Votre prestataire héberge vos données clients, paie, patients ou salariés, puis refuse de signer le contrat de sous-traitance que le RGPD impose, ou refuse de vous restituer vos fichiers quand vous changez de fournisseur. La situation est courante : éditeur de logiciel, hébergeur, agence marketing, prestataire de paie ou de vidéosurveillance exigent parfois que vous acceptiez leurs conditions générales telles quelles, sans avenant de protection des données, et conservent vos bases après la fin du contrat. Pour le responsable du traitement que vous êtes, l’enjeu est double : votre propre conformité dépend d’un contrat que l’autre partie ne veut pas signer, et vos données restent entre des mains qui n’ont plus de titre pour les garder.
Le droit applicable est pourtant direct. Le traitement par un sous-traitant est régi par un contrat qui lie le sous-traitant à l’égard du responsable du traitement, et ce contrat doit régler l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées. À la fin de la prestation, le prestataire doit, selon votre choix, supprimer les données ou vous les renvoyer. Quand il refuse, la voie utile n’est pas celle que beaucoup imaginent : le Conseil d’État a jugé le 27 août 2026 qu’un responsable de traitement qui saisit la CNIL pour obtenir la restitution de ses données auprès de son sous-traitant ne présente pas une réclamation au sens du RGPD, et ne peut donc pas obtenir du juge administratif l’annulation de la clôture de sa saisine. C’est devant le juge judiciaire, par la mise en demeure, l’audit, la suspension des flux puis l’action en exécution et en réparation, que le blocage se résout. Cet article décrit le contenu obligatoire du contrat, la méthode pour contraindre un prestataire qui refuse, et les conditions dans lesquelles le préjudice se répare, en tenant compte de l’arrêt de la chambre sociale de la Cour de cassation du 24 juin 2026 qui rappelle qu’une simple violation du RGPD n’ouvre pas, à elle seule, droit à réparation.
I. Le contrat de sous-traitance, une obligation qui ne se négocie pas
A. Un contrat écrit et complet est exigé dès qu’un prestataire traite des données pour votre compte
Le point de départ tient à l’article 28 du RGPD : lorsqu’un traitement doit être effectué pour son compte, le responsable du traitement doit faire appel uniquement à des prestataires offrant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à ce que le traitement respecte le règlement et protège les droits des personnes. Autrement dit, choisir un prestataire sans vérifier ses garanties, ou travailler sans contrat de sous-traitance, place le responsable du traitement lui-même en manquement. La CNIL le rappelle dans sa page consacrée au travail avec un sous-traitant et dans son guide destiné aux sous-traitants : le contrat n’est pas une option commerciale, c’est une condition de licéité du recours à la sous-traitance.
Le même article 28 impose le contenu de ce contrat, souvent appelé DPA. Le traitement confié à un sous-traitant doit être encadré par un contrat ou un acte juridique qui lie le prestataire envers le responsable, et qui définit l’objet et la durée du traitement, sa nature et sa finalité, les types de données, les catégories de personnes concernées ainsi que les obligations et les droits de chaque partie. Concrètement, l’annexe de traitement doit décrire la prestation réelle, les finalités poursuivies, les catégories de données et de personnes concernées, ainsi que la durée du traitement, qui ne se confond pas avec la durée du contrat commercial : les données ne peuvent être conservées chez le prestataire au-delà de ce qui est nécessaire, et leur sort à la fin de la prestation doit être écrit à l’avance.
Huit stipulations minimales doivent ensuite figurer dans le contrat. Le sous-traitant ne traite les données que sur instruction documentée du responsable, y compris pour les transferts hors Union européenne, il garantit la confidentialité des personnes autorisées, il prend les mesures de sécurité requises, il respecte le régime des sous-traitants ultérieurs, il aide le responsable à répondre aux demandes d’exercice des droits des personnes, il aide au respect des obligations de sécurité, de notification de violation et d’analyse d’impact, il restitue ou supprime les données en fin de prestation, et il se soumet à l’audit. Chacune de ces clauses répond à un risque précis : sans instruction documentée, le prestataire décide seul des finalités et devient responsable du traitement sans l’avoir voulu ; sans clause de restitution, la sortie du contrat tourne au contentieux ; sans clause d’audit, le responsable ne peut pas démontrer sa conformité en cas de contrôle de la CNIL. Le contrat doit être établi par écrit, y compris sous forme électronique, ce qui exclut les engagements purement verbaux du commercial.
