Sous-traitant RGPD

Un sous-traitant est l'organisme qui traite des données personnelles pour le compte d'un autre, le responsable de traitement, et selon ses instructions. En gestion de flotte, l'entreprise cliente est responsable de traitement ; l'éditeur du logiciel est son sous-traitant. Les deux doivent respecter le RGPD, mais leurs obligations ne sont pas les mêmes.

Qui est responsable, qui est sous-traitant

La distinction ne se choisit pas, elle se déduit d'un seul critère : qui décide des finalités et des moyens du traitement.

L'entreprise qui équipe ses véhicules décide de collecter des positions, et pourquoi. Elle est responsable de traitement. L'éditeur du logiciel qui héberge et traite ces données ne décide pas de la collecte : il exécute. Il est sous-traitant.

Le critère est fonctionnel, pas contractuel. Un prestataire qui se déclare sous-traitant mais réutilise les données pour ses propres finalités devient responsable de traitement pour cette partie de l'activité, avec les obligations correspondantes.

La CNIL le rappelle sans ambiguïté : « les sous-traitants, comme les responsables de traitement, doivent respecter le RGPD ». La sous-traitance répartit les rôles, elle ne dispense personne.

Ce qui reste chez le responsable de traitement

Faire appel à un sous-traitant ne transfère pas les obligations principales. Restent à la charge du responsable de traitement :

• l'information des personnes concernées — en gestion de flotte, les conducteurs
• la consultation des représentants du personnel
• l'inscription du traitement au registre
• le choix et la justification de la base légale
• le traitement des demandes d'exercice de droits
• la notification d'une violation de données à l'autorité de contrôle.

C'est pourquoi un acheteur a besoin de documentation, et pas seulement d'une promesse : sans la liste des sous-traitants et les durées de conservation appliquées, il ne peut ni remplir son registre ni répondre à un salarié.

Les obligations propres du sous-traitant

Le sous-traitant n'est pas un simple exécutant. Il doit :

• n'agir que sur instruction du responsable de traitement, dans les limites du contrat
• garantir la confidentialité des personnes qui accèdent aux données
• mettre en œuvre des mesures de sécurité appropriées au risque
• alerter le responsable de traitement en cas de violation de données, pour qu'il puisse notifier l'autorité
• assister le responsable de traitement dans ses obligations — exercice des droits, analyse d'impact, audits
• restituer ou détruire les données en fin de prestation, dans le respect des durées de conservation convenues
• tenir un registre des catégories de traitements effectués pour le compte de chaque client
• alerter le responsable de traitement si une instruction reçue lui paraît constituer une violation du règlement.

Ce dernier point est souvent oublié et il est structurant : un sous-traitant qui exécute sans réserve une instruction manifestement illicite engage sa propre responsabilité.

Le contrat de sous-traitance : ce qu'il doit contenir

La relation doit être encadrée par un contrat écrit, prévu par l'article 28 du RGPD. La CNIL range parmi ce qu'il ne faut pas faire : « Entamer la prestation de sous-traitance sans avoir signé un contrat avec le prestataire reprenant les exigences posées par l'article 28 du RGPD ».

Le contrat définit l'objet, la durée, la nature et les finalités du traitement, les catégories de données et de personnes concernées, et la répartition des responsabilités. Sur le volet sécurité, la CNIL attend qu'il précise :

Ce que le contrat doit prévoir	Pourquoi
Obligation de confidentialité	Encadre l'accès des équipes du prestataire
Exigences minimales d'authentification	Évite que la sécurité dépende du client seul
Règles et délais de notification d'incident	Conditionne le respect du délai de notification
Assistance sur les mesures de sécurité	Le client ne peut pas agir seul sur l'infrastructure
Conditions de restitution et de destruction	Rend la réversibilité opposable
Fréquence de revue de la sécurité	Empêche le contrat de se périmer

La Commission européenne a adopté le 4 juin 2021 des clauses contractuelles types entre responsable de traitement et sous-traitant, et la CNIL publie des exemples de clauses : deux bases de négociation utilisables.

Les sous-traitants ultérieurs

Un sous-traitant recourt presque toujours lui-même à d'autres prestataires : hébergeur, stockage des sauvegardes, routeur d'e-mails transactionnels, opérateur télécom, service de cartographie, outil de support. Ce sont des sous-traitants ultérieurs, et ils font partie du périmètre.

Deux règles à connaître. Le recours à un sous-traitant ultérieur suppose l'autorisation écrite préalable, spécifique ou générale, du responsable de traitement ; en cas d'autorisation générale, tout ajout ou remplacement doit lui être signalé afin qu'il puisse s'y opposer. Et le sous-traitant ultérieur doit être soumis aux mêmes obligations, par contrat.

La réutilisation, elle, est strictement bornée : un sous-traitant « ne peut réutiliser des données personnelles pour son propre compte que si cette réutilisation est compatible avec le traitement initial et que le responsable du traitement lui en a donné l'autorisation écrite ». Un éditeur qui souhaite exploiter des données clients pour entraîner un modèle ou produire une étude a donc besoin d'un accord écrit.

La CNIL rappelle enfin que « toute la chaine de sous-traitance (sous-traitants des sous-traitants) devrait être considérée et non seulement les sous-traitants directs ». En pratique : demandez la liste nominative, avec le rôle et le pays de chaque intervenant.

Comment vérifier un sous-traitant avant de signer

La CNIL recommande de ne travailler qu'avec des prestataires offrant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources, et de demander leur politique de sécurité des systèmes d'information ainsi que leurs certifications — elle cite ISO/IEC 27001 et ISO/IEC 27701, et la certification HDS pour l'hébergement de données de santé. Elle recommande également de vérifier ces garanties par des audits ou des visites d'installations, et d'écarter les services de cloud sans garantie quant à la localisation géographique effective des données.

Dadycar est le sous-traitant de ses clients pour leurs données de flotte. Celles-ci sont hébergées en France, chez OVHcloud, et il publie ses réponses à cette grille : rôles, localisation, liste nominative des sous-traitants ultérieurs et durées appliquées figurent sur la page confiance et sécurité. La méthode d'audit, applicable à tout éditeur, est détaillée dans l'article sur l'hébergement des données d'un logiciel de gestion de flotte.

Sources

• CNIL — Travailler avec un sous-traitant
• CNIL — Sécurité : gérer la sous-traitance
• CNIL — Clauses contractuelles types entre responsable de traitement et sous-traitant
• CNIL — Sous-traitants : la réutilisation de données confiées par un responsable de traitement

Questions fréquentes

Un éditeur de logiciel de flotte est-il responsable de traitement ou sous-traitant ?

Sous-traitant, dans le cas général : il traite les données pour le compte de l'entreprise cliente et selon ses instructions. C'est l'entreprise qui décide de collecter des données sur ses véhicules et ses conducteurs, elle est donc responsable de traitement et porte les obligations principales.

Faut-il autoriser les sous-traitants ultérieurs d'un prestataire ?

Oui. Le recours à un sous-traitant ultérieur suppose l'autorisation écrite préalable, spécifique ou générale, du responsable de traitement ; en cas d'autorisation générale, tout ajout doit lui être signalé pour qu'il puisse s'y opposer. Exigez la liste nominative avec le rôle et le pays de chaque intervenant, et la clause d'information préalable en cas de changement.

Un sous-traitant peut-il utiliser les données pour son propre compte ?

Seulement si la réutilisation est compatible avec le traitement initial et si le responsable de traitement a donné son autorisation écrite. Cela vaut notamment pour l'entraînement de modèles statistiques ou la publication d'études construites sur des données clients.