Déterminer votre rôle RGPD : un enjeu crucial en 2026
La définition précise de votre rôle dans le traitement des données personnelles n'est pas qu'une question théorique. C'est un enjeu juridique et financier majeur, encore plus en 2026 avec le durcissement massif des sanctions RGPD.
En 2025, la CNIL a prononcé 87 sanctions (+107% vs 2024), dont plusieurs concernaient directement la mauvaise qualification des rôles et le non-respect des obligations des sous-traitants. Free a été sanctionné de 42 millions d'euros suite à une violation massive impliquant l'absence de mesures de sécurité chez un prestataire. Mobius Solutions a écopé d'1 million d'euros pour une violation des données de Deezer dont il était le sous-traitant.
Dans une économie globalisée où la donnée personnelle est devenue LA ressource la plus précieuse, impossible de développer votre activité sans collecter, traiter et faire circuler des informations sur vos clients, prospects, salariés, partenaires. Ces données transitent souvent entre plusieurs entreprises qui visent un but commun, créant de véritables "chaînes de traitement" complexes.
Depuis l'entrée en vigueur du RGPD le 25 mai 2018, un cadre strict encadre ces flux de données. Les objectifs des pays de l'Union européenne sont clairs : protéger la vie privée des ressortissants européens et assurer leur liberté en faisant des entreprises et de leurs partenaires des acteurs essentiels de ce dispositif.
Responsable de traitement, sous-traitant, co-responsable : chacun joue un rôle primordial avec des obligations spécifiques et des responsabilités distinctes. Mal identifier votre statut ou celui de vos partenaires peut entraîner des conséquences graves : sanctions financières, atteinte réputationnelle, contentieux, paralysie de votre activité.
Leto vous explique en détail ces trois statuts, leurs implications concrètes, les obligations de chacun, et comment sécuriser juridiquement vos relations contractuelles dans ces chaînes de traitement.
Le responsable de traitement : l'acteur clé et le décisionnaire
Définition juridique du responsable de traitement
Selon la CNIL, "le responsable d'un traitement de données à caractère personnel est en principe la personne, l'autorité publique, la société ou l'organisme qui détermine les finalités et les moyens de ce traitement, qui décide de sa création".
L'article 4 du RGPD définit le responsable de traitement comme "la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement".
Les deux critères cumulatifs :
- Détermination des finalités : Pourquoi voulez-vous traiter des données ? (objectif, but poursuivi)
- Détermination des moyens : Comment allez-vous réaliser ce traitement ? (outils, procédures, durées de conservation, mesures de sécurité)
En pratique : Si vous êtes le dirigeant ou le responsable légal de votre entreprise, le législateur vous considère automatiquement comme le responsable des traitements réalisés au sein de votre organisation. Même si vous déléguez l'exécution technique à des services internes ou des prestataires externes, vous restez le décisionnaire et donc le responsable.
Exemple concret : Suite à un cambriolage, vous décidez d'installer un système de vidéosurveillance dans vos locaux. Vous choisissez les zones filmées (les finalités : sécurité des biens et des personnes), la durée de conservation des images (30 jours), le prestataire d'installation (moyen technique). Vous êtes le responsable du traitement de ces données de vidéosurveillance, même si un prestataire installe et maintient le système.
Les missions et obligations du responsable de traitement
Ce statut juridique est décisif car le RGPD définit précisément vos missions et obligations, qui s'articulent autour du principe de responsabilité (accountability) : vous devez non seulement respecter la réglementation, mais également être en mesure de prouver cette conformité à tout moment.
Vos obligations principales :
Connaissance parfaite du cadre légal : Maîtriser les obligations du RGPD (articles 5 à 35 notamment), les recommandations de la CNIL, les lignes directrices du Comité Européen de la Protection des Données (CEPD), la jurisprudence.
