Hébergeur, logiciel de paie ou agence marketing manipulent vos données personnelles ; vos propres fichiers contiennent les coordonnées de vos interlocuteurs chez vos fournisseurs. La recherche « RGPD fournisseur » recouvre donc deux questions : encadrer les prestataires qui traitent des données pour votre compte, et traiter correctement celles de vos contacts professionnels.
Un fournisseur est-il forcément un sous-traitant au sens du RGPD ?
Non. Un fournisseur n'est sous-traitant que s'il traite des données personnelles pour votre compte et sur vos instructions. Sans accès à des données personnelles, il reste un simple cocontractant ; s'il décide lui-même de leur usage, il est responsable de traitement.
Le RGPD distingue trois rôles : le responsable du traitement détermine finalités et moyens, le sous-traitant traite les données pour son compte, les responsables conjoints décident ensemble et répartissent leurs obligations par un accord (article 26 du RGPD). La CNIL rappelle que cette qualification dépend des faits, non du contrat, et peut être revue lors d'un contrôle.
Comment qualifier chaque fournisseur : responsable, sous-traitant ou conjoint ?
Première étape d'une démarche RGPD fournisseur : qualifier chaque prestataire selon qui décide des finalités et des moyens essentiels (données, durées, destinataires). Si c'est vous, il est sous-traitant, même s'il choisit ses outils techniques. Qualifications courantes, à vérifier au cas par cas :
| Type de fournisseur | Qualification habituelle | Ce qu'il faut signer |
|---|---|---|
| Hébergeur, infogérance, maintenance | Sous-traitant | Contrat ou annexe article 28.3, avec sous-traitants ultérieurs et localisation des données |
| Logiciel de paie ou SIRH en ligne | Sous-traitant (données de vos salariés, sur vos instructions) | Contrat article 28.3, souvent intégré aux conditions générales |
| Agence marketing exploitant votre fichier clients | Sous-traitant pour vos campagnes ; responsable si elle utilise ses propres fichiers | Contrat article 28.3 pour la partie exécutée pour vous |
| Expert-comptable | Le plus souvent responsable de traitement pour ses missions légales | Lettre de mission avec engagement de confidentialité |
| Prestataire IT ponctuel ayant accès aux données | Sous-traitant | Contrat article 28.3, même pour une intervention courte |
| Partenaire co-organisant un événement ou une plateforme | Responsables conjoints | Accord de répartition des obligations (article 26) |
Quelles clauses doivent figurer dans le contrat avec un sous-traitant ?
Le contrat est la pièce centrale du dossier RGPD fournisseur. L'article 28 du RGPD impose un contrat écrit fixant objet, durée, nature et finalité du traitement, données et personnes concernées, puis huit engagements du sous-traitant :
- ne traiter les données que sur instruction documentée, y compris pour les transferts hors Union européenne ;
- soumettre les personnes autorisées à la confidentialité ;
- mettre en œuvre les mesures de sécurité de l'article 32 ;
- ne recruter un autre sous-traitant qu'avec votre autorisation écrite préalable ;
- vous aider à répondre aux demandes d'exercice des droits ;
- vous aider sur la sécurité, la notification des violations et l'analyse d'impact ;
- supprimer ou restituer les données à la fin de la prestation ;
- fournir les informations démontrant la conformité et permettre les audits.
La Commission européenne a adopté des clauses contractuelles types responsable / sous-traitant (décision d'exécution 2021/915), et le guide du sous-traitant de la CNIL propose des exemples de clauses.
Comment contrôler un fournisseur avant et pendant la relation ?
Un contrôle RGPD fournisseur ne s'arrête pas à la signature : l'article 28 vous oblige à ne recourir qu'à des sous-traitants présentant des garanties suffisantes, donc à vérifier puis à suivre. La CNIL recommande de demander politique de sécurité et certifications, de prévoir restitution et destruction des données, et d'auditer les mesures.
- 1Cartographier — Listez les prestataires accédant à des données personnelles, outils en ligne compris.
