{"id":7390,"date":"2023-05-23T15:36:04","date_gmt":"2023-05-23T15:36:04","guid":{"rendered":"https:\/\/viqtor.eu\/?p=7390"},"modified":"2026-06-04T15:07:34","modified_gmt":"2026-06-04T15:07:34","slug":"apaksuznemeja-lomas-izpratne-saskana-ar-gdpr-pienakumi-un-sekas","status":"publish","type":"post","link":"https:\/\/viqtor.eu\/lv\/apaksuznemeja-lomas-izpratne-saskana-ar-gdpr-pienakumi-un-sekas\/","title":{"rendered":"Apak\u0161uz\u0146\u0113m\u0113ja lomas izpratne saska\u0146\u0101 ar GDPR: pien\u0101kumi un sekas"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Sous-traitant RGPD : pourquoi \u00e9valuer vos prestataires est devenu un enjeu vital pour votre entreprise<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Confier le traitement de ses donn\u00e9es \u00e0 un prestataire ne dispense jamais l’entreprise de ses responsabilit\u00e9s. Depuis 2021, la CNIL<\/strong> a multipli\u00e9 les sanctions contre des organisations qui n’avaient pas correctement \u00e9valu\u00e9 ou encadr\u00e9 leur sous-traitant RGPD<\/strong> : 1 million d’euros contre Mobius Solutions en d\u00e9cembre 2025, 1,5 million contre Dedalus Biologie, 600 000 \u20ac contre le Groupe Canal+, 800 000 \u20ac contre Discord. Le message est clair : d\u00e9l\u00e9guer le traitement de donn\u00e9es personnelles<\/strong> n’est pas d\u00e9l\u00e9guer la conformit\u00e9.<\/p>\n

Pour les dirigeants, le sujet a bascul\u00e9 du juridique vers la gestion des risques. \u00c9valuer ses prestataires, formaliser le contrat de sous-traitance RGPD<\/strong>, surveiller la cha\u00eene dans la dur\u00e9e : ce sont des obligations l\u00e9gales dont le non-respect co\u00fbte cher.<\/p>\n

\n

<\/p>\n<\/div>\n

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Comprendre le r\u00f4le du sous-traitant RGPD et ses obligations<\/h2>

Qui est sous-traitant au sens du RGPD ?<\/h3>

Le RGPD d\u00e9finit le sous-traitant comme toute personne physique ou morale qui traite des donn\u00e9es personnelles<\/strong> pour le compte d’un responsable de traitement<\/strong>. D\u00e8s qu’un prestataire acc\u00e8de, h\u00e9berge, analyse ou stocke des donn\u00e9es personnelles<\/strong> que vous lui confiez, il est sous-traitant : h\u00e9bergeurs cloud, \u00e9diteurs SaaS, prestataires de paie, agences marketing, centres d’appels, CRM, prestataires d’emailing, soci\u00e9t\u00e9s de maintenance informatique.<\/p>

La fronti\u00e8re avec le statut de responsable de traitement<\/strong> n’est pas toujours \u00e9vidente. Un prestataire qui d\u00e9cide de la finalit\u00e9 ou des moyens d’un traitement bascule dans la cat\u00e9gorie sup\u00e9rieure et porte alors la pleine responsabilit\u00e9. C’est pr\u00e9cis\u00e9ment le pi\u00e8ge dans lequel est tomb\u00e9e Mobius Solutions Ltd, sanctionn\u00e9e d’un million d’euros par la CNIL<\/strong> en d\u00e9cembre 2025 pour avoir r\u00e9utilis\u00e9 des donn\u00e9es de Deezer afin d’am\u00e9liorer ses propres services, en dehors de toute instruction de son client.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Les obligations du sous-traitant inscrites dans l’article 28<\/h3>

L’article 28 du RGPD \u00e9num\u00e8re pr\u00e9cis\u00e9ment les obligations du sous-traitant<\/strong> : agir uniquement sur instructions document\u00e9es, garantir la confidentialit\u00e9 des personnes habilit\u00e9es, mettre en \u0153uvre des mesures de s\u00e9curit\u00e9 techniques et organisationnelles appropri\u00e9es, assister le responsable de traitement<\/strong> dans la gestion des droits des personnes et la d\u00e9claration des violations, supprimer ou restituer les donn\u00e9es en fin de prestation, et tenir un registre des activit\u00e9s de traitement<\/strong> propre \u00e0 son activit\u00e9.<\/p>

