le traitement de données par un sous-traitant ?
Avant d'encadrer le traitement, trois prérequis doivent être réunis : disposer d'un registre des activités de traitement identifiant les flux de données concernés ; avoir qualifié la nature de la relation (sous-traitant, responsable conjoint ou tiers autonome) sur la base d'une analyse juridique et non de la seule dénomination contractuelle retenue par le prestataire ; et avoir évalué le niveau de risque du traitement pour déterminer si une analyse d'impact relative à la protection des données (AIPD) est requise préalablement à la mise en œuvre.
4. Le sous-traitant peut-il recourir à des sous-traitants ultérieurs ?
Le sous-traitant peut recourir à des sous-traitants ultérieurs, à condition d'en informer le responsable de traitement et d'obtenir son autorisation préalable, générale ou spécifique selon ce que prévoit le contrat. Le sous-traitant principal est tenu de transmettre à chaque sous-traitant ultérieur les obligations équivalentes à celles qui lui ont été imposées, notamment en matière de sécurité, de confidentialité et de transferts hors UE. Si un sous-traitant ultérieur manque à ses obligations, le sous-traitant principal conserve à l'égard du responsable de traitement l'entière responsabilité de l'exécution de ses propres obligations.
5. Quelle est la durée de conservation des documents de conformité relatifs à la sous-traitance ?
Les documents de conformité – DPA, dossiers de diligence raisonnable, TIA, registre des activités de traitement, preuves de suppression ou de restitution des données – doivent être conservés pendant toute la durée de la relation contractuelle et au-delà, pour couvrir les délais de prescription applicables en matière de responsabilité civile et les délais pendant lesquels la CNIL peut exercer ses pouvoirs de contrôle. Le RGPD n'impose pas de durée minimale chiffrée pour la conservation des documents de responsabilisation, mais la pratique recommande de les conserver au minimum pendant une durée correspondant à celle du traitement augmentée du délai de prescription de droit commun prévu par le Code civil.
Vernay & Lestang – Propriété intellectuelle, numérique et données
Vernay & Lestang conseille des directions juridiques et des DSI dans la structuration de leur conformité données : revue de contrats de sous-traitance, qualification des flux, rédaction de DPA, mise en place des mécanismes de transfert et accompagnement lors des contrôles CNIL. Notre approche repose sur une lecture opérationnelle des exigences du RGPD, ancrée dans la réalité des organisations. Les honoraires sont définis après analyse du dossier.
Pour un premier avis sur votre dispositif de sous-traitance données, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de numérique, de données personnelles et de conformité.
Voir le profil – Publié le 2 avril 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.