Encadrer le traitement de données par un sous-traitant : étapes, conditions et délais
Encadrer le traitement de données par un sous-traitant désigne l'ensemble des obligations imposées au responsable de traitement par le Règlement général sur la protection des données (RGPD) lorsqu'il confie tout ou partie d'un traitement de données personnelles à un tiers agissant pour son compte. Ce cadre s'applique dès qu'une entreprise française externalise une prestation impliquant des données personnelles – hébergement, marketing automation, gestion des ressources humaines, infogérance – et détermine les conditions contractuelles, organisationnelles et techniques à réunir avant de démarrer la collaboration.
En avril 2026, la direction juridique et la DSI de nombreuses organisations restent confrontées à une difficulté récurrente : la sous-traitance de données est souvent déclenchée par des décisions opérationnelles rapides, sans que le cadre juridique soit posé en amont. Le présent guide expose, étape par étape, la méthode à suivre pour qualifier la relation, structurer les obligations contractuelles, vérifier les garanties techniques et organiser le suivi dans la durée.
Ce guide aborde successivement les prérequis de qualification, la rédaction de l'accord de traitement, les garanties à exiger du prestataire, le suivi opérationnel, les erreurs fréquentes à éviter, et la check-list des documents à préparer.
Qu'est-ce qu'un sous-traitant au sens du RGPD et pourquoi cette qualification est déterminante ?
Un sous-traitant, au sens des dispositions du RGPD relatives aux rôles des acteurs, est toute personne physique ou morale qui traite des données personnelles pour le compte du responsable de traitement et sur ses instructions documentées. Cette qualification se distingue de celle de responsable conjoint de traitement, dans laquelle deux entités déterminent ensemble les finalités et les moyens du traitement. La distinction n'est pas seulement théorique : elle conditionne l'architecture contractuelle applicable et la répartition des responsabilités en cas de manquement.
Dans notre pratique des dossiers de conformité, nous observons que la frontière entre sous-traitant et responsable conjoint est fréquemment brouillée par les conditions générales des prestataires technologiques. Un fournisseur de solution SaaS qui enrichit les données traitées à des fins propres, ou qui détermine lui-même les paramètres de traitement au-delà des instructions reçues, peut sortir du périmètre de la sous-traitance stricte. Cette requalification expose le responsable de traitement à des obligations supplémentaires et à un risque de non-conformité.
Trois critères permettent d'opérer la qualification : qui détermine les finalités du traitement ? qui décide des moyens essentiels ? le prestataire traite-t-il les données à des fins propres ? Un « oui » à l'une des deux dernières questions oriente vers la responsabilité conjointe ou vers la situation d'un responsable de traitement indépendant, ce qui modifie entièrement la stratégie juridique.
La qualification préalable conditionne également la validité du contrat : un accord de sous-traitance conclu avec une entité qui est en réalité responsable de traitement ne satisfait pas aux exigences du RGPD et ne couvre pas le responsable de traitement initial en cas de contrôle de la Commission nationale de l'informatique et des libertés (CNIL).
Vous identifiez un prestataire dont le rôle n'est pas encore clarifié ? La procédure décrite ci-dessous vaut pour les situations courantes. Votre dossier suppose l'examen des actes, des flux de données et de la pratique des autorités de contrôle compétentes.
Pour une analyse de votre situation au regard de l'encadrement du traitement de données par un sous-traitant, écrivez-nous à contact@vernaylestang.com.
Quels sont les prérequis à réunir avant de formaliser la relation de sous-traitance ?
Avant de rédiger tout accord de traitement, le responsable de traitement doit s'assurer que plusieurs conditions préalables sont satisfaites. Ces prérequis conditionnent la validité de la démarche et délimitent le périmètre contractuel.
Le premier prérequis est l'existence d'une base légale valide pour le traitement confié. Si le traitement principal repose sur le consentement des personnes concernées, ce consentement doit avoir été recueilli avant toute transmission au sous-traitant. Si la base légale est l'exécution d'un contrat ou un intérêt légitime, l'analyse de cette base doit être documentée avant l'externalisation.
Le deuxième prérequis est l'inventaire précis des données transmises. Le responsable de traitement doit savoir, avant de signer, quelles catégories de données personnelles il confie, à quelle fréquence, selon quel canal technique et pour quelle durée. Cet inventaire nourrit directement les clauses du contrat et évite les stipulations vagues qui, en cas de contrôle, sont systématiquement considérées comme insuffisantes par la CNIL.
Le troisième prérequis est la vérification préliminaire des garanties du prestataire. Le RGPD impose au responsable de traitement de ne recourir qu'à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Cette vérification doit intervenir avant la signature, pas après. Dans notre pratique, nous recommandons d'intégrer cette diligence raisonnable dans la phase de sélection du prestataire, au même titre que l'évaluation financière.