Cette derni\u00e8re obligation est souvent oubli\u00e9e. La CNIL l’a pourtant retenue dans plusieurs sanctions r\u00e9centes, dont l’affaire Mobius Solutions. Ne pas tenir de registre, c’est se priver de la principale preuve de conformit\u00e9 en cas de contr\u00f4le.<\/p>

Sous-traitance en cascade : l’autorisation pr\u00e9alable obligatoire<\/h3>

Un sous-traitant ne peut faire appel \u00e0 un sous-traitant ult\u00e9rieur (\u00ab en cascade \u00bb) qu’avec autorisation \u00e9crite pr\u00e9alable, sp\u00e9cifique ou g\u00e9n\u00e9rale, du responsable de traitement<\/strong>. En cas d’autorisation g\u00e9n\u00e9rale, il doit informer son client de tout changement pour lui permettre d’objecter. Un \u00e9diteur SaaS qui s’appuie sur un h\u00e9bergeur cloud, qui utilise lui-m\u00eame un sous-prestataire de monitoring, doit pouvoir documenter chaque maillon.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L’obligation d’\u00e9valuer ses sous-traitants : un devoir trop souvent n\u00e9glig\u00e9<\/h2>

Une obligation explicite et structurante du RGPD<\/h3>

L’article 28 paragraphe 1 du RGPD est sans ambigu\u00eft\u00e9 : le responsable de traitement<\/strong> \u00ab fait uniquement appel \u00e0 des sous-traitants qui pr\u00e9sentent des garanties suffisantes \u00bb. Ce n’est pas une recommandation, c’est une obligation positive. Le dirigeant doit s’assurer, avant de contractualiser, que son prestataire dispose des comp\u00e9tences, des proc\u00e9dures et de l’organisation pour traiter les donn\u00e9es conform\u00e9ment au r\u00e8glement.<\/p>

Cela suppose une proc\u00e9dure d’\u00e9valuation formalis\u00e9e : grille de crit\u00e8res, questionnaire de conformit\u00e9, demande de pi\u00e8ces justificatives (politique de s\u00e9curit\u00e9, certifications, DPA<\/strong>, registre, d\u00e9signation d’un DPO<\/strong>), analyse des sous-traitants ult\u00e9rieurs, v\u00e9rification de la localisation des serveurs et des \u00e9ventuels transferts de donn\u00e9es<\/strong> hors UE. Cette \u00e9valuation doit \u00eatre trac\u00e9e et conserv\u00e9e \u2014 sans elle, le dirigeant ne pourra d\u00e9montrer ni sa diligence ni sa conformit\u00e9 au principe d’accountability.<\/p>

Les sanctions CNIL qui doivent alerter les dirigeants<\/h3>

En 2024, la CNIL<\/strong> a prononc\u00e9 87 sanctions pour plus de 55 millions d’euros. Plusieurs dossiers r\u00e9cents montrent qu’\u00e9valuer et encadrer ses prestataires est devenu un terrain de contr\u00f4le privil\u00e9gi\u00e9.<\/p>

L’affaire Dedalus Biologie (avril 2022, 1,5 million d’euros) reste embl\u00e9matique. La CNIL<\/strong> a sanctionn\u00e9 cet \u00e9diteur de logiciels pour laboratoires m\u00e9dicaux apr\u00e8s une fuite massive de donn\u00e9es de sant\u00e9. Au-del\u00e0 du d\u00e9faut de s\u00e9curit\u00e9, c’est l’absence de mentions obligatoires de l’article 28 dans ses contrats standards qui a \u00e9t\u00e9 lourdement retenue. Cette d\u00e9cision a marqu\u00e9 un tournant : un sous-traitant peut \u00eatre directement sanctionn\u00e9 s’il ne formalise pas correctement la relation, ind\u00e9pendamment de la responsabilit\u00e9 du client.<\/p>