Respect des principes fondamentaux (article 5 RGPD) : Licéité, loyauté, transparence du traitement, limitation des finalités (une donnée collectée pour un objectif ne peut servir à autre chose), minimisation des données (collecte strictement nécessaire), exactitude, limitation de la conservation (durées justifiées), intégrité et confidentialité (sécurité).
Établissement d'une base légale : Chaque traitement doit reposer sur l'une des 6 bases légales (article 6 RGPD) : consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime.
Transparence envers les personnes : Rédiger une politique de confidentialité claire et accessible, informer les personnes au moment de la collecte (formulaires, mentions d'information), faciliter l'exercice de leurs droits (accès, rectification, effacement, portabilité, opposition).
Tenue du registre des activités de traitement (article 30 RGPD) : Document central recensant tous vos traitements avec leurs caractéristiques (finalités, données, destinataires, durées, sécurité). C'est le premier document demandé lors d'un contrôle CNIL.
Mise en œuvre de mesures de sécurité (article 32 RGPD) : Mesures techniques (chiffrement, authentification multi-facteur, sauvegardes, pare-feu) et organisationnelles (politique de mots de passe, gestion des habilitations, sensibilisation des équipes) appropriées aux risques.
Gestion des violations de données (articles 33-34 RGPD) : Procédure de détection et notification à la CNIL sous 72h si risque pour les personnes, information des personnes concernées si risque élevé, documentation de toutes les violations dans un registre dédié.
Réalisation d'analyses d'impact (AIPD) (article 35 RGPD) : Obligatoire lorsqu'un traitement présente un risque élevé pour les droits et libertés (données sensibles, profilage, surveillance systématique, traitement à grande échelle).
Organisation de la sous-traitance : Sélection rigoureuse des sous-traitants, vérification de leurs garanties de sécurité, signature de contrats conformes (DPA - Data Processing Agreements), audit périodique de leur conformité.
Documentation continue (accountability) : Prouver à tout moment votre conformité via une documentation complète et à jour (registre, politiques, procédures, contrats, analyses d'impact, preuves de consentement, logs de sécurité).
Formation des collaborateurs : Vos équipes suivent vos directives et manipulent quotidiennement des données. Une formation régulière et adaptée à chaque métier est incontournable pour des pratiques respectueuses du RGPD.
Nomination d'un DPO (Délégué à la Protection des Données) : Obligatoire pour les organismes publics, les entreprises dont l'activité principale nécessite un suivi régulier et systématique à grande échelle des personnes, ou qui traitent à grande échelle des données sensibles.
Le sous-traitant : votre prestataire, votre responsabilité
Définition et exemples de sous-traitants
Le sous-traitant est "la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement" (article 4 RGPD).
Critère distinctif clé : Le sous-traitant n'a aucun pouvoir de décision sur les finalités et les moyens essentiels du traitement. Il agit uniquement sur instruction du responsable de traitement, pour son compte. C'est un "exécutant" qui fournit un service impliquant l'accès, la manipulation ou le stockage de données personnelles.
En tant qu'entreprise moderne, vous suivez le fil directeur de l'efficacité en déléguant des tâches secondaires ou en recourant à des expertises externes. Le sous-traitant participe à vos performances et constitue un rouage central de votre organisation numérique.
Exemples courants de sous-traitants :
Hébergement et infrastructure : Hébergeur web (AWS, OVH, Azure), hébergeur de bases de données, service de sauvegarde cloud, CDN (Content Delivery Network).
Outils SaaS et logiciels : CRM (Salesforce, HubSpot, Pipedrive), outils RH (paie, recrutement), solution de gestion comptable, plateforme de signature électronique, outils collaboratifs (Slack, Microsoft 365, Google Workspace).
Marketing et communication : Plateforme d'emailing (Mailchimp, Sendinblue), outil de marketing automation, agence de marketing digital, service de SMS marketing, régie publicitaire.
Services externalisés : Centre d'appels / call center, service client externalisé, cabinet d'avocats traitant vos litiges, expert-comptable externe, société de sécurité gérant votre vidéosurveillance.
