Le responsable de traitement et le sous-traitant occupent des places différentes dans le RGPD, mais leur articulation détermine la solidité d’une gouvernance des données. Dans une PME, cette différence se voit souvent au quotidien : celui qui décide pourquoi les données sont collectées n’a pas le même rôle que celui qui exécute le traitement des données pour son compte.
Cette répartition n’est pas qu’une question de vocabulaire juridique. Elle touche la protection des données, la rédaction du contrat de sous-traitance, la maîtrise du transfert de données et l’organisation des obligations légales, jusqu’aux réponses à apporter en cas d’incident de sécurité des données, d’où l’intérêt de garder en tête les responsabilités concrètes de chacun.
A retenir :
- Décision des finalités, pouvoir de contrôle, responsabilité juridique
- Exécution sur instruction, garanties techniques, confidentialité renforcée
- Contrat écrit, clauses précises, audits possibles
- Registre, incidents, sécurité, traçabilité opérationnelle
- Co-responsabilité, partage clair, information transparente
Responsable de traitement RGPD : la décision avant tout
Le passage du cadre général à la pratique commence ici, parce que tout repose sur l’identification de celui qui décide réellement. Selon la CNIL, le responsable de traitement est l’acteur qui détermine les finalités et les moyens essentiels du traitement, même si un prestataire opère techniquement l’outil.
Dans une entreprise de vente en ligne, par exemple, la direction commerciale décide de collecter des adresses, de fixer la durée de conservation et de lancer des campagnes ciblées. Le prestataire d’hébergement, lui, ne choisit ni l’usage ni l’objectif ; il fournit une infrastructure et suit des instructions, ce qui change tout pour les responsabilités.
Selon la CNIL, la distinction se lit dans la capacité à décider du “pourquoi” et du “comment” essentiel. Cette approche aide à éviter une erreur fréquente : croire qu’un éditeur logiciel devient responsable parce qu’il manipule les données au quotidien.
À retenir : la maîtrise des finalités, la gouvernance des moyens et la démonstration documentaire forment le cœur du rôle.
La pratique peut sembler abstraite, alors qu’elle se matérialise dans des décisions très concrètes. Faut-il collecter toutes les données d’un formulaire, conserver six mois ou deux ans, ou limiter l’accès à quelques collaborateurs ?
Dans un cabinet de recrutement, le responsable de traitement choisit le contenu du dossier candidat, la durée de conservation et les destinataires internes. Le logiciel RH peut être externalisé, mais la ligne directrice reste fixée par l’organisation qui recrute.
À retenir : registre à jour, information claire, contrôle effectif des sous-traitants.
Voici un repère utile pour distinguer décision stratégique et exécution technique.
Situation
Rôle principal
Décision sur les finalités
Décision sur les moyens essentiels
Entreprise cliente d’un logiciel
Responsable de traitement
Oui
Oui, sur les choix essentiels
Hébergeur technique
Sous-traitant
Non
Non, hors paramètres techniques
Collecte de candidats
Responsable de traitement
Oui
Oui
Agence gérant des campagnes email
Sous-traitant
Non
Non, instructions obligatoires
Selon la CNIL, un acteur peut rester responsable même lorsqu’il délègue l’exécution à plusieurs prestataires. Cette réalité explique pourquoi la documentation interne, le registre et les politiques de confidentialité ne sont pas accessoires, mais structurants.
Le point suivant devient alors décisif : quand l’organisation confie une tâche à un autre acteur, la frontière avec le sous-traitant doit être verrouillée. C’est là que le contrat, les instructions et les contrôles prennent toute leur place.
Identifier le responsable dans les cas concrets
Ce repérage s’inscrit directement dans la logique précédente, car il évite les confusions coûteuses. Un groupe de sociétés, une association ou une administration peut concentrer la décision ailleurs que dans l’outil utilisé.