L’affaire Mobius Solutions Ltd \/ Deezer (d\u00e9cembre 2025, 1 million d’euros) illustre les manquements les plus fr\u00e9quents : conservation des donn\u00e9es au-del\u00e0 de la fin du contrat, traitement en dehors des instructions du client, absence de registre, d\u00e9faut de mesures de s\u00e9curit\u00e9 ayant conduit \u00e0 la publication des donn\u00e9es de plusieurs millions d’utilisateurs sur le darknet.<\/p>

L’affaire Discord (2022, 800 000 \u20ac) sanctionne du c\u00f4t\u00e9 du responsable de traitement<\/strong> l’absence de contrat conforme \u00e0 l’article 28. Le Groupe Canal+, condamn\u00e9 \u00e0 600 000 \u20ac en 2022, l’a \u00e9t\u00e9 notamment pour l’absence d’accords contractuels suffisants. D\u00e8s le 27 janvier 2021, la CNIL<\/strong> inaugurait sa doctrine en sanctionnant simultan\u00e9ment un responsable de traitement<\/strong> (150 000 \u20ac) et son sous-traitant (75 000 \u20ac) pour d\u00e9faut de mesures contre le credential stuffing.<\/p>

Ce que la CNIL examine dans ses contr\u00f4les<\/h3>

Au fil des d\u00e9cisions, la grille de contr\u00f4le de la CNIL<\/strong> s’est pr\u00e9cis\u00e9e. L’autorit\u00e9 v\u00e9rifie l’existence d’un contrat de sous-traitance RGPD<\/strong> \u00e9crit et conforme \u00e0 l’article 28, la documentation des instructions, la liste \u00e0 jour des sous-traitants ult\u00e9rieurs, les mesures techniques et organisationnelles effectivement mises en \u0153uvre, les proc\u00e9dures de notification d’une violation de donn\u00e9es<\/strong>, les modalit\u00e9s d’assistance aux droits des personnes, les conditions de fin de contrat et la tra\u00e7abilit\u00e9 des audits r\u00e9alis\u00e9s.<\/p>

Pour pr\u00e9parer votre organisation \u00e0 ces points de contr\u00f4le, notre guide complet sur l’audit de conformit\u00e9 RGPD<\/a><\/strong> d\u00e9taille la m\u00e9thodologie \u00e0 appliquer.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Vous souhaitez s\u00e9curiser votre cha\u00eene de sous-traitance et d\u00e9montrer votre conformit\u00e9 ?\u00a0<\/strong><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t
\n\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t\t\t\n\t\t\t\t<\/i>\t\t\t<\/span>\n\t\t\t\t\t\t\t\t\t\u00c9changez avec un expert Viqtor\u00ae<\/span>\n\t\t\t\t\t<\/span>\n\t\t\t\t\t<\/a>\n\t\t\t\t<\/div>\n\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Construire un encadrement contractuel solide : le contrat de sous-traitance RGPD<\/h2>

Les clauses obligatoires de l’article 28 paragraphe 3<\/h3>

Le DPA (Data Processing Agreement)<\/strong>, ou contrat de sous-traitance RGPD<\/strong>, doit comporter un socle de clauses impos\u00e9es par le r\u00e8glement : objet et dur\u00e9e du traitement, nature et finalit\u00e9, type de donn\u00e9es et cat\u00e9gories de personnes, obligations et droits du responsable de traitement<\/strong>. Il doit \u00e9galement int\u00e9grer huit engagements pr\u00e9cis du sous-traitant : agir sur instructions document\u00e9es, garantir la confidentialit\u00e9, prendre les mesures de s\u00e9curit\u00e9 requises, n’engager des sous-traitants ult\u00e9rieurs qu’avec autorisation, aider \u00e0 r\u00e9pondre aux demandes des personnes, assister en mati\u00e8re de s\u00e9curit\u00e9 et de notification, restituer ou supprimer les donn\u00e9es en fin de contrat, mettre \u00e0 disposition toutes les informations n\u00e9cessaires aux audits.<\/p>

Les conditions g\u00e9n\u00e9rales standards d’un \u00e9diteur ne suffisent g\u00e9n\u00e9ralement pas, comme la CNIL<\/strong> l’a reproch\u00e9 \u00e0 Dedalus et \u00e0 plusieurs prestataires sanctionn\u00e9s depuis. Un examen contrat par contrat est indispensable.<\/p>