Développement et maintenance : Agence web développant votre site, ESN (entreprise de services numériques) intervenant sur vos systèmes, prestataire de maintenance informatique.
Pourquoi le sous-traitant représente un risque majeur
Voici la règle d'or : Vous restez responsable de traitement même lorsque vous sous-traitez. Le sous-traitant agit pour votre compte, mais vous demeurez légalement responsable des opérations de traitement qu'il réalise.
Cas réel 2025 : Free a été sanctionné de 42 millions d'euros en janvier 2026 suite à une violation massive de données impliquant plusieurs millions d'abonnés. L'absence de mesures de sécurité élémentaires (pas d'authentification multi-facteur sur les accès critiques) a été constatée. Même si certains aspects de la sécurité étaient techniquement gérés par des prestataires, Free en tant que responsable de traitement a porté l'intégralité de la sanction.
Cas réel 2025 bis : Mobius Solutions Ltd a été sanctionné d'1 million d'euros en décembre 2025 pour une violation de données des utilisateurs de Deezer dont il était le sous-traitant. Particularité : c'est le sous-traitant lui-même qui a été directement sanctionné, mais Deezer (le responsable de traitement) a également subi un impact réputationnel majeur et a dû gérer toute la crise de communication.
L'analogie de la caution : C'est comme lorsque des parents se portent caution pour la location d'un appartement de leur enfant. Si l'enfant ne paie plus le loyer, les parents sont juridiquement responsables vis-à-vis du propriétaire. De même, si votre sous-traitant est négligent et provoque une violation de données, vous êtes légalement responsable devant la CNIL et les personnes concernées.
Imaginez : vous avez confié la gestion des paies à une entreprise tierce utilisant un logiciel SaaS. Cette entreprise détient des informations confidentielles sur tous vos salariés (numéros de sécurité sociale, coordonnées bancaires, situation familiale, arrêts maladie, données disciplinaires en cas de litiges). Si cette entreprise subit une cyberattaque et perd le contrôle de ces données qui se retrouvent publiées sur le dark web, vous avez tous les torts aux yeux de la loi. Vos salariés vous tiendront pour responsable, la CNIL vous sanctionnera, et vous devrez porter plainte contre votre prestataire pour tenter de récupérer les montants... avec un succès incertain.
Le contrat avec le sous-traitant : points clés et obligations
Due diligence : évaluer votre sous-traitant AVANT de signer
Avant de déléguer quoi que ce soit, interrogez-vous sur le sérieux et la fiabilité du sous-traitant. C'est une démarche de due diligence indispensable, d'autant plus en 2026 avec la multiplication des sanctions visant les "chaînes de sous-traitance" défaillantes.
Questions essentielles à poser :
- Offre-t-il des garanties suffisantes en matière de sécurité et de protection des données ?
- Est-il certifié (ISO 27001, HDS pour la santé) ou labellisé ?
- Connaît-il précisément le RGPD et ses obligations en tant que sous-traitant ?
- Quelles mesures de sécurité techniques et organisationnelles adopte-t-il concrètement ?
- Détenez-vous un document de conformité ou un audit récent de ses opérations de traitement ?
- Où sont hébergées les données ? Dans l'UE ou hors UE ? Avec quelles garanties ?
- Dispose-t-il d'un DPO (obligatoire pour certains sous-traitants) ?
- A-t-il déjà subi des violations de données ? Comment a-t-il réagi ?
- Quelle est sa capacité financière à assumer sa responsabilité en cas d'incident ?
Leto vous aide à auditer vos sous-traitants parmi une base de 6,000+ prestataires pré-évalués, avec leurs certifications, garanties de sécurité, et niveaux de conformité RGPD documentés.
