Lexique · Gouvernance & conformité

Sous-traitant

Personne ou organisme qui traite des données personnelles pour le compte du responsable de traitement, sur instruction documentée de celui-ci. Défini à l'article 4 du RGPD, il est encadré par un contrat obligatoire (article 28) et porte des obligations propres, notamment de sécurité.

Rubrique: Gouvernance
Mise à jour: 11.10.26
Articles: 8

Notions liées

Sources · 4

[1] CHAPITRE IV, Responsable du traitement et sous-traitant (CNIL)
[2] Sous-traitance : Exemple de clauses (CNIL)
[3] CHAPITRE VIII, Voies de recours, responsabilité et sanctions (CNIL)
[4] Polish SA: administrative fine of EUR 4 022 773 for McDonald's Polska sp. z o.o. and EUR 43 680 for 24/7 Communication Sp. z o.o. for negligence in risk analysis and safeguards (EDPB)

Ce que ça change pour une organisation

Le sous-traitant n’agit que sur instruction documentée du responsable de traitement. Le traitement est encadré par un contrat ou un autre acte juridique (article 28, paragraphe 3) qui précise notamment l’objet et la durée, la nature et les finalités des opérations, les données et les personnes concernées, les mesures de sécurité, le sort des données en fin de prestation et les modalités d’audit. Dans ses clauses d’exemple, la CNIL laisse à compléter le délai de notification des violations, exprimé en heures.

Un sous-traitant ne peut recruter un autre prestataire sans l’autorisation écrite préalable du responsable, et il demeure pleinement responsable de ce dernier (article 28, paragraphes 2 et 4). Il a aussi des obligations propres : sécurité, registre de ses activités pour chaque client (article 30, paragraphe 2) et notification au responsable de toute violation (article 33, paragraphe 2). Il n’est tenu du dommage que s’il a méconnu ces obligations ou agi hors des instructions licites (article 82, paragraphe 2), tandis que le responsable doit avoir choisi un prestataire offrant des garanties suffisantes (article 28, paragraphe 1).

Exemple

Le 23 juin 2025, l’autorité polonaise de protection des données a sanctionné McDonald’s Polska (4 022 773 euros) et son prestataire 24/7 Communication (43 680 euros) après l’exposition de données de salariés et de franchisés due à un serveur mal configuré. Selon le Comité européen de la protection des données, le prestataire, qui gérait le module graphique et le serveur, avait fait appel à une autre entité sans contrat de sous-traitance ultérieure, et McDonald’s n’avait pas suffisamment contrôlé son prestataire, chacun étant sanctionné pour ses propres manquements.

À ne pas confondre avec

Le responsable de traitement : il décide des finalités et des moyens, alors que le sous-traitant exécute pour son compte.
La sous-traitance commerciale : un prestataire n’est sous-traitant au sens du RGPD que s’il traite des données personnelles pour le compte de l’entreprise.
Le prestataire qui réutilise les données pour lui-même : il est considéré comme responsable pour ce traitement (article 28, paragraphe 10).

Employé dans

8 articles