Deux clauses méritent une attention particulière parce qu’elles concentrent la plupart des refus. La première est la restitution de fin de contrat : selon le choix du responsable du traitement, le prestataire supprime toutes les données ou les lui renvoie au terme de la prestation, puis détruit les copies existantes, sauf si le droit de l’Union ou le droit national impose leur conservation. Le choix appartient donc au client, pas au prestataire : c’est vous qui décidez entre suppression et renvoi, et le prestataire doit détruire ses copies, sauf obligation légale de conservation qu’il doit alors identifier précisément. Un prestataire qui prétend garder une copie de sécurité ou qui conditionne la restitution au paiement de factures contestées méconnaît cette clause dès lors qu’elle figure au contrat, et commet une faute s’il refuse de la signer. La seconde clause sensible est l’audit : le sous-traitant met à disposition du responsable toutes les informations nécessaires pour démontrer le respect de ses obligations et pour permettre des audits, y compris des inspections menées par le responsable ou un auditeur mandaté, auxquels il doit contribuer. Un prestataire qui refuse tout audit, ou qui ne propose qu’une certification générale sans accès aux constats, ne présente pas les garanties suffisantes exigées par le premier paragraphe de l’article.
Pour les entreprises qui traitent des volumes importants ou des données sensibles, comme les données de santé, de paie ou de vidéosurveillance, la négociation doit aussi porter sur les mesures de sécurité, la notification des violations dans un délai opérationnel compatible avec vos propres obligations, et l’information préalable avant tout changement de sous-traitant ultérieur. La CNIL propose des clauses contractuelles types entre responsable de traitement et sous-traitant, publiées le 30 juin 2021, qui peuvent servir de base : elles ne remplacent pas la description de votre traitement, mais elles garantissent que le socle obligatoire de l’article 28 est couvert. Les paragraphes 7 et 8 de l’article 28 prévoient d’ailleurs que la Commission européenne et les autorités de contrôle peuvent adopter de telles clauses types, ce qui leur donne une solidité particulière face à un prestataire qui conteste vos formulations maison.
B. Vérifier les garanties, encadrer les sous-traitants ultérieurs et garder la preuve de votre vigilance
Signer un DPA ne suffit pas : le responsable du traitement doit choisir un prestataire qui présente des garanties suffisantes et le contrôler pendant toute la relation. Avant la signature, exigez la documentation de sécurité, la localisation des hébergements, la liste des sous-traitants ultérieurs déjà recrutés et, pour les prestations sensibles, les certifications ou codes de conduite dont le prestataire se prévaut. L’application par le sous-traitant d’un code de conduite approuvé ou d’un mécanisme de certification approuvé peut servir d’élément pour démontrer l’existence de ces garanties, mais elle ne remplace ni le contrat ni votre propre analyse : une certification couvre un périmètre défini, et c’est à vous de vérifier qu’il correspond à votre traitement.
Le régime des sous-traitants ultérieurs est la principale source de dérive après la signature. Le sous-traitant ne peut pas recruter un autre sous-traitant sans l’autorisation écrite préalable du responsable du traitement, donnée de façon spécifique ou générale. Si vous donnez une autorisation générale, le prestataire doit vous informer de tout changement prévu, ajout ou remplacement, afin que vous puissiez vous y opposer. Exigez donc une liste nominative des sous-traitants ultérieurs en annexe, une notification préalable de tout changement avec un délai d’objection effectif, et la répercussion des mêmes obligations de protection des données à chaque niveau de la chaîne. La sanction est écrite dans le règlement : Quand cet autre sous-traitant manque à ses obligations de protection des données, le sous-traitant initial reste pleinement responsable devant le responsable du traitement de l’exécution de ces obligations par son propre sous-traitant. Votre contrat tient donc un seul débiteur, le prestataire signataire, même quand le manquement vient d’un hébergeur ou d’un outil qu’il a lui-même choisi.
Cette logique de chaîne vaut en particulier quand le prestataire ajoute un outil situé hors de l’Union européenne sans vous prévenir. La question du transfert se traite alors avec les instruments propres aux transferts, mais le premier levier reste le contrat de sous-traitance : instruction documentée couvrant les transferts, autorisation préalable et droit d’objection. Lorsqu’un éditeur ajoute un sous-traitant américain sans information ni autorisation, la méthode de réaction combine le blocage du flux, l’exigence d’un audit et la mise en cause contractuelle, comme le décrit l’analyse du cluster consacrée au cas de l’éditeur SaaS qui ajoute un sous-traitant américain sans prévenir. Le présent article traite le cas voisin mais distinct : celui où le prestataire refuse dès l’origine de signer le contrat, ou refuse en fin de relation de restituer les données.