Le contrat de sous-traitance (DPA) : mentions obligatoires
L'article 28 du RGPD impose qu'un contrat écrit (ou acte juridique) lie le responsable de traitement et le sous-traitant. Ce document, souvent appelé DPA (Data Processing Agreement) ou contrat de traitement de données, est obligatoire et doit contenir des clauses spécifiques.
Ce contrat doit définir :
L'objet du traitement : Description précise des opérations réalisées par le sous-traitant (hébergement, maintenance, support client, envoi de newsletters, traitement de paies, etc.).
La durée du traitement : Pendant toute la durée du contrat commercial principal, ou durée spécifique si différente.
La nature et les finalités du traitement : Pourquoi ces données sont-elles traitées ? (gestion de la relation client, marketing, RH, comptabilité, sécurité).
Les catégories de données personnelles : Quelles données exactement ? (identité, coordonnées, données bancaires, données de santé, logs de connexion).
Les catégories de personnes concernées : Clients, prospects, salariés, visiteurs du site web, etc.
Les obligations et droits du responsable de traitement : Pouvoir d'audit, droit d'accès aux infrastructures, reporting régulier, etc.
Les obligations du sous-traitant : Nombreuses et détaillées ci-dessous.
Mesures de sécurité techniques et organisationnelles : Description des mesures mises en œuvre (chiffrement, contrôle d'accès, MFA, sauvegardes, tests d'intrusion, formation des équipes, gestion des incidents).
Sort des données en fin de contrat : Que deviennent les données quand le contrat prend fin ? Restitution au responsable de traitement, suppression certifiée, ou conservation avec durée et justification.
Sous-traitance ultérieure : Conditions dans lesquelles le sous-traitant peut faire appel à un autre sous-traitant (sous-traitant du sous-traitant), avec autorisation préalable écrite obligatoire.
Assistance en cas d'exercice des droits : Le sous-traitant doit aider le responsable de traitement à répondre aux demandes des personnes (accès, rectification, effacement, portabilité, opposition).
Assistance en cas de violation de données : Le sous-traitant notifie immédiatement (dans les heures qui suivent la découverte) toute violation au responsable de traitement et l'assiste dans la gestion de la crise et la notification CNIL.
Assistance pour les analyses d'impact (AIPD) : Si nécessaire, le sous-traitant fournit les informations permettant au responsable de traitement de réaliser son AIPD.
Responsabilité et indemnisation : Répartition des responsabilités en cas de manquement, plafonds d'indemnisation, assurances.
Les obligations du sous-traitant envers le responsable de traitement
Pour honorer parfaitement ce contrat, le sous-traitant doit impérativement :
Traiter les données uniquement sur instruction documentée : Aucune initiative personnelle. Tout traitement non expressément autorisé par le responsable de traitement est interdit. Les instructions doivent être écrites et conservées.
Garantir la confidentialité : S'assurer que les personnes autorisées à traiter les données s'engagent à respecter la confidentialité (clauses de confidentialité dans les contrats de travail, NDA).
Mettre en œuvre des mesures de sécurité appropriées (article 32 RGPD) : Chiffrement, pseudonymisation, résilience des systèmes, tests réguliers, plan de reprise d'activité.
Obtenir l'autorisation écrite préalable pour tout recours à un autre sous-traitant : Pas de sous-traitance "sauvage". Le responsable de traitement doit valider chaque nouveau maillon de la chaîne.
Coopérer avec l'autorité de contrôle : Répondre aux demandes de la CNIL, faciliter les audits et inspections.
Assister le responsable de traitement : Pour les exercices de droits, les violations de données, les AIPD, les audits de conformité.
Tenir son propre registre des activités de traitement (article 30 RGPD) : Format "registre sous-traitant" avec mention de tous les responsables de traitement pour lesquels il agit et les catégories de traitements réalisés.
Restituer ou supprimer les données en fin de contrat : Sauf obligation légale de conservation. Fournir un certificat de destruction si demandé.