Le quatrième prérequis concerne les transferts hors Union européenne. Si le sous-traitant est établi en dehors de l'Espace économique européen ou s'il peut sous-traiter lui-même à des entités situées dans des pays tiers, le responsable de traitement doit identifier les mécanismes de transfert applicables avant de conclure l'accord – décision d'adéquation, clauses contractuelles types adoptées par la Commission européenne, ou autre garantie appropriée.
Comment rédiger l'accord de traitement des données : structure et clauses essentielles
L'accord encadrant le traitement de données par un sous-traitant doit contenir un ensemble de clauses déterminées par le RGPD, qui en constituent le socle non négociable. Ces clauses s'articulent autour de quatre axes : l'objet et la durée, les instructions du responsable de traitement, les obligations du sous-traitant, et les modalités de contrôle.
L'objet et la durée doivent décrire précisément la nature du traitement, les catégories de données concernées, les catégories de personnes concernées et la finalité. La durée de conservation doit être fixée de manière déterminée ou déterminable, avec une clause de destruction ou de restitution des données à l'échéance.
Les instructions documentées constituent le cœur de la relation. Le sous-traitant ne peut traiter les données qu'en suivant les instructions du responsable de traitement. Il doit l'informer immédiatement s'il estime qu'une instruction enfreint le RGPD ou tout autre texte applicable. La clause doit prévoir la forme de ces instructions – écrite, avec un délai de prise en compte – pour éviter toute ambiguïté opérationnelle.
Les obligations du sous-traitant couvrent au minimum : l'obligation de confidentialité imposée aux personnes habilitées à traiter les données, la mise en œuvre des mesures de sécurité techniques et organisationnelles, l'assistance au responsable de traitement pour répondre aux demandes d'exercice de droits des personnes concernées, l'assistance pour les analyses d'impact et la notification des violations de données, et la liste des sous-traitants ultérieurs autorisés.
Sur ce dernier point, la sous-traitance en cascade mérite une attention particulière. Le responsable de traitement doit autoriser expressément – ou de manière générale avec droit d'opposition – tout recours à un sous-traitant ultérieur, et le contrat doit imposer que ce dernier soit soumis aux mêmes obligations.
Les modalités de contrôle et d'audit donnent au responsable de traitement la faculté de vérifier, à intervalles raisonnables ou sur événement déclencheur (incident, contrôle réglementaire), que le sous-traitant respecte effectivement ses obligations. Cette clause est souvent négligée dans les contrats standardisés. Elle est pourtant essentielle pour démontrer la conformité en cours d'exécution.
Expérience du cabinet – Île-de-France, printemps 2025
Nous avons accompagné une entreprise de services numériques francilienne dans la refonte de ses contrats avec une dizaine de prestataires technologiques. L'analyse préalable a révélé que plusieurs prestataires, initialement traités comme sous-traitants simples, déterminaient en réalité certains paramètres de traitement de manière autonome. Le réajustement de la qualification et la mise à jour des accords ont permis de sécuriser la position du responsable de traitement avant un audit interne planifié.
Vous avez déjà engagé une démarche de mise en conformité mais des doutes persistent sur certains contrats ? Si une démarche antérieure a produit un résultat défavorable ou incomplet, un second regard permet d'identifier les leviers restants.
Pour examiner l'application des dispositions du RGPD à vos accords de sous-traitance, contactez-nous à contact@vernaylestang.com.
Quelles garanties techniques et organisationnelles exiger du sous-traitant ?
Les garanties suffisantes exigées par le RGPD se vérifient avant la signature et tout au long de l'exécution du contrat. Elles portent sur deux registres : les mesures techniques et les mesures organisationnelles.
Sur le plan technique, le responsable de traitement doit s'assurer que le sous-traitant applique des mesures de protection adaptées au niveau de risque du traitement : chiffrement des données en transit et au repos, contrôle des accès, journalisation des opérations sensibles, pseudonymisation lorsque la finalité le permet. La notion d'adéquation au risque est centrale : les mesures exigées d'un hébergeur de données de santé ne sont pas celles d'un prestataire d'emailing pour une newsletter.
Sur le plan organisationnel, les éléments à examiner incluent la politique de gestion des incidents et la procédure de notification, l'existence d'un délégué à la protection des données ou d'une équipe dédiée, les modalités de formation des personnels habilités, et la capacité à produire une documentation de conformité (registre des traitements, politique de sécurité, rapport d'audit).
Dans notre pratique de l'accompagnement des directions informatiques, nous observons que les certifications reconnues – lorsqu'elles sont pertinentes par rapport au périmètre du traitement – constituent un élément de preuve utile, sans être suffisant à elles seules. La certification ne dispense pas d'un examen concret des mesures effectivement déployées.
