RGPD et sous-traitance : que vérifier chez vos prestataires
Mis à jour le 24 octobre 2026
Selon la CNIL, 68 % des PME françaises font appel à au moins un sous-traitant qui traite des données personnelles en leur nom. Hébergeur web, prestataire de paie, outil CRM, solution de mailing : chaque sous-traitant est un maillon de la chaîne de conformité RGPD. Or, en cas de violation, c’est le responsable de traitement, c’est-à-dire vous, qui porte la responsabilité première devant la CNIL. Vérifier la conformité de vos sous-traitants n’est donc pas une option, c’est une obligation légale et un impératif de protection de votre entreprise.
Sommaire
Vos obligations légales en tant que responsable de traitement
L’article 28 du RGPD est clair : le responsable de traitement doit faire uniquement appel à des sous-traitants présentant des « garanties suffisantes » en matière de protection des données personnelles. Cette obligation n’est pas théorique : la CNIL l’a rappelé dans plusieurs sanctions récentes.
Ce que le RGPD exige
- Sélection rigoureuse : choisir des sous-traitants qui présentent des garanties suffisantes de conformité
- Contrat écrit : formaliser la relation par un contrat incluant les clauses obligatoires de l’article 28
- Droit d’audit : conserver le droit de vérifier les pratiques de votre sous-traitant
- Maîtrise de la sous-sous-traitance : être informé et approuver tout recours à un sous-traitant ultérieur
Les sanctions en cas de manquement
Les amendes RGPD peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial. La CNIL a déjà sanctionné des entreprises pour avoir utilisé des sous-traitants non conformes. La responsabilité est partagée mais le responsable de traitement reste en première ligne.
Point clé : Le choix d’un sous-traitant conforme au RGPD n’est pas seulement une obligation légale. C’est aussi un avantage concurrentiel : vos clients et partenaires sont de plus en plus attentifs à la protection de leurs données. Démontrer une gestion rigoureuse de votre chaîne de sous-traitance renforce la confiance.
Identifier tous vos sous-traitants RGPD
La première étape consiste à dresser la liste exhaustive de tous les prestataires qui traitent des données personnelles pour votre compte. Cette liste est souvent plus longue qu’on ne l’imagine.
Les sous-traitants courants en PME
- Hébergeur web : héberge votre site et les formulaires de contact
- Fournisseur de messagerie : Microsoft 365, Google Workspace
- Solution CRM : stocke les données de vos clients et prospects
- Prestataire de paie : traite les données RH de vos salariés
- Expert-comptable : accède aux données financières et salariales
- Outil de mailing : Mailchimp, Brevo, Sendinblue
- Prestataire IT : accède à votre système d’information pour la maintenance
- Solution de sauvegarde cloud : stocke des copies de vos données
- Outil de visioconférence : traite des données audio et vidéo
- Plateforme de signature électronique : traite des documents contenant des données personnelles
Comment les identifier
- Passez en revue vos factures de services numériques
- Listez tous les logiciels SaaS utilisés dans l’entreprise
- Interrogez chaque service sur les outils qu’ils utilisent au quotidien
- Vérifiez les comptes de cartes bancaires pour les abonnements en ligne
Le contrat de sous-traitance : clauses obligatoires
Le RGPD impose que la relation avec chaque sous-traitant soit régie par un contrat ou acte juridique contraignant. Ce contrat doit inclure des clauses spécifiques listées à l’article 28.
Les clauses obligatoires
- Objet et durée du traitement : description précise des opérations effectuées
- Nature et finalité : pourquoi le sous-traitant traite les données
- Catégories de données : types de données personnelles concernées
- Catégories de personnes : clients, salariés, prospects
- Obligations de sécurité : mesures techniques et organisationnelles mises en oeuvre
- Confidentialité : engagement de confidentialité du personnel du sous-traitant
- Sous-sous-traitance : obligation d’information et d’autorisation préalable
- Assistance : aide pour répondre aux demandes d’exercice de droits des personnes
- Notification : obligation de signaler toute violation de données dans les meilleurs délais
- Sort des données en fin de contrat : restitution ou suppression des données
- Droit d’audit : possibilité de vérifier les pratiques du sous-traitant
Où trouver ces clauses
De nombreux fournisseurs SaaS intègrent les clauses RGPD dans leurs conditions générales de service (DPA – Data Processing Agreement). Vérifiez si un DPA est disponible sur le site de chaque fournisseur. Si ce n’est pas le cas, demandez-le par écrit et conservez la réponse.
Les vérifications pratiques à effectuer
Au-delà du contrat, des vérifications pratiques permettent de s’assurer que le sous-traitant applique réellement les mesures annoncées.
Checklist de vérification
- Localisation des données : où sont hébergées vos données ? En France, en UE, ou hors UE ? Un hébergement hors UE nécessite des garanties supplémentaires
- Mesures de sécurité : chiffrement des données au repos et en transit, contrôle d’accès, sauvegardes
- Certifications : ISO 27001, SOC 2, HDS pour les données de santé
- Politique de gestion des incidents : le sous-traitant a-t-il une procédure de notification en cas de violation ?
- Sous-sous-traitants : le sous-traitant fait-il appel à d’autres prestataires ? Lesquels ? Où sont-ils situés ?
- DPO désigné : le sous-traitant a-t-il désigné un délégué à la protection des données ?
Les signaux d’alerte
- Le sous-traitant refuse de communiquer sa politique de sécurité
- Aucun DPA n’est disponible ni proposé
- Les données sont hébergées dans un pays sans adéquation RGPD (États-Unis sans clauses contractuelles types)
- Le sous-traitant ne peut pas lister ses propres sous-traitants
- Aucune certification de sécurité ni de conformité
La gestion continue de vos sous-traitants
La conformité RGPD n’est pas un exercice ponctuel. Elle nécessite une gestion continue de vos sous-traitants tout au long de la relation.
Actions régulières
- Revue annuelle : vérifiez une fois par an que chaque sous-traitant reste conforme (mise à jour des DPA, vérification des certifications)
- Suivi des incidents : documentez tout incident signalé par un sous-traitant
- Mise à jour du registre : ajoutez chaque nouveau sous-traitant à votre registre des traitements
- Veille sur les transferts : suivez l’évolution de la réglementation sur les transferts de données hors UE
- Exercice du droit d’audit : réalisez ou faites réaliser un audit chez vos sous-traitants les plus critiques
En cas de changement de sous-traitant
Lorsque vous changez de prestataire, assurez-vous que l’ancien sous-traitant supprime effectivement vos données et vous en fournit la preuve. Exigez un certificat de suppression des données. En parallèle, vérifiez que le nouveau sous-traitant répond aux exigences RGPD avant de lui transférer des données.
Conseil d’expert : Tenez à jour un registre de vos sous-traitants RGPD avec pour chacun : le nom, la finalité du traitement, la localisation des données, la date du DPA, la date de dernière vérification et le niveau de criticité. Ce registre est votre outil de pilotage de la conformité.
Besoin d’accompagnement ?
Vous souhaitez vérifier la conformité RGPD de vos sous-traitants et mettre en place les contrats adaptés ? Nos experts vous accompagnent dans l’audit de votre chaîne de sous-traitance et la mise en conformité.
Rédigé par l'équipe Odyssix
Experts IT, Cybersécurité & Digital depuis 2018
Odyssix accompagne les PME dans leur transformation numérique et la sécurisation de leur système d'information. Nos experts partagent leur expérience terrain à travers nos articles de blog.
Besoin d'en savoir plus ?
Contactez nos experts pour une démonstration personnalisée.