Nommer un DPO si nécessaire : Obligatoire si le sous-traitant traite à grande échelle des données sensibles ou si ses activités principales nécessitent un suivi régulier et systématique à grande échelle des personnes.
Clauses contractuelles types et certifications
Pour faciliter la rédaction de ces contrats et démontrer la conformité, le RGPD prévoit plusieurs outils :
Clauses Contractuelles Types (CCT) : Modèles de clauses adoptés par la Commission Européenne, utilisables tels quels. Particulièrement utiles pour les transferts de données hors UE vers des pays tiers sans décision d'adéquation.
Codes de conduite : Référentiels sectoriels approuvés par les autorités de contrôle. Un sous-traitant adhérant à un code de conduite démontre son engagement de conformité.
Mécanismes de certification : Labels et certifications (ISO 27001, HDS, certifications RGPD spécifiques) permettant de prouver rapidement les garanties offertes.
Le co-responsable de traitement : un partenariat à encadrer
Définition et exemples de co-responsabilité
La co-responsabilité (ou responsabilité conjointe) existe lorsque deux ou plusieurs organismes déterminent conjointement les finalités et les moyens du traitement (article 26 RGPD).
Critères de co-responsabilité :
- Décision commune ou convergente sur les finalités (pourquoi traiter ces données)
- Décision commune ou convergente sur les moyens essentiels (comment traiter ces données : quelles données, quelles durées, quels outils)
- Participation conjointe à la détermination, même si le niveau d'implication diffère
Attention : La co-responsabilité ne nécessite pas un accès égal aux données, ni une implication identique dans toutes les opérations. Il suffit que les deux parties aient participé conjointement à la détermination des finalités et moyens, même si l'une est plus impliquée que l'autre dans la mise en œuvre opérationnelle.
Exemple de la Commission Européenne : Vous êtes spécialiste de la garde d'enfants et votre activité repose sur une plateforme en ligne de mise en relation avec les parents. Une autre entreprise propose des services complémentaires : location de jeux pour enfants. Vous concluez un accord pour mutualiser votre plateforme et votre fichier clients. Les parents peuvent désormais choisir un baby-sitter ET, s'ils le souhaitent, louer des jeux via la même interface.
Analyse : Vous décidez conjointement de créer cette plateforme unifiée (finalité commune : offrir un service global aux parents), de partager le fichier clients (moyen commun), de définir les données collectées, les durées de conservation, les fonctionnalités de la plateforme. Vous êtes co-responsables du traitement.
Autre exemple : Deux entreprises organisent conjointement un salon professionnel. Elles créent ensemble un formulaire d'inscription en ligne, décident des informations à collecter auprès des visiteurs (nom, entreprise, fonction, email, centres d'intérêt), et conviennent de partager cette base pour leurs actions marketing respectives après le salon. Co-responsabilité évidente.
Exemple plus subtil : Une entreprise utilise un plugin social (bouton "J'aime" Facebook, bouton "Share" LinkedIn) sur son site web. Dès que la page charge, le plugin transmet des données (adresse IP du visiteur, pages consultées) au réseau social, même si le visiteur ne clique pas. L'entreprise et le réseau social déterminent conjointement cette transmission de données. Co-responsabilité reconnue par la CJUE (arrêt Fashion ID, 2019).
Le co-responsable de traitement : plus d'autonomie qu'un sous-traitant
Un co-responsable bénéficie de plus d'autonomie décisionnelle qu'un sous-traitant. Il n'est pas un simple exécutant sur instruction, mais un véritable partenaire qui participe aux décisions stratégiques sur le traitement des données.
Différence clé :
- Sous-traitant : Zéro pouvoir de décision, exécute sur instruction
- Co-responsable : Pouvoir de décision partagé, contribue activement à définir le "pourquoi" et le "comment"
L'accord de co-responsabilité : un contrat obligatoire
L'article 26 du RGPD impose que les co-responsables définissent leurs responsabilités respectives dans un accord (contrat, protocole, convention). Cet accord doit être transparent : son essence doit être mise à disposition des personnes concernées.
