Votre prestataire informatique maintient vos postes, administre votre messagerie, héberge vos sauvegardes ou votre logiciel métier. Ce faisant, il accède à des données personnelles : salariés, clients, patients, adhérents, administrés. Au sens du RGPD, il est alors votre sous-traitant, et cette relation emporte des obligations précises pour les deux parties. La CNIL l’a rappelé fermement en décembre 2025 en sanctionnant directement d’un million d’euros un sous-traitant de Deezer qui avait conservé les données de plus de 46 millions d’utilisateurs après la fin de son contrat. Voici ce qu’il faut savoir et vérifier.
L’essentiel en 30 secondes
- Le responsable de traitement (vous) décide pourquoi et comment les données sont traitées ; le sous-traitant (le prestataire) agit pour votre compte et sur vos instructions.
- Un contrat écrit conforme à l’article 28 du RGPD est obligatoire : instructions, confidentialité, sécurité, sous-traitants ultérieurs, sort des données en fin de contrat, audits.
- Le sous-traitant a ses propres obligations (sécurité, registre, alerte en cas de violation) et peut être sanctionné directement.
- Le responsable reste tenu de choisir un prestataire offrant des garanties suffisantes et de le contrôler.
Qui est sous-traitant en informatique ?
| Prestation | Accès aux données personnelles | Qualification habituelle |
|---|---|---|
| Infogérance, maintenance des postes et serveurs | Oui (fichiers, messagerie, annuaire) | Sous-traitant |
| Hébergement, sauvegarde externalisée | Oui | Sous-traitant |
| Logiciel en ligne (paie, CRM, gestion) | Oui | Sous-traitant |
| Développement d’un site avec formulaires | Oui, s’il administre le site ou les données | Sous-traitant |
| Livraison de matériel sans intervention | Non | Hors RGPD pour cette prestation |
Un même prestataire peut aussi être responsable de traitement pour ses propres fins (facturation, prospection) : c’est justement ce qui est interdit avec vos données, sauf base légale et information des personnes.
Les clauses obligatoires du contrat
L’article 28.3 du RGPD impose que le contrat prévoie notamment que le sous-traitant :
- ne traite les données que sur instructions documentées du responsable ;
- veille à la confidentialité (engagement de ses salariés) ;
- prend les mesures de sécurité appropriées (article 32) ;
- ne recrute un autre sous-traitant qu’avec l’autorisation du responsable, et lui impose les mêmes obligations ;
- aide le responsable à répondre aux demandes des personnes (accès, effacement…) ;
- l’aide à respecter ses obligations de sécurité, de notification des violations et d’analyse d’impact ;
- supprime ou restitue les données à la fin de la prestation, et en détruit les copies ;
- met à disposition les informations nécessaires et permet les audits.
La Commission européenne a publié des clauses contractuelles types (décision d’exécution 2021/915) qui peuvent servir de base.
Ce que la sanction Mobius enseigne
Dans sa délibération du 11 décembre 2025, la CNIL a retenu contre ce sous-traitant de Deezer trois manquements : ne pas avoir supprimé les données en fin de contrat (des salariés en avaient fait une copie, retrouvée ensuite sur le darknet), avoir utilisé les données pour ses propres besoins sans instruction, et ne pas tenir de registre des traitements effectués pour le compte de ses clients. Leçons pour vous :
- exigez une attestation de suppression à la fin de chaque contrat ;
- interdisez explicitement toute réutilisation des données ;
- demandez au prestataire de vous présenter son registre de sous-traitant.
Les accès du prestataire : sécurité concrète
| Exigence | Pourquoi |
|---|---|
| Comptes nominatifs avec double authentification | Savoir qui accède, empêcher l’usurpation |
| Traçabilité des interventions | Pouvoir reconstituer les actions en cas d’incident |
| Accès limités au nécessaire | Réduire l’impact d’une compromission du prestataire |
| Engagement d’alerte « dans les meilleurs délais » en cas de violation | Vous permettre de notifier la CNIL sous 72 heures |
| Localisation des données et des accès (Union européenne ou garanties de transfert) | Respect des règles sur les transferts internationaux |
Ces exigences rejoignent les 15 questions à poser à un prestataire. Pour les risques propres aux attaques visant les prestataires, voir l’attaque par le prestataire informatique.
Votre checklist
- Lister vos prestataires ayant accès à des données personnelles et les inscrire dans votre registre.
- Vérifier pour chacun la présence d’un contrat ou d’un avenant conforme à l’article 28.
- Obtenir la liste de leurs propres sous-traitants (hébergeur, support, outils).
- Prévoir la fin de contrat : restitution, suppression, attestation, coupure des accès.
- Revoir chaque année les accès et le respect des engagements.
Pour les associations, voir aussi les obligations RGPD des associations.
Questions fréquentes
Si mon prestataire est piraté, suis-je responsable ?
Vous restez responsable de traitement : vous devez notifier la CNIL et, le cas échéant, informer les personnes. Votre responsabilité sera appréciée au regard du choix du prestataire et du contrat ; celle du prestataire peut aussi être engagée.
Les conditions générales d’un grand éditeur suffisent-elles ?
Les grands éditeurs proposent généralement un accord de traitement des données (DPA) conforme à l’article 28. Vérifiez qu’il existe, qu’il est accepté et qu’il couvre bien le service utilisé.
Le prestataire peut-il refuser un audit ?
Il doit permettre les audits prévus au contrat. Pour une petite structure, un questionnaire détaillé et des attestations (certifications, rapports d’audit) constituent souvent une alternative raisonnable.
Un prestataire hors de l’Union européenne est-il interdit ?
Non, mais le transfert doit être encadré (décision d’adéquation, clauses contractuelles types, analyse des risques). La sanction de décembre 2025 visait d’ailleurs une société non établie dans l’Union.
Sources
- CNIL, sanction d’un million d’euros à l’encontre de Mobius Solutions, décembre 2025.
- CNIL, texte du RGPD, chapitre IV (article 28).
- EUR-Lex, décision d’exécution (UE) 2021/915 relative aux clauses contractuelles types.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous accompagnons dans la mise en conformité RGPD de vos relations prestataires lors d’une consultation. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