Pendant l’exécution, conservez la preuve de votre vigilance : instructions écrites adressées au prestataire, comptes rendus d’audit, échanges sur les incidents, demandes d’exercice des droits transmises et réponses obtenues. Ces pièces serviront deux fois : devant la CNIL, pour démontrer que vous avez mis en œuvre les mesures appropriées et que le manquement vient du prestataire ; devant le juge judiciaire, pour établir la faute contractuelle et le préjudice. Le registre des activités de traitement doit refléter la réalité de la sous-traitance, avec l’identité du prestataire et les garanties prévues. Un registre muet sur un hébergeur qui conserve cinq ans de données clients affaiblit votre position dans tous les contentieux ultérieurs.
II. Le prestataire refuse de signer ou de restituer : la méthode qui tient
A. Mettre en demeure, auditer, suspendre les flux puis changer de prestataire, sans attendre de la CNIL ce qu’elle ne peut pas donner
Quand le prestataire refuse de signer le DPA, la première étape est une mise en demeure écrite qui vise précisément les textes et les clauses : objet et durée du traitement, instructions documentées, restitution ou suppression en fin de contrat, audit, sous-traitants ultérieurs. Joignez votre projet d’avenant fondé sur l’article 28, ou sur les clauses types de la CNIL, et fixez un délai de régularisation compatible avec la poursuite des flux. Cette mise en demeure n’est pas une formalité : elle établit que vous avez exigé la conformité, elle fait courir la démonstration de la mauvaise foi du prestataire, et elle conditionne la suite, suspension ou résiliation, en la rattachant à un manquement identifié plutôt qu’à une rupture brutale qui pourrait se retourner contre vous.
La deuxième étape est l’audit. Même si le contrat n’est pas signé, demandez par écrit la documentation de sécurité, la liste des sous-traitants ultérieurs, la localisation des données et les mesures prises après tout incident. Le refus d’audit confirme l’absence de garanties suffisantes et justifie que vous suspendiez les nouveaux flux ou que vous rapatriiez les traitements critiques. Si un audit révèle que vos données sont hébergées à un endroit non convenu ou accessibles à des personnes non autorisées, conservez le rapport et les captures : ce sont des preuves directes du manquement aux instructions et aux mesures de sécurité. Quand le prestataire accepte l’audit mais refuse toujours la signature, l’audit reste utile : il alimente votre registre, il rassure vos propres clients, et il prouve que vous avez agi en responsable diligent.
La troisième étape consiste à organiser la sortie. Suspendez progressivement les flux non essentiels, activez le plan de réversibilité, exportez ce qui est exportable, puis notifiez la fin de la prestation en exigeant par écrit, selon votre choix, la suppression ou le renvoi des données et la destruction des copies. Prévoyez un format de restitution lisible et un calendrier, et faites constater par écrit chaque refus ou chaque restitution partielle. Changer de prestataire sans DPA signé avec le sortant n’efface pas le passé, mais cela stoppe l’aggravation : chaque mois de conservation sans titre ajoute au préjudice et à votre propre exposition. Pendant cette phase, informez vos équipes de ne plus alimenter l’outil contesté et tracez la bascule, car la continuité des envois après la mise en demeure pourrait être interprétée comme une acceptation tacite de la situation.
Beaucoup d’entreprises songent alors à saisir la CNIL pour forcer le prestataire à signer ou à restituer. C’est ici que la décision du Conseil d’État du 27 août 2026 doit être lue attentivement. Dans cette affaire, un médecin libéral, responsable du traitement des données médicales de ses patients, avait confié la gestion et l’hébergement de ces données à un éditeur de logiciels médicaux, la société Cegedim, dans son logiciel Maiia. En différend avec cet éditeur, le médecin avait saisi la CNIL d’une plainte tendant à obtenir la restitution des données de ses patients, puis avait demandé au Conseil d’État d’annuler la décision par laquelle la CNIL avait clôturé sa saisine comme irrecevable, en invoquant notamment l’obligation de restitution prévue au paragraphe 3 de l’article 28 du RGPD. Le Conseil d’État a rejeté la requête : la saisine avait été formée en qualité de responsable du traitement, et non par une personne concernée, de sorte qu’« Elle ne peut dès lors être regardée comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD et aucune décision juridiquement contraignante à l’égard de M. A…, au sens de l’article 78 du même règlement, n’a pu naître ». Le médecin ne justifiait donc pas d’un intérêt lui donnant qualité pour demander l’annulation de la clôture.