- 2Qualifier — Déterminez le rôle de chacun et inscrivez-le dans votre registre des traitements.
- 3Vérifier — Demandez politique de sécurité, certifications, liste des sous-traitants ultérieurs et lieu d'hébergement.
- 4Contractualiser — Signez un contrat ou un avenant reprenant l'article 28.3 avant tout accès aux données.
- 5Encadrer les transferts — Si les données quittent l'Union européenne, utilisez un outil de transfert reconnu (voir ci-dessous).
- 6Auditer et clôturer — Auditez, suivez les incidents notifiés, exigez restitution ou suppression à la fin.
Sur les transferts, la CNIL détaille les outils disponibles : décision d'adéquation (dont le Royaume-Uni et, pour les entreprises certifiées, les États-Unis), clauses contractuelles types, règles d'entreprise contraignantes, dérogations de l'article 49.
Qui est responsable si le fournisseur commet un manquement ?
Les deux, mais pas de la même manière. Selon l'article 82 du RGPD, le responsable répond du dommage causé par un traitement non conforme ; le sous-traitant, seulement s'il a manqué à ses obligations propres ou agi hors instructions. Si les deux sont impliqués, chacun peut devoir réparer tout le dommage, puis se retourner contre l'autre.
L'article 83 du RGPD punit les manquements aux obligations des responsables et des sous-traitants (dont l'article 28) d'une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Un sous-traitant qui détermine lui-même finalités et moyens devient responsable de ce traitement (article 28.10). Pour un incident chez un prestataire, voir notre guide pour réagir à une violation de données.
Les données de vos fournisseurs sont-elles aussi des données personnelles ?
Oui, dès qu'elles désignent une personne physique identifiable : nom de votre interlocuteur, courriel nominatif, ligne directe, RIB d'un fournisseur en nom propre. Seules les coordonnées génériques de l'entreprise (standard, courriel de contact) échappent au RGPD.
Le volet RGPD fournisseur le plus souvent oublié concerne vos propres fichiers : base légale du contrat ou de l'intérêt légitime, inscription au registre. Si les coordonnées viennent d'un tiers, l'article 14 du RGPD impose d'informer la personne dans un délai raisonnable n'excédant pas un mois. La conservation suit la relation puis les obligations légales : pièces comptables, factures comprises, dix ans ; contrats commerciaux, cinq ans (service-public.gouv.fr). Si vous prospectez ces contacts, la CNIL exige un objet en rapport avec leur fonction et une possibilité d'opposition. Voir aussi notre guide des obligations RGPD des entreprises.
À retenir
- Un fournisseur est sous-traitant s'il traite des données personnelles pour votre compte ; la qualification dépend des faits.
- Tout sous-traitant est lié par un contrat écrit reprenant les huit engagements de l'article 28.3.
- Garanties, sous-traitants ultérieurs et transferts hors UE se vérifient avant et pendant la relation.
- En cas de manquement, responsable et sous-traitant peuvent chacun devoir réparer tout le dommage.
- Les coordonnées nominatives de vos fournisseurs sont des données personnelles : information, conservation et droit d'opposition s'appliquent.
Définitions utiles
Tout le lexique RGPD- Sous-traitantLe sous-traitant est la personne physique ou morale, l'autorité publique ou l'organisme qui traite des données personnelles pour le compte et sur instruction d'un responsable de traitement, par exemple un éditeur de logiciel en ligne ou un prestataire de paie.
- Données personnellesUne donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, photo) ou indirectement (numéro de téléphone, adresse IP, numéro d'adhérent, combinaison de plusieurs éléments).
- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Contrat de sous-traitanceLe contrat de sous-traitance RGPD est l'acte juridique qui encadre le traitement de données confié par un responsable de traitement à un prestataire, en fixant les instructions, la sécurité, la confidentialité et le sort des données en fin de contrat.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- Responsable de traitementLe responsable de traitement est la personne physique ou morale, l'autorité publique ou l'organisme qui détermine les finalités et les moyens d'un traitement de données personnelles. C'est lui qui répond en premier lieu du respect du RGPD.
