Le registre des sous-traitants manquait dans le dossier MOBIUS SOLUTIONS LTD. Le 11 décembre 2025, la Commission nationale de l’informatique et des libertés (CNIL) a en effet sanctionné d’un million d’euros ce prestataire publicitaire. Il avait d’abord conservé les données de plus de 46 millions d’utilisateurs de DEEZER après la fin du contrat. Il les avait ensuite utilisées hors instruction, et ne tenait enfin aucun registre de ses activités de sous-traitant.
Ce dossier résume la question des deux côtés. D’un côté, le prestataire doit documenter ce qu’il fait pour ses clients. De l’autre, le client doit savoir à tout moment qui traite ses données, sur quel contrat et dans quel pays. Ce guide traite donc des deux registres et de l’article 28 du règlement général sur la protection des données (RGPD). Il aborde ensuite les transferts hors de l’Union et la méthode de suivi.
Registre des sous-traitants : deux documents à ne pas confondre
L’expression désigne en pratique deux documents différents. D’abord, l’article 30.2 du RGPD impose le premier au sous-traitant. Ensuite, le second est la liste que le responsable de traitement tient de ses propres prestataires. Le texte ne le nomme pas, et pourtant aucun contrôle ne se passe sans lui.
Le registre des sous-traitants tenu par le prestataire (article 30.2)
Tout organisme qui traite des données pour le compte d’un client tient ainsi un registre des activités menées pour lui. Ce registre indique d’abord les coordonnées du sous-traitant, de chaque client, de leurs représentants éventuels et du délégué à la protection des données (DPO). Il décrit ensuite les traitements effectués pour chaque client et les transferts vers un pays tiers. Enfin, il décrit dans la mesure du possible les mesures de sécurité.
La CNIL ajoute deux précisions. D’abord, le sous-traitant tient à jour dans ce registre la liste des sous-traitants auxquels il recourt lui-même. Ensuite, il tient un registre distinct pour ses propres traitements, comme la gestion de son personnel. Notre article sur le registre du sous-traitant et son modèle détaille ce document.
Le registre des sous-traitants du responsable de traitement
Côté client, l’article 30.1.d impose en effet d’inscrire au registre des traitements les catégories de destinataires, sous-traitants compris. La CNIL va toutefois plus loin. Le responsable de traitement connaît à tout moment l’identité de ses sous-traitants et sous-traitants ultérieurs, quel que soit le risque. Elle suggère aussi de recenser les contrats de sous-traitance dans le registre.
Nous conseillons donc une liste dédiée, reliée aux fiches du registre des traitements. Chaque ligne nomme par exemple le prestataire, les traitements concernés, le contrat et les sous-traitants ultérieurs. Elle indique aussi le lieu de traitement, la base du transfert éventuel et la date de la dernière vérification. Cette liste devient ainsi le tableau de bord de la sous-traitance.
Sous-traitant RGPD, responsable ou coresponsable : qualifier avant de signer
Un sous-traitant traite des données pour le compte, sur instruction et sous l’autorité d’un responsable de traitement. La CNIL insiste en effet sur un point : la qualification dépend des faits, et non du contrat. Qui décide des données collectées, de leur durée de conservation et de leurs destinataires ? Ces « moyens essentiels » appartiennent au responsable de traitement. Le choix d’un logiciel relève en revanche des moyens non essentiels, que le prestataire peut fixer.
Selon le guide de la CNIL de 2017, un éditeur de logiciel sans accès aux données n’est ainsi pas un sous-traitant. À l’inverse, un prestataire qui réutilise les données pour ses propres fins devient responsable de ce traitement (article 28.10). De plus, en contrôle, la CNIL n’est pas liée par les qualifications du contrat et peut requalifier les rôles.
Documentez donc votre raisonnement pour chaque prestataire, et consultez votre DPO en cas de doute. Notre article responsable de traitement ou sous-traitant : qui est qui ? reprend les critères avec des exemples.
