Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre.
L'article 29 du RGPD tient en une phrase : le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou du sous-traitant, qui a accès à des données personnelles, ne peut les traiter que sur instruction du responsable du traitement, sauf si le droit de l'Union ou d'un État membre l'y oblige. Il fixe une règle de discipline : celui qui touche aux données n'en fait pas ce qu'il veut.
Il appartient au chapitre IV du RGPD, entre l'article 28, qui organise la relation avec le sous-traitant, et l'article 30, qui impose le registre des traitements.
Qui est visé par l'article 29 ?
- Le sous-traitant : le prestataire qui traite des données pour le compte du responsable du traitement (hébergeur, éditeur de logiciel, prestataire de paie, centre d'appel).
- Les personnes agissant sous l'autorité du responsable du traitement : salariés, intérimaires, stagiaires, et plus largement toute personne qui accède aux données dans le cadre de l'organisation.
- Les personnes agissant sous l'autorité du sous-traitant : ses propres salariés et, le cas échéant, les personnes qui interviennent pour lui.
Le critère n'est pas le contrat de travail mais l'accès aux données dans un cadre placé sous l'autorité de l'organisme. Sur la distinction entre les rôles, voir notre guide responsable de traitement, sous-traitant ou co-responsable.
Que signifie « sur instruction du responsable du traitement » ?
C'est le responsable du traitement qui détermine les finalités et les moyens essentiels du traitement. Les personnes placées sous son autorité, comme le sous-traitant, n'utilisent les données que dans ce cadre :
- un salarié du service client consulte le dossier d'un client pour traiter sa demande, pas pour satisfaire sa curiosité ;
- un prestataire d'hébergement stocke les données, mais ne les réutilise pas pour ses propres besoins, par exemple pour entraîner un modèle d'IA ;
- un administrateur système dispose d'accès étendus, mais ne s'en sert que pour ses missions techniques.
Pour le sous-traitant, ces instructions doivent être documentées : le contrat de sous-traitance prévoit qu'il ne traite les données que sur instruction documentée du responsable du traitement, y compris pour les transferts hors de l'Union (article 28.3.a). Et un sous-traitant qui détermine lui-même les finalités et les moyens d'un traitement est considéré comme responsable du traitement pour celui-ci (article 28.10). Le contenu attendu de ce contrat est détaillé dans notre guide sur le DPA.
La seule exception : une obligation légale
L'article 29 admet un traitement hors instruction lorsque le droit de l'Union ou le droit d'un État membre l'impose. C'est le cas, par exemple, d'un prestataire tenu de répondre à une réquisition judiciaire. Dans ce cas, le contrat de sous-traitance prévoit que le sous-traitant informe le responsable du traitement de cette obligation avant le traitement, sauf si la loi l'interdit (article 28.3.a).
Article 29 et article 32 : la même règle, vue sous l'angle de la sécurité
L'article 32, paragraphe 4, reprend la règle de l'article 29 parmi les mesures de sécurité : le responsable du traitement et le sous-traitant doivent prendre des mesures pour garantir que les personnes placées sous leur autorité ne traitent les données que sur instruction. L'article 29 pose l'interdiction ; l'article 32 oblige à l'organiser. En pratique :
- des habilitations limitées à ce dont chaque poste a besoin, et revues régulièrement ;
- une charte informatique qui fixe les usages autorisés (voir notre modèle de charte informatique) ;
- un engagement de confidentialité des personnes autorisées à traiter les données, clause obligatoire du contrat de sous-traitance (article 28.3.b) ;
- une journalisation des accès, qui permet de détecter une consultation hors mission ;
- la sensibilisation des équipes aux règles qui s'appliquent à elles.
Ce que la CNIL sanctionne
Le 15 avril 2022, la CNIL a prononcé une amende de 1,5 million d'euros à l'encontre d'un éditeur de logiciels applicatifs, sous-traitant, pour trois manquements : l'absence d'encadrement contractuel de la sous-traitance, le traitement de données au-delà des instructions du responsable du traitement, et le défaut de sécurité des données (liste des sanctions prononcées par la CNIL). Le sous-traitant répond donc directement de l'article 29, sans que la responsabilité de son client ne l'en dispense.
Pour vérifier que vos prestataires respectent vos instructions, la méthode est dans notre guide sur l'audit des sous-traitants, et pour ceux qui embarquent de l'IA, dans celui sur l'audit IA des sous-traitants. Si vous êtes vous-même prestataire, voir le guide RGPD du sous-traitant B2B.
Pour cartographier vos sous-traitants, leurs contrats et leurs mesures dans le même outil que votre registre, demandez une démo de Leto.
