Sous-traitant RGPD

Définition

Le sous-traitant, au sens de l'article 4 §8 du RGPD, est la personne physique ou morale qui traite des données à caractère personnel pour le compte d'un responsable de traitement, selon ses instructions. Cette qualification s'applique à de nombreux prestataires : hébergeurs, éditeurs SaaS, agences marketing, cabinets de conseil, intégrateurs informatiques dès lors qu'ils manipulent des données personnelles dans le cadre de leur prestation. La relation entre responsable de traitement et sous-traitant est encadrée par l'article 28 du RGPD, qui impose la conclusion d'un contrat de traitement de données (Data Processing Agreement, DPA). Ce contrat doit préciser l'objet, la durée, la nature et la finalité du traitement, le type de données personnelles traitées, les catégories de personnes concernées, ainsi que les obligations et droits du responsable de traitement. Le sous-traitant ne peut traiter les données qu'en suivant les instructions documentées du responsable de traitement, sauf obligation légale contraire. Il doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité des données (article 32), et s'engage à ne pas recruter de sous-traitants ultérieurs sans autorisation préalable du responsable de traitement. En cas de violation de données, le sous-traitant doit en informer le responsable de traitement sans délai injustifié après en avoir pris connaissance, afin de permettre la notification à la CNIL dans les 72 heures. À l'issue du contrat, il doit restituer ou détruire les données selon les instructions du responsable de traitement. Depuis l'arrêt Schrems II (2020), les transferts de données vers des sous-traitants établis hors UE nécessitent des garanties supplémentaires : clauses contractuelles types (CCT), évaluation du cadre juridique local, mesures supplémentaires techniques ou contractuelles. Tout responsable de traitement doit cartographier ses sous-traitants, vérifier leurs garanties et mettre à jour ses DPA régulièrement.