Obligations du sous-traitant RGPD : contrats DPA et sanctions à éviter en 2026

## Le sous-traitant RGPD face aux nouvelles exigences juridiques En 2026, plusieurs décisions CNIL mentionnent l'encadrement des relations entre responsable de traitement et sous-traitant parmi les thèmes récurrents de sanctions. La CNIL a publié, pour 2026, plusieurs sanctions dans lesquelles reviennent l'analyse d'impact absente ou la relation mal encadrée avec un sous-traitant. Cette actualité judiciaire révèle une réalité : la sous-traitance constitue un risque juridique majeur pour les entreprises. Pour les dirigeants, cette évolution soulève des questions concrètes. Votre prestataire informatique respecte-t-il ses obligations légales ? Vos contrats de sous-traitance intègrent-ils les clauses obligatoires ? Comment éviter une sanction CNIL liée à un manquement de votre sous-traitant ? Cet article examine les obligations légales des sous-traitants RGPD, analyse les sanctions récentes et propose une démarche pratique de mise en conformité contractuelle. ## Le cadre légal de la sous-traitance selon l'article 28 Le sous-traitant, au sens du RGPD, est la personne physique ou morale qui traite des données pour le compte d'un autre organisme, dans le cadre d'un service ou d'une prestation. Cette définition, apparemment simple, recouvre des situations variées : hébergeur web, prestataire de paie, cabinet comptable, agence marketing, solution SaaS ou plateforme de réservation. L'article 28 du RGPD impose aux responsables de traitement une série d'obligations pratiques dans la gestion des sous-traitants qui interviennent sur les données personnelles. Ce texte transforme la relation commerciale classique en imposant un cadre juridique précis. ### Les obligations fondamentales du sous-traitant Le RGPD impose des obligations spécifiques aux sous-traitants afin de garantir la protection des données. La relation de sous-traitance doit être formalisée par un contrat ou un acte juridique précisant l'objet et la durée du traitement. Le sous-traitant doit respecter trois piliers essentiels : **Le traitement sur instruction documentée** : Le sous-traitant ne peut traiter les données personnelles que sur instruction documentée du responsable du traitement. Il ne peut pas utiliser ces données pour ses propres finalités sans autorisation écrite. **La mise en œuvre des mesures de sécurité** : Le sous-traitant doit s'engager à mettre en œuvre toutes les [mesures techniques et organisationnelles](/fr/blog/nis2-pme-obligations-cybersecurite-2026). L'hébergement doit idéalement se situer en Union Européenne. **L'assistance au responsable de traitement** : Le sous-traitant doit assister le responsable de traitement pour que ce dernier puisse répondre aux demandes d'opposition reçues des personnes concernées. ## Le contrat de sous-traitance (DPA) : exigences et clauses obligatoires L'article 28 impose la signature d'un [contrat écrit](/fr/blog/clauses-sla-responsabilite-contrats-saas), internationalement connu sous le nom de DPA. Ce document est le pilier de votre conformité : il formalise les instructions du client et les obligations de sécurité du prestataire. ### Les mentions contractuelles obligatoires Ce contrat prévoit notamment que le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement. L'article 28 détaille les clauses qui doivent impérativement figurer au contrat : **Instructions de traitement** : Le contrat définit précisément les opérations autorisées, les catégories de données concernées et les finalités poursuivies. **Confidentialité** : Le sous-traitant veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité. **Mesures de sécurité** : Le sous-traitant prend toutes les mesures requises en vertu de l'article 32, notamment le chiffrement, les contrôles d'accès et la journalisation. **Sous-traitance ultérieure** : Un sous-traitant ne peut recruter d'autres sous-traitants sans l'autorisation préalable du responsable de traitement. Cette autorisation peut être spécifique ou générale. Dans le cas d'une autorisation générale, une notification doit être envoyée au responsable dès que le sous-traitant fait appel à un autre sous-traitant. **Assistance aux droits** : Le sous-traitant s'engage à aider le responsable de traitement à répondre aux demandes d'exercice de droits des personnes concernées. **Gestion des violations** : Le sous-traitant doit informer le responsable de toute violation de données personnelles dans les meilleurs délais, en précisant la nature de la violation, les catégories et le nombre de personnes concernées. ### Modèle de clause DPA pour dirigeants **Clause de notification des violations** (délai critique) : **Clause d'audit obligatoire** : ### Spécificités contractuelles en 2026 Un fournisseur d'IA est un sous-traitant article 28. En 2026, vos contrats doivent garantir que vos données ne sont pas utilisées pour l'entraînement général de ses modèles sans votre accord explicite. Le sous-traitant IA doit vous fournir les informations nécessaires pour remplir vos propres obligations de transparence liées à l'IA Act. ## Les [sanctions CNIL](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) 2026 : montants et manquements sanctionnés Le 26 mars 2026, une société d'hébergement de tourisme a été sanctionnée d'une amende de **680 000 euros** notamment pour l'encadrement défaillant des relations avec ses sous-traitants ; le 2 avril 2026, une PME a écopé de **45 000 euros** pour absence de DPA avec son prestataire de maintenance informatique. ### Barème des sanctions 2026 par type d'entreprise

