Vous travaillez avec un expert-comptable, un prestataire informatique, un hébergeur, un éditeur de logiciel, un cabinet RH ou encore une plateforme de formation ?
Alors vous confiez probablement des données personnelles à un ou plusieurs sous-traitants.
En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486,8 millions d’euros, contre 55,2 millions en 2024. Elle a aussi commencé à sanctionner directement des sous-traitants défaillants, et non plus uniquement les entreprises qui les choisissent.
Pourtant, une question essentielle est rarement posée :
Votre contrat encadre-t-il réellement ce traitement de données conformément au RGPD ?
Dans de nombreuses TPE et PME que j’accompagne, la réponse est malheureusement non.
Non par mauvaise volonté.
Mais parce que les dirigeants pensent souvent qu’un contrat commercial ou des conditions générales suffisent.
Ce n’est pas le cas.
Le Règlement Général sur la Protection des Données (RGPD) impose des obligations précises dès lors qu’un prestataire traite des données personnelles pour votre compte. Ces obligations sont prévues par l’article 28 du RGPD, qui impose la conclusion d’un contrat de sous-traitance, souvent appelé Data Processing Agreement ou DPA.
Et surtout, il ne faut pas oublier un principe fondamental :
Même lorsque le traitement est confié à un prestataire, le responsable de traitement reste responsable.
Dans cet article, vous découvrirez :
- comment savoir si un prestataire est réellement un sous-traitant ;
- pourquoi un DPA est obligatoire ;
- les clauses indispensables d’un contrat conforme ;
- les erreurs les plus fréquentes rencontrées dans les TPE et PME ;
- une méthode simple pour vérifier vos contrats.
Responsable de traitement, sous-traitant : qui fait quoi ?
Un rôle se définit par la décision, pas par la mission :
- Si vous décidez pourquoi et comment les données sont traitées, vous êtes responsable de traitement.
- Si vous exécutez un traitement pour le compte d’un autre acteur, vous êtes sous-traitant.
Cette distinction n’est pas un détail administratif. Elle détermine qui porte la responsabilité en cas de contrôle ou de manquement, et donc qui doit exiger un contrat conforme à l’article 28.
Le responsable de traitement
C’est celui qui décide :
- pourquoi les données sont collectées ;
- quelles données sont utilisées ;
- combien de temps elles sont conservées ;
- qui peut y accéder.
Une entreprise qui collecte les coordonnées de ses clients pour gérer ses commandes en est un exemple simple : elle décide des finalités et des moyens du traitement, elle est donc responsable de traitement. C’est en général le rôle le plus facile à identifier, puisque c’est toujours vous qui décidez, jamais vos prestataires.
Le sous-traitant
Le sous-traitant traite les données pour le compte du responsable de traitement. Il n’agit pas pour ses propres besoins, il exécute une mission confiée par son client : cabinet comptable, société de maintenance informatique, hébergeur cloud, éditeur de logiciel SaaS, prestataire de paie, plateforme de visioconférence, plateforme e-learning, DPO externe.
Depuis peu, la CNIL peut sanctionner directement le sous-traitant, sans passer par le responsable de traitement. En décembre 2025, elle a ainsi condamné la société Mobius Solutions Ltd à un million d’euros pour une fuite de données d’utilisateurs de Deezer, dont elle était le sous-traitant. Si vous êtes vous-même prestataire pour d’autres entreprises, ce risque vous concerne directement, pas seulement vos clients.
Le sous-traitant ultérieur
Votre prestataire peut lui-même faire appel à un autre prestataire : on parle alors de sous-traitant ultérieur. Si vous utilisez un logiciel RH dont l’éditeur héberge l’application chez un fournisseur cloud, ce fournisseur devient un sous-traitant ultérieur. Le RGPD encadre également cette situation.
Pourquoi un contrat de sous-traitance est-il obligatoire ?
L’article 28 du RGPD prévoit qu’un traitement effectué pour le compte d’un responsable de traitement doit être encadré par un contrat écrit.