La portée pratique de cet arrêt est nette : la réclamation devant l’autorité de contrôle appartient aux personnes concernées, c’est-à-dire aux patients, clients ou salariés dont les données sont traitées, et non au responsable du traitement qui se dispute avec son prestataire sur l’exécution du contrat. Le Conseil d’État rappelle que la réclamation de l’article 77 appartient à la personne concernée qui estime que le traitement de ses propres données viole le règlement, et que le recours juridictionnel effectif de l’article 78 vise les décisions juridiquement contraignantes prises par l’autorité sur une telle réclamation. Le litige sur la signature du DPA ou sur la restitution des données entre deux professionnels relève du contrat et du juge judiciaire, pas de la plainte CNIL, dont les missions sont définies à l’article 8 de la loi du 6 janvier 1978. Cela ne rend pas la CNIL indifférente à votre situation : si le prestataire viole les droits des personnes, celles-ci peuvent la saisir, et la CNIL peut contrôler le prestataire de sa propre initiative. Mais vous ne pouvez pas lui demander de trancher votre différend commercial ni d’ordonner à votre place la restitution.
B. Saisir le juge pour obtenir la restitution et réparer le préjudice, en prouvant un dommage réel
Le contraste avec une autre décision récente du Conseil d’État éclaire la stratégie. Le 28 novembre 2025, dans l’affaire dite Timework-it, la haute juridiction a rejeté le recours d’une société condamnée par la formation restreinte de la CNIL à une amende de 15 000 euros, avec injonction de répondre à une demande d’effacement sous astreinte de 50 euros par jour de retard. La personne concernée avait demandé l’effacement de ses données par deux messages restés sans réponse, la CNIL avait rappelé la société à ses obligations, l’avait relancée, puis mise en demeure sur le fondement de l’article 20 de la loi du 6 janvier 1978, sans plus de résultat : les plis revenaient avec la mention « pli avisé et non réclamé », et la société n’a procédé à l’effacement qu’après le prononcé de la sanction. Le Conseil d’État retient que la société « a fait preuve, pour le moins, d’une négligence prolongée », qu’elle ne peut pas être regardée comme ayant coopéré avec l’autorité de contrôle, et que l’amende n’est pas disproportionnée « compte tenu de la gravité des manquements constatés, qui ont empêché la CNIL d’assumer sa mission, et de leur persistance ». Les manquements visaient l’obligation de répondre à la demande d’effacement, issue du droit à l’effacement et de l’obligation d’information sur les mesures prises, ainsi que le devoir de coopération avec la CNIL. Pour fixer l’amende, le juge rappelle les critères de l’article 83 du RGPD, selon lequel les amendes doivent être « effectives, proportionnées et dissuasives », en tenant compte notamment de la nature, de la gravité et de la durée de la violation, de la négligence, des mesures d’atténuation, des antécédents, de la coopération et des catégories de données.
La leçon pour votre litige est double. D’un côté, quand ce sont les droits des personnes qui sont ignorés, la CNIL sanctionne, y compris en procédure simplifiée, et le juge administratif confirme : l’inertie prolongée face aux demandes et aux courriers de l’autorité coûte une amende et une injonction sous astreinte. De l’autre, quand c’est votre contrat de sous-traitance qui est refusé, c’est le juge judiciaire qu’il faut saisir. Demandez au tribunal l’exécution forcée des obligations : signature de l’avenant de protection des données, restitution des fichiers dans un format exploitable, suppression et destruction des copies attestées, le tout sous astreinte. L’astreinte est l’outil adapté à un prestataire qui fait traîner la restitution : chaque jour de retard a un prix, ce qui change le calcul économique du refus. Joignez la mise en demeure, le projet de DPA refusé, les constats d’audit, la chronologie des refus et la preuve des flux encore conservés.