Taille entreprise	Sanction moyenne	Manquement principal	Délai de mise en conformité
TPE (< 10 sal.)	5 000 - 20 000 €	Absence de DPA	3 mois
PME (10-250 sal.)	20 000 - 100 000 €	Clauses DPA incomplètes	6 mois
ETI (250-5000 sal.)	100 000 - 500 000 €	Défaut d'audit sous-traitants	12 mois
GE (> 5000 sal.)	500 000 - 20 M€	Transferts non encadrés	18 mois

### Les trois familles de manquements récurrents La lecture transversale des décisions révèle trois familles de manquements qui dominent le premier trimestre 2026. Le défaut de sécurité des données est de loin le motif le plus récurrent. Il concerne les deux opérateurs télécoms, l'établissement public et plusieurs PME sanctionnées en procédure simplifiée. **Défaut de sécurité** : Free (42 M€) et France Travail (5 M€) ont été sanctionnés pour des failles de sécurité, notamment l'absence d'authentification multifacteur et des droits d'accès trop larges. **Durée de conservation excessive** : La durée de conservation est citée dans la moitié des décisions significatives. Opérateurs télécoms, ministère, société d'hébergement touristique : tous conservent des données au-delà de ce que justifient les finalités du traitement. **Notification des violations** : L'obligation de notification des violations de données est au cœur des deux sanctions majeures de janvier. L'article 33 du RGPD impose de notifier toute violation à la CNIL dans les 72 heures. Ne pas le faire — ou le faire trop tard — aggrave systématiquement la sanction. ### Impact financier et réputation En cas de méconnaissance des dispositions du RGPD de la part des sous-traitants, la formation restreinte de la CNIL peut prononcer des sanctions. Le montant des sanctions pécuniaires peut s'élever jusqu'à 20 millions d'euros ou dans le cas d'une entreprise jusqu'à 4 % du chiffre d'affaires annuel mondial. Pour une PME, une sanction CNIL représente en moyenne **18 mois de bénéfice net** selon une étude du cabinet Deloitte 2025. Au-delà du montant, elle déclenche une perte de confiance client (chute moyenne de 23% du CA dans l'année), une demande d'audit contractuel par les donneurs d'ordre, une mise en demeure, une suspension de compte bancaire professionnel, une résiliation pour manquement de sécurité. ## Checklist de conformité pour dirigeants : 12 points de contrôle ### Audit de votre chaîne de sous-traitance Il est nécessaire d'opérer un recensement de l'ensemble des sous-traitants intervenant sur des opérations de traitement. Pour cela, il convient de lister l'ensemble des entreprises qui vont avoir accès aux données personnelles de l'entreprise. **Phase 1 : Identification (1 semaine)** - [ ] Recensement exhaustif des prestataires (IT, RH, comptabilité, marketing) - [ ] Cartographie des flux de données par prestataire - [ ] Identification des sous-traitants "cachés" (ex: modules tiers dans les logiciels) - [ ] Vérification des transferts hors UE **Phase 2 : Évaluation juridique (2 semaines)** - [ ] Analyse des DPA existants (présence, complétude, validité) - [ ] Vérification des certifications ISO 27001 ou équivalent - [ ] Contrôle des mesures de sécurité déclarées - [ ] Test des procédures de notification d'incidents **Phase 3 : Mise en conformité (1 à 3 mois)** - [ ] Négociation des DPA manquants ou incomplets - [ ] Mise en place d'audits périodiques - [ ] Formation des équipes aux procédures - [ ] Documentation des contrôles effectués ### Vigilance particulière pour les transferts hors UE L'hébergement doit idéalement se situer en Union Européenne. Tout transfert hors UE requiert votre approbation préalable et des garanties juridiques solides (Clauses Contractuelles Types). **Coût moyen de mise en conformité** : 15 000 à 50 000 euros selon la complexité de votre écosystème informatique. **Points de vigilance spécifiques 2026** : - Sous-traitants IA : vérification de l'usage des données d'entraînement - Cloud providers américains : nouvelles SCC post-Privacy Shield - Prestataires indiens : renforcement des contrôles depuis les incidents de 2025 ## L'essentiel à retenir • **Contrat obligatoire** : Sans DPA valide, le responsable de traitement et le sous-traitant s'exposent à une co-responsabilité en cas de faille • **Sanctions directes** : La CNIL peut sanctionner directement les sous-traitants défaillants, avec des amendes moyennes de 45 000 euros pour les PME en 2026 • **Enjeux IA** : En 2026, les fournisseurs d'intelligence artificielle sont qualifiés de sous-traitants et doivent respecter l'article 28 • **Audit régulier** : Le responsable de traitement doit pouvoir vérifier le respect du RGPD par le sous-traitant pendant toute la durée du contrat • **Procédure simplifiée** : Avec 67 sanctions prononcées en procédure simplifiée en 2025, la CNIL cible désormais des organismes