Ce contrat poursuit plusieurs objectifs :
- protéger les personnes concernées ;
- clarifier les responsabilités de chacun ;
- imposer des mesures de sécurité ;
- démontrer la conformité de l’entreprise.
Un simple devis, un bon de commande ou des conditions générales ne répondent généralement pas à ces exigences.
Le DPA constitue donc une véritable garantie juridique.
Un exemple concret : en octobre 2023, la CNIL a sanctionné Canal+ à hauteur de 600 000 euros, notamment pour absence de contrats conformes avec ses sous-traitants et insuffisance des mesures de sécurité. Ce type de dossier illustre exactement ce que l’article 28 cherche à éviter : un traitement de données sans cadre écrit ni garanties suffisantes.
Les 10 clauses indispensables d’un contrat conforme
1. L’objet et la durée du traitement
Précisez ce que fait le prestataire et pendant combien de temps il traite les données.
Exemple :
Hébergement des données clients pendant toute la durée du contrat.
2. La nature et la finalité des traitements
Le contrat doit préciser pourquoi les données sont utilisées : gestion de la paie, hébergement, maintenance informatique, envoi de newsletters, assistance utilisateurs.
3. Les catégories de données traitées
Quelles données sont concernées ? Identité, coordonnées, données bancaires, données RH, données de santé lorsqu’elles entrent en jeu. Plus cette description est précise, plus les responsabilités sont claires.
4. Les catégories de personnes concernées
Le contrat doit aussi dire qui est concerné : clients, prospects, salariés, candidats, stagiaires, fournisseurs.
5. Les obligations de confidentialité
Le sous-traitant doit garantir que les personnes ayant accès aux données sont soumises à une obligation de confidentialité. Cela concerne notamment les salariés, les intérimaires et les sous-traitants ultérieurs.
6. Les mesures de sécurité
Le contrat doit prévoir les mesures techniques et organisationnelles destinées à protéger les données : authentification multifacteur, chiffrement, sauvegardes, gestion des habilitations, journalisation, procédures internes, sensibilisation du personnel. Ces mesures doivent être adaptées aux risques. C’est souvent le premier point que je vérifie avec mes clients, car c’est aussi le plus facile à laisser vague dans un contrat.
7. La sous-traitance ultérieure
Le sous-traitant ne peut pas confier librement vos données à un autre prestataire. Le contrat doit prévoir :
- les conditions d’autorisation ;
- l’information du responsable de traitement ;
- les obligations imposées au nouveau sous-traitant.
8. L’assistance au responsable de traitement
Le sous-traitant doit aider son client à respecter le RGPD : répondre aux demandes d’exercice des droits, réaliser une analyse d’impact si nécessaire, préparer un contrôle de la CNIL.
9. La gestion des violations de données
Que se passe-t-il en cas de fuite de données ? Le contrat doit prévoir comment le sous-traitant informe son client, dans quels délais, quelles informations doivent être transmises, et comment les investigations sont réalisées. Cette clause est essentielle.
10. La fin du contrat
À la fin de la prestation, les données ne doivent pas rester chez le prestataire sans justification. Le contrat doit prévoir leur restitution ou leur destruction, ainsi que la suppression des copies, sauf obligation légale contraire.
Les erreurs les plus fréquentes rencontrées dans les TPE et PME
Au fil des accompagnements, plusieurs situations reviennent régulièrement.
Aucun DPA signé
Le contrat commercial existe. Mais aucune clause RGPD n’a été prévue.
Un DPA incomplet
Certaines clauses essentielles sont absentes : sécurité, violation de données, destruction des données.
Une simple référence au RGPD
Le contrat indique :
« Le prestataire respecte le RGPD. »
Cette phrase ne suffit absolument pas. Le règlement impose des engagements précis.
Une sous-traitance cachée
Le prestataire fait appel à un autre acteur, sans que le client le sache. Or cette situation doit être encadrée.
Aucun contrôle des prestataires
Le contrat est signé une fois, puis plus rien. Pourtant, les traitements évoluent, les outils changent et les risques également.
Comment vérifier rapidement vos contrats ?