La réparation du préjudice obéit ensuite à l’article 82 du RGPD, dont le principe est rappelé par la Cour de cassation dans son arrêt du 24 juin 2026 : toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le sous-traitant n’est pas responsable de tout : il n’est responsable du dommage causé par le traitement que s’il a méconnu les obligations que le règlement impose spécifiquement aux sous-traitants, ou s’il a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. Le refus de signer le contrat, le traitement sans instruction documentée, le recours à un sous-traitant ultérieur sans autorisation, le refus de restitution et le refus d’audit entrent dans ce champ, puisqu’il s’agit d’obligations propres aux sous-traitants ou de manquements à vos instructions. Le prestataire peut s’exonérer en prouvant que le fait qui a provoqué le dommage ne lui est nullement imputable, et quand plusieurs acteurs participent au même traitement, chacun est tenu pour le tout envers la personne concernée afin de garantir une réparation effective, avec un recours contributif entre eux à hauteur de leurs parts respectives. Les actions en réparation sont portées devant les juridictions compétentes selon le droit national, ce qui, dans un litige entre professionnels sur l’exécution du contrat, désigne le tribunal judiciaire, en tenant compte des clauses de compétence du contrat.
Reste à prouver le préjudice, car la violation ne suffit pas. Par un arrêt du 24 juin 2026, la chambre sociale de la Cour de cassation, dans un litige opposant un salarié à la société Natixis, a cassé l’arrêt d’appel qui avait déduit automatiquement un préjudice de la violation du RGPD : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartenait aux juges d’apprécier si le salarié établissait que la violation constatée lui avait causé un dommage matériel ou moral. La Cour vise l’article 82, paragraphe 1, du RGPD et rappelle la jurisprudence de la Cour de justice de l’Union européenne : la simple violation du règlement ne suffit pas pour conférer un droit à réparation, et la réparation pécuniaire doit « permettre de compenser intégralement le préjudice concrètement subi du fait de la violation », sans fonction punitive. La personne qui demande réparation doit établir non seulement la violation, mais aussi le dommage qu’elle lui a causé. Transposé à votre contentieux contre le prestataire, cela signifie qu’il faut chiffrer et documenter : coûts de migration vers un nouveau prestataire, jours de travail interne consacrés à la récupération manuelle des données, perte d’exploitation pendant l’indisponibilité, frais d’audit et de constat, réclamations de vos propres clients restées sans réponse parce que les données étaient bloquées, atteinte à votre conformité et aux contrôles subis. Chaque poste doit être rattaché par une pièce au manquement du prestataire : facture, planning, échange, rapport. Les demandes globales et forfaitaires, sans lien démontré avec la violation, s’exposent à la censure qui a frappé les 5 000 euros accordés automatiquement dans l’affaire Natixis.
Préparez donc le dossier comme une démonstration en trois temps : la violation, avec le contrat refusé ou les clauses éludées et les textes applicables ; le lien entre cette violation et vos difficultés, avec la chronologie des refus et des flux bloqués ; le dommage chiffré, avec les pièces comptables et opérationnelles. C’est ce dossier qui permet au juge d’ordonner la restitution sous astreinte et d’allouer une réparation compensatrice, et c’est lui qui, en amont, donne à votre mise en demeure son poids : un prestataire qui mesure le risque d’une injonction et d’une condamnation chiffrée signe plus vite qu’un prestataire qui ne reçoit que des reproches de principe.
Conclusion
Un prestataire qui traite des données pour votre compte sans contrat de sous-traitance écrit et complet vous expose autant qu’il s’expose : l’article 28 du RGPD exige des garanties suffisantes, un contrat qui définit l’objet, la durée, la nature et la finalité du traitement, huit stipulations minimales dont la restitution au choix du responsable et l’audit, ainsi qu’une autorisation préalable pour tout sous-traitant ultérieur. Quand le prestataire refuse de signer ou de restituer, la méthode tient en quatre temps : mise en demeure précise adossée à un projet d’avenant, audit documenté, suspension puis bascule des flux avec constat des refus, et saisine du tribunal judiciaire pour obtenir l’exécution sous astreinte et la réparation d’un préjudice prouvé et chiffré. La CNIL n’est pas le juge de ce différend entre professionnels, comme le confirme l’arrêt du Conseil d’État du 27 août 2026, mais elle sanctionne l’inertie face aux droits des personnes, comme le montre la décision Timework-it du 28 novembre 2025. Et la réparation suppose un dommage démontré, comme le rappelle la Cour de cassation du 24 juin 2026. Écrivez le contrat avant le litige, écrivez chaque refus pendant le litige, et faites trancher ce qui n’a pas pu se négocier.