Sous-traitant ultérieur (RGPD)

Définition

Le sous-traitant ultérieur, au sens de l'article 28 du RGPD, désigne un prestataire auquel un sous-traitant recourt pour exécuter des activités de traitement spécifiques pour le compte du responsable de traitement, créant ainsi une chaîne de sous-traitance à plusieurs niveaux. Le règlement encadre strictement cette pratique : un sous-traitant ne peut recourir à un sous-traitant ultérieur qu'avec l'autorisation préalable, écrite, spécifique ou générale, du responsable de traitement, ce dernier conservant dans tous les cas un droit d'opposition motivé lorsque l'autorisation est générale. Le sous-traitant initial reste pleinement responsable, à l'égard du responsable de traitement, du respect par le sous-traitant ultérieur des obligations en matière de protection des données, ce qui implique de répercuter contractuellement sur ce dernier les mêmes garanties que celles imposées par le contrat initial. Cette exigence de transparence en cascade vise à éviter que la complexité croissante des chaînes de sous-traitance, fréquente notamment dans les services cloud et les plateformes logicielles, ne dilue la responsabilité et ne prive le responsable de traitement de toute visibilité sur les acteurs réels manipulant les données de ses clients ou de ses salariés. Une cartographie précise de la chaîne complète de sous-traitance constitue en pratique un prérequis pour toute analyse de risque sérieuse et pour répondre efficacement aux demandes d'audit.