Aucune entreprise ne traite seule ses données : elle s'appuie sur des prestataires, un sujet encadré strictement par le RGPD et détaillé sur notre pilier RGPD & conformité des données. Cette page traite des sous-traitants et des transferts hors Union européenne.
Sous-traitants RGPD et transferts internationaux de données
Contrat de sous-traitance, responsabilité de l'entreprise, outils américains : comment le RGPD encadre vos prestataires et vos transferts de données.
Le contrat de sous-traitance RGPD (article 28)
Tout prestataire qui traite des données personnelles pour le compte de l'entreprise — hébergeur, éditeur SaaS, agence marketing — doit être lié par un contrat de sous-traitance conforme à l'article 28 du RGPD, précisant la nature et la finalité du traitement, les garanties de sécurité apportées et les obligations réciproques des deux parties. Vérifier la conformité RGPD d'un prestataire avant de le choisir passe par l'examen de ce contrat type qu'il propose, de sa politique de sécurité, et de la localisation réelle des données qu'il traitera pour le compte de l'entreprise.
La responsabilité de l'entreprise vis-à-vis de ses sous-traitants
L'entreprise reste responsable, au sens du RGPD, du respect de la réglementation par ses sous-traitants : choisir un prestataire non conforme, ou ne pas vérifier ses garanties avant de lui confier des données, expose l'entreprise elle-même à un risque en cas de manquement constaté chez ce prestataire. Cette responsabilité partagée justifie une vigilance réelle au moment du choix d'un nouveau prestataire, plutôt qu'une confiance aveugle basée sur la seule réputation commerciale de l'outil ou du service concerné.
Transferts hors UE et outils américains
Le RGPD encadre strictement les transferts de données personnelles hors de l'Union européenne, en imposant des garanties supplémentaires (clauses contractuelles types, mécanismes de certification) lorsque le pays de destination n'offre pas un niveau de protection jugé équivalent. Utiliser des outils américains (cloud, messagerie) tout en respectant le RGPD reste possible, à condition que ces garanties supplémentaires soient effectivement en place — un point que de nombreuses entreprises négligent en utilisant, souvent sans le savoir précisément, des outils qui impliquent ce type de transfert international.
Le cloud souverain, une réponse suffisante ?
Le Data Privacy Framework est un mécanisme d'accord entre l'Union européenne et les États-Unis censé faciliter et sécuriser juridiquement les transferts de données vers des entreprises américaines certifiées, bien que sa robustesse juridique fasse l'objet de débats et d'évolutions régulières. Le cloud souverain, dont l'infrastructure et la gouvernance garantissent une localisation strictement européenne des données, apporte une réponse plus radicale à cette problématique de transfert international, sans pour autant être systématiquement nécessaire pour toutes les entreprises : son intérêt dépend de la sensibilité réelle des données traitées et du secteur d'activité concerné.
Voir aussi
Cette page complète le pilier RGPD & conformité des données. Voir aussi le cloud souverain, la sécurité et la conformité pour approfondir ce sujet côté hébergement.
Questions fréquentes
Qu'est-ce qu'un contrat de sous-traitance RGPD (article 28) et pourquoi est-il obligatoire ?
C'est le contrat qui encadre toute délégation du traitement de données personnelles à un prestataire externe, précisant les garanties de sécurité et les obligations de chaque partie, imposé par l'article 28 du RGPD.
L'entreprise reste-t-elle responsable si un de ses sous-traitants ne respecte pas le RGPD ?
Oui, l'entreprise reste responsable au sens du RGPD du respect de la réglementation par ses sous-traitants, ce qui justifie une vérification sérieuse de leurs garanties avant tout choix.
Peut-on utiliser des outils américains (cloud, messagerie) tout en respectant le RGPD ?
Oui, à condition que des garanties supplémentaires encadrant légalement ce transfert international soient effectivement en place, comme des clauses contractuelles types ou une certification reconnue.
Qu'est-ce que le Data Privacy Framework et que change-t-il pour les entreprises européennes ?
C'est un mécanisme d'accord entre l'UE et les États-Unis facilitant les transferts vers des entreprises américaines certifiées, bien que sa robustesse juridique fasse l'objet de débats et d'évolutions régulières.