La question du lieu de stockage et des accès depuis des pays tiers mérite également d'être documentée de manière précise dans l'accord. Une clause de localisation des données, assortie d'une obligation de notification en cas de modification, réduit significativement le risque de transfert non encadré.
Comment organiser le suivi de la sous-traitance dans la durée ?
La conformité à l'encadrement du traitement de données par un sous-traitant n'est pas un acte unique : c'est un dispositif à maintenir actif pendant toute la durée de la relation contractuelle. Cette dimension opérationnelle est souvent sous-estimée par les organisations qui traitent la signature du contrat comme l'aboutissement de la démarche.
Un premier mécanisme de suivi est la revue périodique des accords de sous-traitance, à programmer en cohérence avec les cycles de renouvellement des contrats et les évolutions de l'activité. Toute modification du périmètre du traitement – nouvelles catégories de données, nouvelles finalités, changement d'infrastructure – doit déclencher une mise à jour de l'accord.
Un deuxième mécanisme est le suivi des sous-traitants ultérieurs. Le responsable de traitement doit tenir à jour la liste des prestataires auxquels son sous-traitant a lui-même recours et vérifier que les conditions d'encadrement sont équivalentes. Cette chaîne de responsabilité est l'un des points les plus fréquemment relevés lors des contrôles de la CNIL.
Un troisième mécanisme concerne la gestion des violations de données. Le contrat doit définir un délai contractuel de notification au responsable de traitement, suffisamment bref pour lui permettre de respecter ses propres obligations déclaratives. Ce délai, fixé contractuellement, doit être cohérent avec les délais imposés par le RGPD pour la notification à la CNIL et, le cas échéant, aux personnes concernées.
Enfin, la fin de la relation contractuelle doit être anticipée. Une clause de sortie prévoyant les modalités de restitution ou de destruction des données, avec confirmation écrite, évite les situations dans lesquelles des données personnelles subsistent sur les systèmes du prestataire après la résiliation.
Expérience du cabinet – Auvergne-Rhône-Alpes, automne 2025
Nous avons assisté une ETI du secteur industriel dans la mise en place d'un dispositif de suivi de ses sous-traitants de traitement, après la détection d'un incident de sécurité chez l'un d'eux. La révision des clauses contractuelles, l'établissement d'une procédure de notification interne et la constitution d'un registre des sous-traitants ont permis de documenter la réactivité de l'organisation face à l'incident, élément déterminant dans la gestion des échanges avec l'autorité de contrôle.
Quelles sont les erreurs fréquentes et comment les prévenir ?
Plusieurs erreurs reviennent de manière constante dans les dossiers que nous traitons, indépendamment de la taille ou du secteur de l'organisation concernée. Les identifier permet d'agir avant qu'elles ne se transforment en vulnérabilité réelle.
L'erreur la plus répandue est de se fier aux conditions générales du prestataire sans les analyser ni les compléter. Les conditions générales de vente ou d'utilisation d'un prestataire SaaS ne constituent pas un accord de sous-traitance conforme au RGPD. Elles n'épuisent pas les obligations contractuelles requises et ne permettent pas d'établir que les instructions du responsable de traitement ont été formalisées.
Une deuxième erreur fréquente est l'absence de clause relative aux sous-traitants ultérieurs. Nombre d'entreprises signent un accord avec leur prestataire principal sans vérifier que cet accord encadre la chaîne de sous-traitance en aval. Or, la responsabilité du responsable de traitement initial demeure engagée tout au long de cette chaîne.
Une troisième erreur tient à la confusion entre accord de confidentialité et accord de traitement des données. Ces deux instruments ont des objets distincts. Un accord de confidentialité protège les informations sensibles partagées dans le cadre commercial ; l'accord de traitement encadre spécifiquement le traitement de données personnelles selon les exigences du RGPD. Leur confusion ou leur substitution l'un à l'autre est une non-conformité caractérisée.
Une quatrième erreur concerne la durée de conservation. Lorsque la durée n'est pas fixée contractuellement, le sous-traitant peut conserver les données au-delà de la fin de la relation commerciale, exposant le responsable de traitement à un manquement au principe de limitation de la conservation.
Une cinquième erreur, enfin, est de traiter l'accord de sous-traitance comme un document purement juridique, sans implication de la DSI dans sa rédaction et son suivi. La conformité technique et la conformité juridique doivent être conduites conjointement, sous peine de produire un document contractuel satisfaisant sur le papier mais inapplicable en pratique.
Check-list : ce qu'il faut préparer pour encadrer le traitement de données par un sous-traitant
La démarche d'encadrement du traitement de données par un sous-traitant suppose la réunion d'un ensemble de documents et de vérifications préalables. Voici les éléments essentiels à rassembler.
- Qualification de la relation : note ou mémo interne établissant que le prestataire est sous-traitant (et non responsable conjoint ou indépendant), avec les critères retenus.