Article 28 : les obligations à suivre pour chaque sous-traitant RGPD
L’article 28 organise d’abord la relation en plusieurs temps : le choix, le contrat, l’exécution, la fin de la prestation. Le tableau associe donc à chaque étape l’obligation du texte et la preuve à garder dans votre registre des sous-traitants. En revanche, le détail des clauses figure dans notre guide DPA RGPD : définition, clauses de l’article 28 et modèle gratuit.
| Étape | Obligation de l’article 28 | Preuve à garder |
|---|---|---|
| Choix | Ne recourir qu’à des sous-traitants offrant des garanties suffisantes (28.1). | Questionnaire rempli, politique de sécurité, certifications et leur périmètre. |
| Contrat | Un contrat écrit qui fixe l’objet, la durée, la nature, la finalité, les données et les personnes concernées (28.3 et 28.9). | Contrat signé et annexe de description du traitement. |
| Instructions | Traiter les données sur instruction documentée, transferts compris (28.3.a). | Instructions écrites, datées et versionnées. |
| Personnel | Engager à la confidentialité les personnes autorisées (28.3.b). | Clause de confidentialité ou attestation du prestataire. |
| Sécurité | Prendre les mesures de l’article 32 (28.3.c). | Description des mesures, rapports de test ou d’audit. |
| Chaîne | Obtenir votre autorisation écrite avant tout sous-traitant ultérieur (28.2 et 28.4). | Liste des sous-traitants ultérieurs, notifications reçues, objections. |
| Assistance | Aider à répondre aux demandes de droits et aux obligations des articles 32 à 36 (28.3.e et f). | Procédure de transmission, délai de notification des violations. |
| Fin | Supprimer ou renvoyer les données, puis détruire les copies (28.3.g). | Attestation de suppression ou procès-verbal de restitution. |
| Audit | Fournir les informations qui démontrent la conformité et permettre les audits (28.3.h). | Rapports d’audit, réponses aux demandes, plan de correction. |
Par exemple, le contrat peut reprendre les clauses contractuelles types de la décision d’exécution (UE) 2021/915, adoptées au titre de l’article 28.7. La CNIL rappelle toutefois qu’un contrat ne se contente pas de recopier le RGPD. Il explique concrètement comment chaque obligation s’applique. Même face à un grand prestataire aux clauses non négociables, le responsable de traitement reste en effet tenu de vérifier leur conformité.
Les acheteurs publics intègrent aussi ces clauses dans leurs marchés. La CNIL leur conseille par exemple de prévoir les modalités d’exercice des droits. Sans elles, un prestataire peut en effet facturer l’extraction des données demandées. Enfin, notre guide contrat de sous-traitance RGPD : modèle et clauses propose une trame.
Sous-traitance ultérieure : garder la main sur toute la chaîne
D’abord, un sous-traitant ne recrute un autre sous-traitant qu’avec votre autorisation écrite préalable (article 28.2). Cette autorisation est spécifique, accordée prestataire par prestataire, ou générale. Dans le second cas, il vous informe ensuite de tout ajout ou remplacement prévu, et vous pouvez vous y opposer. La CNIL recommande donc d’écrire la modalité retenue dans le contrat, ainsi que la façon dont vous serez informé.
Le sous-traitant initial répond ensuite devant vous des manquements de ses propres sous-traitants (article 28.4). Pour autant, la décision de les engager et la vérification de leurs garanties incombent toujours au responsable de traitement, selon la CNIL. L’étendue de cette vérification suit le risque : elle se renforce lorsque le traitement présente un risque élevé.
En pratique, demandez la liste des sous-traitants ultérieurs à la signature. Conservez ensuite chaque notification de changement dans votre registre des sous-traitants. Notre article sur la sous-traitance en cascade décrit les clauses qui sécurisent la chaîne.