Les pi\u00e8ges \u00e0 \u00e9viter dans la r\u00e9daction<\/h3>

Plusieurs erreurs fragilisent r\u00e9guli\u00e8rement la conformit\u00e9. Une clause d’exon\u00e9ration totale de responsabilit\u00e9 du sous-traitant est inopposable \u00e0 la CNIL<\/strong> comme \u00e0 la victime d’une fuite. Une liste de sous-traitants ult\u00e9rieurs absente ou non mise \u00e0 jour expose le responsable de traitement<\/strong> \u00e0 un manquement. Des mesures de s\u00e9curit\u00e9 d\u00e9crites de mani\u00e8re vague ne suffisent pas : la CNIL<\/strong> attend un r\u00e9f\u00e9rentiel concret, v\u00e9rifiable, dat\u00e9. L’absence de proc\u00e9dure de notification de violation, ou des d\u00e9lais incompatibles avec les 72 heures impos\u00e9es au responsable de traitement<\/strong>, est syst\u00e9matiquement retenue contre les sous-traitants d\u00e9faillants.<\/p>

Le r\u00f4le central du DPO et de la gouvernance des donn\u00e9es<\/h3>

Le DPO<\/strong> (D\u00e9l\u00e9gu\u00e9 \u00e0 la Protection des Donn\u00e9es) joue un r\u00f4le pivot : il pilote l’\u00e9valuation des prestataires, valide les clauses contractuelles, supervise le registre des sous-traitants et alerte la direction sur les risques. \u00c0 d\u00e9faut de DPO<\/strong>, ces missions doivent \u00eatre port\u00e9es par une fonction identifi\u00e9e. La gouvernance des donn\u00e9es<\/a> repose largement sur cette capacit\u00e9 \u00e0 faire vivre la relation avec les sous-traitants dans le temps.<\/p><\/div>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Piloter la relation dans la dur\u00e9e : audits, surveillance et incidents<\/h2>

Une obligation continue, pas une formalit\u00e9 de signature<\/h3>

Contractualiser ne suffit pas. Le responsable de traitement<\/strong> doit s’assurer dans la dur\u00e9e que son prestataire respecte ses engagements : audits p\u00e9riodiques, revue annuelle du DPA<\/strong>, mise \u00e0 jour syst\u00e9matique en cas de changement (nouveau sous-traitant ult\u00e9rieur, nouveau p\u00e9rim\u00e8tre, nouvelle localisation des serveurs).<\/p>

La CNIL<\/strong> est explicite : le recours \u00e0 un sous-traitant n’exon\u00e8re jamais le responsable de traitement<\/strong> de son obligation de vigilance. La sanction de Canal+ a repos\u00e9 pr\u00e9cis\u00e9ment sur le constat que le contr\u00f4le effectif des prestataires n’\u00e9tait pas mis en \u0153uvre. \u00c0 l’inverse, une entreprise capable de produire comptes rendus d’audit, questionnaires compl\u00e9t\u00e9s et plans d’action d\u00e9montre concr\u00e8tement sa diligence, m\u00eame en cas d’incident.<\/p>

Le module Sous-traitants de Viqtor<\/a> centralise l’\u00e9valuation, le contrat, les sous-traitants ult\u00e9rieurs, les audits et l’historique des \u00e9changes dans un r\u00e9f\u00e9rentiel unique.<\/p>

R\u00e9agir \u00e0 une violation de donn\u00e9es impliquant un prestataire<\/h3>

Une part significative des violations d\u00e9clar\u00e9es chaque ann\u00e9e \u00e0 la CNIL<\/strong> implique un sous-traitant. Le responsable de traitement<\/strong> doit donc pr\u00e9voir, d\u00e8s la contractualisation, un dispositif d’alerte rapide. Le sous-traitant est tenu d’informer son client \u00ab dans les meilleurs d\u00e9lais \u00bb, ce qui en pratique signifie 24 \u00e0 48 heures pour permettre une notification dans le d\u00e9lai l\u00e9gal de 72 heures \u00e0 la CNIL<\/strong>. Notre page d\u00e9di\u00e9e \u00e0 la d\u00e9claration de violation de donn\u00e9es<\/a> en d\u00e9taille les \u00e9tapes.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Ce que vous devez noter<\/h2>