Un exemple parlant : une clinique choisit les dossiers à constituer et la durée de conservation, tandis qu’un éditeur santé paramètre seulement la plateforme. La clinique reste le responsable de traitement, parce qu’elle garde la main sur l’objectif et sur les paramètres déterminants.
À retenir : pouvoir de décision, finalités définies, moyens essentiels maîtrisés.
Le regard se déplace maintenant vers l’exécutant, car une mauvaise qualification contractuelle fragilise vite la conformité. C’est justement le rôle du sous-traitant qui doit être cadré avec précision.
« J’ai revu mes formulaires de recrutement après avoir compris que l’entreprise restait responsable, même avec un outil externalisé. »
Marie L., responsable RH
Cette prise de conscience change souvent la manière de gérer les prestataires. On cesse de “déléguer la conformité” et l’on commence à piloter des obligations réelles.
Sous-traitant RGPD : exécuter sans décider
Le passage à l’exécution montre pourquoi le sous-traitant n’est pas un simple partenaire technique. Selon le RGPD, il traite les données pour le compte du responsable, sans déterminer librement les finalités ni les moyens essentiels.
Dans une agence marketing, cela signifie répondre à des instructions documentées, respecter la confidentialité et éviter toute réutilisation autonome. Cette position peut sembler étroite, mais elle protège le cadre juridique de l’entreprise cliente et les personnes concernées.
Clauses à surveiller :
- Objet, durée et nature du traitement
- Confidentialité des équipes autorisées
- Assistance pour les droits des personnes
- Sort des données en fin de prestation
- Audit, traçabilité, notification d’incident
Selon l’article 28 du RGPD, le contrat de sous-traitance doit préciser l’objet, la durée, la nature et la finalité des opérations. Il doit aussi encadrer les transferts, les sous-sous-traitants et les mesures de sécurité des données.
Cette exigence évite les zones grises, notamment quand un prestataire change d’outil, d’hébergeur ou de pays d’exécution. Un contrat vague laisse place aux malentendus, alors qu’un cadre précis permet d’agir vite en cas de risque.
À retenir : instruction écrite, confidentialité, assistance, restitution ou suppression des données.
Pour un responsable, la question n’est donc pas seulement “qui fait quoi ?”, mais “qui peut prouver quoi ?”. Cette preuve devient centrale lorsque plusieurs acteurs interviennent dans la même chaîne.
À ce stade, le contrat ne suffit pas à lui seul ; il doit s’accompagner d’audits, de vérifications et d’une chaîne de sous-traitance surveillée. Le prochain angle porte justement sur ces situations partagées et sur les obligations communes.
Le contrat de sous-traitance comme preuve de conformité
Ce point découle naturellement du précédent, car la conformité se matérialise dans les clauses et les contrôles. Le contrat fixe les instructions, mais il doit aussi permettre de vérifier que le prestataire respecte bien ses limites.
Dans un service de paie externalisé, par exemple, le sous-traitant reçoit des données sensibles, les traite sous consigne et retourne les résultats sans autonomie stratégique. Le contrat précise alors les durées, les accès, les audits possibles et le sort des copies résiduelles.
À retenir : clauses précises, vérification périodique, chaîne de sous-traitance maîtrisée.
La suite naturelle consiste à regarder les situations où deux acteurs décident ensemble, car le RGPD prévoit aussi cette hypothèse. C’est souvent là que les responsabilités se compliquent réellement.
« Après un audit interne, nous avons imposé des clauses d’audit et de suppression finale. La relation avec le prestataire est devenue plus nette et plus sûre. »
Thomas B., DPO
Cette vigilance contractuelle évite des discussions tardives lorsque survient un incident. Elle pose aussi des bases utiles pour la répartition des rôles en co-responsabilité.
Co-responsables, sécurité et incidents : organiser les responsabilités
Le passage au niveau collectif s’impose dès que plusieurs acteurs déterminent ensemble les finalités ou les moyens du traitement. Selon le RGPD, ils deviennent alors co-responsables et doivent répartir leurs obligations de manière transparente.