Vous pouvez réaliser un premier audit en quelques étapes.
Étape 1
Listez tous les prestataires qui ont accès à des données personnelles.
Étape 2
Identifiez les données concernées.
Étape 3
Récupérez les contrats.
Étape 4
Vérifiez la présence d’un DPA ou de clauses conformes à l’article 28.
Étape 5
Contrôlez les principales clauses : sécurité, confidentialité, violation de données, sous-traitance ultérieure, fin du contrat.
Étape 6
Demandez une mise à jour si nécessaire.
Cet audit prend rarement plus d’une heure ou deux, et c’est souvent à ce moment-là que mes clients réalisent qu’un ou deux prestataires méritent qu’on les rappelle.
Les principaux prestataires concernés
Contrairement à une idée reçue, la sous-traitance ne concerne pas uniquement les grandes entreprises.
Les TPE et PME travaillent quotidiennement avec des prestataires qui traitent des données personnelles : expert-comptable, cabinet de paie, prestataire informatique, hébergeur web, fournisseur cloud, CRM, logiciel RH, plateforme de formation, solution d’emailing, outil de signature électronique, DPO externe, société de maintenance.
Quels sont les risques en l’absence de contrat conforme ?
L’absence de DPA ne constitue pas seulement une irrégularité administrative. Elle peut avoir des conséquences importantes.
Risques juridiques
En cas de contrôle, l’entreprise devra démontrer qu’elle respecte les obligations du RGPD. Sans contrat conforme, cette démonstration devient difficile.
Risques opérationnels
En cas d’incident : responsabilités mal définies, perte de temps, difficulté à gérer une violation de données.
Risques commerciaux
De plus en plus de clients demandent des garanties RGPD avant de signer un contrat. L’absence de DPA peut retarder, voire compromettre une collaboration.
Risques d’image
Une fuite de données affecte durablement la confiance des clients. La conformité contractuelle participe à limiter ce risque.
Aucun de ces risques n’est théorique : je les retrouve régulièrement chez des dirigeants qui découvrent le sujet après coup, rarement avant.
Les bonnes pratiques à mettre en place
Pour sécuriser durablement votre organisation :
- tenir un inventaire de vos sous-traitants ;
- vérifier régulièrement les contrats ;
- contrôler les mesures de sécurité annoncées ;
- documenter les vérifications réalisées ;
- mettre à jour les DPA lors des évolutions importantes ;
- sensibiliser les équipes qui choisissent ou pilotent les prestataires.
La conformité est un processus continu, pas une démarche ponctuelle.
Conclusion
Le contrat de sous-traitance n’est pas une simple formalité juridique.
C’est un outil essentiel pour protéger votre entreprise, vos clients et les données personnelles que vous traitez.
Le meilleur moment pour vérifier vos contrats n’est pas après un contrôle de la CNIL ou après une violation de données.
C’est aujourd’hui.
Commencez par identifier vos principaux prestataires, vérifiez l’existence d’un DPA conforme à l’article 28 du RGPD et mettez à jour les contrats qui en ont besoin.
Une démarche simple, documentée et régulière vous permettra de réduire vos risques tout en démontrant votre conformité.
À retenir
✔ Le responsable de traitement reste responsable des traitements réalisés par son sous-traitant.
✔ Un contrat conforme à l’article 28 du RGPD est obligatoire lorsque des données personnelles sont traitées pour votre compte.
✔ Un contrat commercial classique ne suffit généralement pas.
✔ Les clauses relatives à la sécurité, à la confidentialité, aux violations de données et à la fin du contrat sont essentielles.
✔ Un audit régulier de vos prestataires est une bonne pratique de gouvernance et de conformité.
À propos de Lysandra Conseils & Formations
J’accompagne les dirigeants de TPE, PME et organismes de formation dans leur mise en conformité au RGPD avec une approche pragmatique, pédagogique et adaptée à leur réalité de terrain.
Mon objectif n’est pas seulement de vous aider à respecter la réglementation, mais de mettre en place une organisation durable qui protège votre activité, vos collaborateurs et la confiance de vos clients.