Transferts hors de l’Union : vérifier chaque sous-traitant RGPD
L’article 44 du RGPD soumet tout transfert vers un pays tiers aux conditions du chapitre V, transferts ultérieurs compris. Le responsable de traitement et le sous-traitant sont ainsi tous deux tenus. Un prestataire européen qui confie le support à une filiale hors de l’Union crée donc un transfert, même si le contrat cite un établissement français.
Les trois bases possibles d’un transfert
D’abord, la première base est la décision d’adéquation (article 45). La liste de la Commission européenne compte par exemple la Suisse, le Royaume-Uni, le Japon, la République de Corée et le Brésil. Elle inclut aussi les États-Unis, pour les seules organisations adhérentes au Data Privacy Framework. À défaut d’adéquation, le transfert repose ensuite sur des garanties appropriées (article 46), comme les clauses contractuelles types de la décision (UE) 2021/914 ou les règles d’entreprise contraignantes.
Les dérogations de l’article 49, enfin, restent réservées à des situations particulières : consentement explicite, exécution d’un contrat, défense de droits en justice. Avec un outil de l’article 46, la CNIL rappelle de plus qu’il vous revient d’évaluer le droit du pays de destination. Cette évaluation prend ainsi la forme d’une analyse d’impact des transferts de données, dite AITD.
Le Data Privacy Framework au 8 novembre 2026
Le 10 juillet 2023, la Commission européenne a adopté la décision d’exécution (UE) 2023/1795 sur le cadre de protection des données UE – États-Unis. Toutefois, seuls les transferts vers des organisations américaines certifiées en bénéficient. La CNIL demande ainsi de vérifier que le destinataire figure sur la liste du Département du Commerce des États-Unis.
Le cadre reste pourtant contesté. Par un arrêt du 3 septembre 2025 (affaire T-553/23), le Tribunal de l’Union européenne a rejeté le recours de M. Philippe Latombe. Celui-ci a ensuite formé le 31 octobre 2025 un pourvoi enregistré sous le numéro C-703/25 P. Au 8 novembre 2026, la Commission range toujours les États-Unis parmi les pays reconnus. Consultez toutefois l’état de l’affaire sur le site de la Cour de justice avant toute décision importante.
Pour chaque prestataire américain, inscrivez donc au registre la base du transfert et la date de vérification de sa certification. Prévoyez aussi une solution de repli, par exemple des clauses contractuelles types déjà signées. Notre article Data Privacy Framework : vérifier vos transferts vers les États-Unis décrit la vérification pas à pas.
Gestion des sous-traitants RGPD : la méthode de suivi
Un registre des sous-traitants se construit une fois et se surveille ensuite en continu. En pratique, nous suivons cette procédure avec les organismes que nous accompagnons :
- Inventoriez d’abord les prestataires à partir de la comptabilité fournisseurs, du service informatique et du registre des traitements.
- Qualifiez ensuite chacun : sous-traitant, responsable de traitement distinct ou coresponsable, avec la justification retenue.
- Classez-les aussi par niveau de risque : données sensibles, volume de personnes, accès à distance, transfert hors de l’Union.
- Envoyez un questionnaire avant la signature, puis vérifiez les réponses sur pièces.
- Signez alors un contrat conforme à l’article 28, avec son annexe de description et la liste des sous-traitants ultérieurs.
- Programmez une revue selon le risque, et déclenchez-la aussi à chaque événement : violation, nouveau sous-traitant ultérieur, rachat.
- Enfin, à la fin du contrat, obtenez l’attestation de suppression ou de restitution des données, puis archivez le dossier.
Ce que le questionnaire doit demander
Le questionnaire porte d’abord sur les lieux de traitement et d’accès, support compris. Il demande ensuite la liste des sous-traitants ultérieurs, la politique de sécurité et les certifications. De plus, il porte sur le délai de notification d’une violation et la suppression en fin de contrat. Exigez enfin une pièce pour chaque affirmation importante : une déclaration ne vaut pas preuve.
Ciblez aussi chaque bloc de questions sur le bon interlocuteur. Notre article audit sous-traitant : envoyer les bonnes questions aux bonnes personnes montre comment procéder.
