Enjeux et pratique
La qualification est le point de départ et la source principale d’erreurs. Trois rôles sont possibles pour un prestataire qui manipule des données : sous-traitant (il traite pour le compte du client, selon ses instructions), responsable de traitement autonome (il détermine lui-même finalités et moyens, comme un avocat ou un expert-comptable pour ses obligations propres) ou responsable conjoint (finalités déterminées ensemble). Chaque rôle emporte un régime contractuel différent, et la qualification dépend des faits, pas des étiquettes : un contrat qui proclame le prestataire sous-traitant ne tient pas si celui-ci réutilise les données pour son propre compte, par exemple pour entraîner ses modèles ou enrichir ses bases. Ce point, devenu central avec les services d’IA, mérite une vérification clause par clause.
Une fois la qualification posée, le sous-traitant a des obligations directes, sanctionnables indépendamment du contrat : registre de ses traitements, sécurité, notification des violations à son client sans délai indu, encadrement de ses propres sous-traitants ultérieurs, coopération avec les autorités. Le responsable, lui, doit choisir des sous-traitants présentant des garanties suffisantes et encadrer la relation par le DPA.
Pour la gestion du portefeuille, l’exercice est un cas d’école de qualification de masse : passer en revue les prestataires, déterminer le rôle de chacun (avec les cas frontières documentés), vérifier l’existence et la version du DPA, et tenir cette qualification à jour au fil des évolutions de service. C’est exactement le type d’attribut qui justifie une métadonnée dédiée dans le référentiel contractuel.
Points de vigilance
Qualifiez sur les faits, pas sur l’intitulé du contrat. Posez trois questions pour chaque prestataire : décide-t-il seul des finalités, suit-il vos instructions, réutilise-t-il les données pour lui ? Les réponses, et non la clause d’en-tête, fixent le régime applicable.
Surveillez les clauses d’usage secondaire des données, en particulier chez les prestataires d’IA. Une autorisation d’exploiter les données pour « améliorer le service » peut requalifier le prestataire en responsable autonome sur ce périmètre ; elle se renégocie avant signature, pas après incident.
Rattachez à chaque DPA sa version et sa date de dernière revue. Les services évoluent, les sous-traitants ultérieurs changent : un DPA figé signé il y a quatre ans ne prouve plus grand-chose s’il ne suit pas ces évolutions.
Vérifiez la clause de sort des données en fin de contrat. Restitution ou suppression au choix du responsable, avec preuve : c’est souvent la disposition la moins lue et la plus utile le jour d’un changement de prestataire.
À ne pas confondre avec
Le sous-traitant RGPD n’est pas le sous-traitant au sens du droit commercial ou des marchés : un partenaire peut être votre sous-traitant commercial tout en étant responsable de traitement autonome sur ses propres données, et inversement. Il se distingue aussi du responsable conjoint, qui codécide des finalités et relève de l’article 26, non de l’article 28. La qualification data et la qualification commerciale sont deux analyses indépendantes menées sur le même contrat.
Exemple concret
Une entreprise qualifie systématiquement ses 80 prestataires manipulant des données. Trois cas frontières émergent : un éditeur d’outil marketing qui réutilise les données de navigation à des fins propres (responsable autonome sur ce périmètre, et non sous-traitant comme son contrat l’affirmait), une plateforme de recrutement co-décidant des finalités (responsabilité conjointe à formaliser), et un prestataire d’IA dont les conditions autorisaient l’usage des données pour l’amélioration du service (clause renégociée). Sans cet exercice, les trois auraient été couverts par des DPA inadaptés, c’est-à-dire par rien.
Questions fréquentes
Un sous-traitant RGPD peut-il être sanctionné directement par la CNIL ?
Oui. Le RGPD impose au sous-traitant des obligations propres (sécurité, registre, notification, sous-traitance ultérieure), dont la violation l’expose directement aux sanctions, indépendamment de la responsabilité de son client. Le contrat répartit les responsabilités entre les parties, il ne fait pas écran vis-à-vis de l’autorité.
Que doit contenir au minimum un DPA de l’article 28 ?
Le contrat de sous-traitance encadre l’objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, ainsi que les obligations et droits du responsable. Il précise notamment le traitement sur instructions documentées, la confidentialité, les mesures de sécurité, le régime de la sous-traitance ultérieure, l’assistance au responsable, le sort des données en fin de contrat et la mise à disposition des éléments prouvant la conformité. L’absence de l’une de ces mentions fragilise l’ensemble.
Le sous-traitant peut-il recourir à ses propres sous-traitants ?
Oui, mais seulement avec l’autorisation du responsable, écrite et préalable ou générale avec information des changements. Le sous-traitant initial reste pleinement responsable devant son client de l’exécution par le sous-traitant ultérieur, auquel il doit imposer les mêmes obligations de protection. C’est pourquoi la liste des sous-traitants ultérieurs et leur mécanisme d’actualisation méritent d’être suivis dans le référentiel contractuel.
Sur le même thème
D'autres notions et pages du territoire proches de ce terme.