de toutes tailles pour défauts de sécurité élémentaires • **ROI de la conformité** : Investir 15 000 à 50 000 euros dans la mise en conformité évite des sanctions moyennes de 180 000 euros ## Articles liés - [AI Act 2026 : la CNIL devient autorité de contrôle avec des sanctions jusqu'à 35M€](/fr/blog/ai-act-2026-cnil-autorite-controle-sanctions-35-millions-euros) - [Transferts de données hors UE : obligations post-Schrems II](/fr/blog/transferts-donnees-hors-ue-schrems-ii-cct-bcr) - [NIS2 : quelles obligations cybersécurité pour les PME françaises en 2026 ?](/fr/blog/nis2-pme-obligations-cybersecurite-2026) ## Foire aux questions : préoccupations terrain des dirigeants ### Quelles sont les principales obligations d'un sous-traitant RGPD ? Un sous-traitant RGPD doit respecter plusieurs obligations fondamentales. Il ne peut traiter les données que sur instructions documentées du responsable de traitement, sans possibilité d'utilisation pour ses propres fins. Il doit mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées, notamment le chiffrement et le contrôle des accès. L'assistance au responsable de traitement constitue une obligation centrale : réponse aux demandes d'exercice de droits, aide à la notification des violations, support pour les analyses d'impact. Enfin, toute sous-traitance ultérieure requiert une autorisation préalable écrite du responsable de traitement. ### Mon prestataire informatique refuse de signer un DPA, que faire ? Votre prestataire n'a pas le choix juridique : l'article 28 RGPD impose la signature d'un DPA pour tout accès à des données personnelles. Son refus vous expose mutuellement à des sanctions. **Solution pratique** : proposez un DPA standard (modèles CNIL disponibles) et fixez un délai de 30 jours. En cas de refus persistant, cherchez un autre prestataire ou limitez son accès aux données personnelles. Certains prestataires acceptent leurs propres DPA : vérifiez qu'ils contiennent les 8 clauses obligatoires de l'article 28. ### Combien coûte la mise en conformité d'un contrat de sous-traitance ? Le coût varie selon votre écosystème. **Audit initial** : 2 000 à 5 000 euros (cabinet spécialisé). **Rédaction/négociation des DPA** : 500 à 2 000 euros par contrat selon la complexité. **Formation équipes** : 1 000 à 3 000 euros. **Mise en place des audits** : 5 000 à 15 000 euros/an. **Total moyen** : 15 000 à 50 000 euros la première année, puis 5 000 à 15 000 euros/an en fonctionnement. Ce coût est dérisoire face aux sanctions moyennes de 180 000 euros pour les PME en 2026. ### Quelles sont les sanctions si mon sous-traitant ne respecte pas le RGPD ? Vous risquez une co-responsabilité même si c'est votre sous-traitant qui commet la faute. **Barème 2026** : PME 20 000 à 100 000 euros, ETI 100 000 à 500 000 euros, grandes entreprises jusqu'à 20 millions d'euros ou 4% du CA mondial. **Exemple concret** : en avril 2026, une société de e-commerce a été sanctionnée de 85 000 euros car son prestataire de livraison avait divulgué des données clients. Au-delà de l'amende, comptez une perte moyenne de 23% du chiffre d'affaires l'année suivante selon l'étude Deloitte. ### Comment auditer efficacement mes sous-traitants ? **Audit documentaire annuel** (obligatoire) : vérification des certifications, politiques de sécurité, registre des traitements, procédures d'incident. **Audit sur site** (recommandé pour les prestataires critiques) : inspection des locaux, contrôle des accès physiques, test des sauvegardes. **Audit technique** : tests de pénétration, vérification du chiffrement, analyse des logs. **Fréquence recommandée** : audit complet tous les 2 ans pour les sous-traitants critiques, audit documentaire annuel pour les autres. **Coût** : 2 000 à 8 000 euros par audit selon le périmètre. ### Mon sous-traitant peut-il utiliser l'intelligence artificielle sur mes données ? Non, sauf autorisation écrite explicite de votre part. Les fournisseurs d'IA sont qualifiés de sous-traitants en 2026 et soumis à l'article 28. **Points de vigilance** : vos données ne doivent pas servir à l'entraînement général de leurs modèles, les traitements IA doivent figurer dans vos instructions documentées, le sous-traitant doit vous fournir les informations nécessaires pour respecter l'IA Act européen. **Clause type** : "Le Sous-traitant s'interdit d'utiliser les données personnelles pour l'entraînement, l'amélioration ou le développement de systèmes d'IA en dehors des instructions spécifiques du Responsable de traitement."

---

**Besoin d'un accompagnement en droit des affaires ?** Je vous accompagne dans la négociation et la sécurisation de vos contrats, en France comme à l'international. [Consultation en visioconférence](/fr/qui-suis-je) · [Prendre rendez-vous](/fr/qui-suis-je)