Quand passer à l’audit
La CNIL cite par exemple les audits de sécurité, les visites et les certifications pour vérifier les garanties d’un prestataire. Elle présente ainsi une certification, comme l’ISO/IEC 27001 ou l’ISO/IEC 27701, comme un premier indice de fiabilité. Vérifiez donc toujours son périmètre : une certification limitée à un site ne couvre pas le service que vous achetez.
Pour les données de santé, l’hébergeur doit de plus être certifié HDS. L’Agence du numérique en santé publie d’ailleurs la liste des hébergeurs certifiés. Réservez donc l’audit sur place aux prestataires les plus exposés, et appuyez-vous sur l’audit sur pièces pour les autres.
Les erreurs fréquentes dans la gestion des sous-traitants
Le contrat sans description du traitement
L’éditeur en ligne oublié
La fin de contrat sans suppression
La certification acceptée sans lecture
Outil de gestion des sous-traitants RGPD : du tableur au registre relié
Le registre des sous-traitants vit en effet au rythme des contrats, des renouvellements et des notifications. Or un tableur isolé perd vite ce lien entre contrat, questionnaire et fiche du registre. Le jour d’une violation chez un prestataire, vous cherchez alors l’information au lieu d’agir.
DPO Suite, l’application de conformité de notre groupe, réunit pour cette raison les sous-traitants, les registres et les violations. Elle gère aussi les demandes d’exercice des droits et propose une AIPD guidée par intelligence artificielle. Quel que soit l’outil retenu, vérifiez qu’il relie chaque prestataire aux traitements qu’il sert, conserve les pièces et date chaque vérification.
Le rôle du DPO dans la gestion des sous-traitants RGPD
Le responsable de traitement choisit ses prestataires et en répond. Le délégué à la protection des données, de son côté, l’informe, le conseille et contrôle le respect du RGPD, audits compris (article 39). La CNIL invite d’ailleurs à échanger avec le DPO pour analyser le statut d’un prestataire.
Dans notre pratique de DPO à temps partagé depuis 2018, le DPO relit donc les contrats et les questionnaires. Il signale ensuite les clauses manquantes. La signature et l’arbitrage restent ceux de la direction. Plus de 40 services de prévention et de santé au travail ont désigné DPO PARTAGE comme DPO. Pour eux, nous détaillons l’inventaire des prestataires d’un SPST. Enfin, pour un état des lieux global, consultez notre guide de l’audit RGPD.
Nos analyses sur les sous-traitants RGPD
Chaque article approfondit une étape de ce guide. Choisissez celui qui correspond au prestataire que vous examinez.
Chaque sous-traitant apparaît aussi dans la fiche du traitement concerné. Notre guide du registre des traitements montre comment le renseigner champ par champ.
Sources consultées
Les articles 28, 30, 32, 39 et 44 à 49 sont cités d’après le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016. Le dossier d’ouverture provient de la page de la CNIL Violation de données : sanction d’un million d’euros à l’encontre de la société MOBIUS SOLUTIONS LTD.
Les obligations du sous-traitant viennent ensuite du RGPD : Guide du sous-traitant (édition septembre 2017). Nous avons aussi lu la page Le registre des activités de traitement et la page Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles. De plus, la qualification et la chaîne de sous-traitance suivent la page Responsable du traitement, sous-traitants : comment bien identifier son rôle ?. La sécurité suit la fiche Sécurité : Gérer la sous-traitance, et la commande publique la page Travailler avec un sous-traitant dans une collectivité.
Pour les transferts, nous avons consulté la page de la CNIL Transférer des données hors de l’UE et ses premières questions-réponses sur l’adéquation des États-Unis. Nous avons ensuite consulté les pages de la Commission européenne Data protection adequacy for non-EU countries et EU-US data transfers. Enfin, nous avons lu sur EUR-Lex les décisions 2021/914, 2021/915 et 2023/1795, l’arrêt T-553/23 et le pourvoi C-703/25 P.