- Inventaire des données transmises : liste des catégories de données personnelles, catégories de personnes concernées, finalités, fréquence et canaux de transmission.
- Vérification des garanties du prestataire : questionnaire de sécurité renseigné, certifications éventuellement pertinentes, politique de sécurité ou extrait, liste des sous-traitants ultérieurs.
- Accord de traitement des données : document contractuel autonome (ou avenant au contrat principal) couvrant toutes les clauses imposées par le RGPD – instructions, obligations, droits d'audit, violation de données, fin de contrat.
- Documentation des transferts hors UE : identification des flux, des pays de destination et des mécanismes de transfert applicables, avec les documents correspondants (clauses contractuelles types signées, décision d'adéquation applicable).
Domaines liés
- Mise en conformité RGPD – structurer et documenter la conformité globale de votre organisation
- Encadrer le traitement de données par un sous-traitant : méthode et points de vigilance – approfondir les points sensibles de la démarche
- Auditer les pratiques commerciales d'un groupe – méthode et points de vigilance pour les directions juridiques
Questions fréquentes sur l'encadrement du traitement de données par un sous-traitant
1. Quelles conséquences en cas d'erreur de procédure ?
Une erreur de procédure dans l'encadrement du traitement de données par un sous-traitant expose le responsable de traitement à des sanctions prononcées par la CNIL, qui peut mettre en demeure l'organisation de se mettre en conformité, puis prononcer une sanction pécuniaire dont le montant est déterminé en fonction de la gravité du manquement et de la taille de l'organisation concernée. Au-delà de la sanction administrative, une non-conformité documentée peut engager la responsabilité civile du responsable de traitement envers les personnes dont les données ont été insuffisamment protégées. L'absence d'accord conforme est également susceptible d'affaiblir la position de l'entreprise dans un contentieux contractuel avec le prestataire.
2. Encadrer le traitement de données par un sous-traitant : comment procéder en pratique ?
Pour encadrer le traitement de données par un sous-traitant en pratique, le responsable de traitement doit suivre une séquence en cinq étapes : qualifier la relation (sous-traitant ou responsable conjoint), inventorier précisément les données transmises, vérifier les garanties techniques et organisationnelles du prestataire avant signature, formaliser un accord de traitement conforme aux exigences du RGPD, puis mettre en place un suivi opérationnel incluant la revue périodique des accords, la gestion des sous-traitants ultérieurs et la procédure de gestion des violations de données. Chaque étape doit être documentée pour permettre de démontrer la conformité à tout moment.
3. Quels sont les prérequis avant d'encadrer le traitement de données par un sous-traitant ?
Les prérequis essentiels sont au nombre de quatre : disposer d'une base légale valide pour le traitement confié au sous-traitant, avoir réalisé un inventaire précis des données transmises, avoir vérifié de manière préliminaire les garanties du prestataire, et avoir identifié les mécanismes de transfert applicables si le sous-traitant est établi hors de l'Espace économique européen ou utilise des infrastructures situées dans des pays tiers. Ces vérifications doivent intervenir avant la signature de tout accord.
4. Un accord de confidentialité remplace-t-il un accord de sous-traitance de données ?
Un accord de confidentialité ne remplace pas un accord de sous-traitance de données au sens du RGPD : ces deux instruments ont des objets distincts et des régimes juridiques différents. L'accord de confidentialité protège les informations sensibles échangées dans le cadre de la relation commerciale, tandis que l'accord de sous-traitance encadre spécifiquement le traitement de données personnelles conformément aux dispositions du RGPD relatives aux responsabilités respectives du responsable de traitement et du sous-traitant. La confusion entre ces deux documents constitue une non-conformité que la CNIL est susceptible de relever lors d'un contrôle.
5. La signature d'un accord de sous-traitance suffit-elle à garantir la conformité continue ?
La signature d'un accord de sous-traitance est une condition nécessaire mais non suffisante pour assurer la conformité continue au RGPD : l'encadrement du traitement de données par un sous-traitant suppose également un suivi opérationnel actif, incluant la révision de l'accord en cas de modification du périmètre, la vérification des sous-traitants ultérieurs, la gestion des incidents de sécurité et la documentation de la procédure de fin de contrat. La conformité est un état à maintenir dans la durée, pas un document à conserver dans un tiroir.
Vernay & Lestang – Avocats d'affaires · Paris
Notre cabinet conseille les directions juridiques, les DSI et les directions générales sur l'encadrement du traitement de données par un sous-traitant, la mise en conformité RGPD et la protection des actifs numériques. Nous intervenons à chaque étape : qualification de la relation de sous-traitance, rédaction et révision des accords de traitement, diligence raisonnable sur les garanties des prestataires, gestion des incidents et suivi des contrôles de la CNIL. Honoraires définis après analyse du dossier.
Pour un premier avis sur votre dossier, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données et de conformité. Voir son profil.
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.