Ce contrat doit préciser :
La répartition des responsabilités : Qui fait quoi concrètement ?
- Qui répond aux demandes d'exercice des droits (accès, rectification, effacement) ?
- Qui gère les consentements et leur recueil ?
- Qui assure les mesures de sécurité ?
- Qui tient le registre des traitements ?
- Qui rédige les mentions d'information et la politique de confidentialité ?
La répartition des obligations : Qui est responsable devant la CNIL pour chaque aspect ?
- Notification des violations de données : qui notifie ? Qui informe les personnes ?
- Réalisation d'AIPD : qui pilote ?
- Coopération avec les autorités de contrôle : qui représente les co-responsables ?
Les modalités de coopération en cas de violation de données : Procédure de notification interne entre co-responsables, délais, informations à transmettre, gestion de crise commune.
Le point de contact pour les personnes concernées : Les personnes doivent savoir vers qui se tourner pour exercer leurs droits. L'accord peut désigner un co-responsable comme point de contact unique, mais cela n'exonère pas l'autre co-responsable qui reste solidairement responsable.
Important : Même si l'accord interne répartit les responsabilités, les personnes concernées peuvent exercer leurs droits auprès de n'importe lequel des co-responsables, et ce co-responsable doit pouvoir répondre (quitte à coordonner en interne). De même, la CNIL peut sanctionner chacun des co-responsables, indépendamment de la répartition interne des tâches.
Responsabilités et sanctions en 2026 : ce que vous risquez
Le responsable de traitement est toujours responsable
Règle d'or : Le responsable de traitement porte la responsabilité ultime de la conformité, même lorsqu'il sous-traite. Les sanctions CNIL 2025-2026 l'ont démontré avec une clarté brutale.
Free 42M€ (janvier 2026) : Responsable de traitement sanctionné pour violation massive suite à des failles de sécurité, même si des aspects techniques étaient confiés à des prestataires.
Amazon France Logistique 32M€ (janvier 2024) : Responsable de traitement sanctionné pour surveillance excessive des salariés via des outils fournis par des sous-traitants.
Google 325M€ (septembre 2025) : Responsable de traitement sanctionné pour cookies publicitaires déposés sans consentement via des systèmes techniques complexes impliquant de multiples prestataires.
Les sous-traitants peuvent aussi être sanctionnés directement
Nouveauté renforcée en 2025-2026 : Les autorités n'hésitent plus à sanctionner directement les sous-traitants lorsqu'ils sont à l'origine de manquements graves, en plus ou à la place du responsable de traitement.
Mobius Solutions 1M€ (décembre 2025) : Sous-traitant sanctionné pour violation de données de Deezer dont il était le prestataire. La CNIL a considéré que les manquements de sécurité incombaient directement au sous-traitant.
Nexpublica France 1,7M€ (décembre 2025) : Sous-traitant développant un logiciel pour des MDPH (Maisons Départementales des Personnes Handicapées), sanctionné pour mesures de sécurité insuffisantes ayant permis à des usagers d'accéder à des documents d'autres personnes.
Leçon : Un sous-traitant négligent risque désormais une double sanction : celle de la CNIL (amendes administratives) + celle de son client responsable de traitement (dommages et intérêts, résiliation du contrat, atteinte réputationnelle).
Responsabilité solidaire des co-responsables
En cas de co-responsabilité, chaque co-responsable peut être tenu responsable de l'intégralité du dommage vis-à-vis des personnes concernées et de la CNIL, indépendamment de la répartition interne des tâches définie dans l'accord.
Ensuite, en interne, les co-responsables peuvent se retourner l'un contre l'autre selon la répartition de responsabilité convenue contractuellement. Mais cette répartition interne n'est pas opposable aux personnes concernées ni à la CNIL.