Dans la santé, la recherche ou la publicité numérique, cette situation apparaît souvent quand une plateforme, un client et un intégrateur conçoivent ensemble une base partagée. Sans accord clair, l’exercice des droits et les réponses aux incidents deviennent vite confus.
Points à formaliser :
- Répartition des obligations d’information
- Gestion des demandes d’accès et d’effacement
- Point de contact pour les personnes concernées
- Répartition des mesures de sécurité
- Gestion conjointe des preuves et audits
Selon l’article 26 du RGPD, les grandes lignes de l’accord doivent être accessibles aux personnes concernées. Cela apporte de la lisibilité, surtout quand un incident éclate et que chacun cherche qui doit répondre.
La sécurité des données ne se limite pas aux pare-feu. Elle englobe le chiffrement, le contrôle des accès, la pseudonymisation, les tests réguliers et la capacité à restaurer un service après un incident.
À retenir : prévention, coordination, traçabilité, capacité de réaction rapide.
Le tableau suivant aide à comparer les responsabilités les plus sensibles lorsqu’un traitement devient risqué. Il clarifie aussi le lien entre gouvernance et sécurité opérationnelle.
Situation
Acteur principal
Obligation phare
Risque si omission
Violation de données
Responsable de traitement
Notifier rapidement
Sanction et perte de confiance
Incident détecté chez un prestataire
Sous-traitant
Alerter sans délai
Retard de réaction
Traitement à risque élevé
Responsable de traitement
Analyse d’impact
Décision mal préparée
Suivi d’un traitement partagé
Co-responsables
Accord transparent
Répartition contestée
Un responsable avisé ne découvre pas ces obligations au moment du problème ; il les prépare en amont, avec son DPO et ses prestataires. Cette anticipation devient encore plus utile lorsqu’un traitement implique un transfert hors Union européenne ou une activité suivie par plusieurs acteurs.
Le dernier angle porte donc sur l’architecture complète : registre, analyse d’impact, contrôle, puis certification. C’est souvent ce niveau de preuve qui distingue une conformité fragile d’une conformité maîtrisée.
Prévenir l’incident plutôt que le subir
Ce volet prolonge la logique précédente, car la meilleure gestion de crise repose sur l’anticipation. Un registre à jour, une analyse d’impact sérieuse et des tests de sécurité réduisent nettement l’improvisation.
Dans une société qui manipule des données de santé ou des profils à risque, la question n’est plus théorique. Elle devient très concrète : qui alerte, qui tranche, qui documente, qui informe ?
À retenir : préparation documentaire, rôles clairs, réaction rapide, preuve des mesures.
Quand ces éléments sont réunis, le responsable de traitement garde la maîtrise du cadre, le sous-traitant reste à sa place, et les droits des personnes gagnent en lisibilité.
« En audit, j’ai surtout compris qu’un bon registre et des tests réguliers valent mieux qu’un discours rassurant. »
Claire M., consultante RGPD, Le Journal du Numérique
Cette discipline documentaire permet aussi d’aligner la stratégie juridique et les outils concrets. Elle prépare enfin l’usage raisonné des codes de conduite et des certifications.
Cadre de confiance :
- Codes de conduite sectoriels
- Certifications de protection des données
- Registres disponibles sur demande
- Preuves d’audit conservées
- Mesures révisées selon les risques
Selon la Commission européenne et la CNIL, les mécanismes de certification et les codes de conduite peuvent aider à démontrer la conformité, sans remplacer les obligations légales. Cette nuance compte, car une marque de confiance ne dispense jamais d’un pilotage sérieux.
Source : CNIL, « Responsable du traitement, sous-traitant, co-responsable : bien distinguer les rôles », CNIL, ; Commission européenne, « Règlement (UE) 2016/679 (RGPD) », EUR-Lex, ; Guillaume Leclerc, « Responsable de traitement RGPD : guide complet, obligations et exemples », 2026.