Leto vous aide à sécuriser votre chaîne de traitement
Identifier précisément votre rôle et celui de vos partenaires, auditer vos sous-traitants, rédiger des contrats conformes, maintenir à jour votre registre des traitements, documenter vos relations : autant de chantiers complexes et chronophages. Leto automatise et simplifie ces processus.
Gestion des sous-traitants : Base de 6,000+ sous-traitants pré-audités avec certifications, garanties de sécurité, et conformité RGPD documentées. Identifiez rapidement les prestataires fiables, vérifiez leurs références, comparez leurs niveaux de protection.
Génération automatique de contrats DPA : Modèles de contrats de sous-traitance conformes à l'article 28 RGPD, personnalisables en quelques clics, avec toutes les clauses obligatoires pré-remplies.
Suivi des relations contractuelles : Centralisez tous vos contrats avec vos sous-traitants, recevez des alertes avant les dates de renouvellement, suivez les audits périodiques, vérifiez que les DPA sont signés.
Registre des traitements automatisé : Identifiez automatiquement vos traitements et vos sous-traitants impliqués dans chaque traitement, documentez les flux de données, générez votre registre responsable de traitement ou sous-traitant selon votre statut.
Gestion des co-responsabilités : Modèles d'accords de co-responsabilité, répartition claire des obligations, suivi des actions de chaque co-responsable.
Audits de conformité : Questionnaires automatisés pour vos sous-traitants, scoring de conformité, identification des risques, plans d'action priorisés.
Hari, l'assistant IA RGPD : Réponses instantanées sur votre statut juridique dans une relation donnée (responsable de traitement, sous-traitant, co-responsable ?), conseils sur les clauses contractuelles à négocier, aide à la qualification des rôles dans des situations complexes.
Demandez une démonstration pour découvrir comment Leto sécurise juridiquement vos chaînes de traitement et vous protège des sanctions.
Conclusion : bien qualifier les rôles, une nécessité vitale en 2026
Responsable de traitement, sous-traitant, co-responsable : ces qualifications ne sont pas de simples étiquettes théoriques. Ce sont des statuts juridiques précis avec des obligations distinctes et des responsabilités potentiellement lourdes.
Avec 87 sanctions CNIL en 2025 (+107%), des amendes record (Free 42M€, Google 325M€), et la multiplication des sanctions visant directement les sous-traitants (Mobius 1M€, Nexpublica 1,7M€), mal identifier votre rôle ou celui de vos partenaires peut coûter très cher.
Les erreurs à éviter absolument :
- Considérer qu'un sous-traitant est autonome et donc pas votre responsabilité
- Ne pas formaliser la relation par un contrat DPA conforme à l'article 28
- Ne pas auditer régulièrement vos sous-traitants
- Ignorer qu'une co-responsabilité peut exister même sans le vouloir (plugins sociaux, partenariats)
- Ne pas répartir clairement les responsabilités entre co-responsables
Les bonnes pratiques 2026 :
- Cartographier systématiquement tous vos prestataires accédant à des données personnelles
- Qualifier précisément le rôle de chacun (sous-traitant ? co-responsable ?)
- Vérifier les garanties de sécurité AVANT de signer
- Rédiger des contrats DPA complets avec toutes les clauses obligatoires
- Auditer périodiquement vos sous-traitants (au moins annuellement)
- Former vos équipes à reconnaître quand un nouveau prestataire doit être audité
- Documenter toutes ces relations dans votre registre des traitements
La vigilance est de mise. Votre responsabilité juridique et financière est en jeu. Des interrogations subsistent sur votre conformité RGPD ou sur la qualification de vos relations ? Le logiciel RGPD Leto vous accompagne à chaque étape et sécurise vos chaînes de traitement.
Articles complémentaires
Gestion des sous-traitants : audit et conformité
Registre des traitements : guide complet 2026
Clauses Contractuelles Types : définition et usage
DPO : rôle, missions et obligations
Sanctions RGPD : montants et cas réels 2026
