Une entreprise confie sa paie à un prestataire, son fichier clients à un éditeur de logiciel en ligne, son site à un hébergeur et son support à une société de services. Un jour, des données personnelles fuitent : attaque par rançongiciel chez l’hébergeur, export massif par un sous-traitant de second rang, serveur mal configuré. Les personnes concernées se retournent contre l’entreprise qu’elles connaissent, la Commission nationale de l’informatique et des libertés (CNIL) ouvre un contrôle, et le prestataire renvoie la balle. Qui répond, de quoi, et devant qui ?
La réponse tient en trois couches qu’il faut démêler dans l’ordre : la qualification des rôles de chacun dans la chaîne, le contenu du contrat qui les lie, et le lieu où les données sont réellement hébergées et transférées. L’externalisation ne transfère jamais la responsabilité par principe : tout dépend de qui décide de quoi, de ce que le contrat prévoit, et des preuves conservées. Cet article expose la méthode, les textes applicables et les décisions qui montrent comment les juges tranchent.
I. Identifier les rôles et les écrire dans le contrat
A. Responsable du traitement, sous-traitant ou responsables conjoints : la qualification commande tout
Le règlement (UE) 2016/679 sur la protection des données, dit RGPD, distingue deux qualités de départ. Est responsable du traitement celui qui décide du pourquoi et du comment du traitement, seul ou avec d’autres. Est sous-traitant celui qui traite des données « pour le compte du responsable du traitement ». Ces deux définitions figurent à l’article 4 du règlement, dont le texte officiel est publié par la CNIL (définitions du RGPD).
Le critère décisif est donc simple à formuler et exigeant à appliquer : qui détermine les finalités, c’est-à-dire le pourquoi du traitement, et les moyens essentiels, c’est-à-dire le comment. Un prestataire informatique qui exécute des consignes documentées, sur une infrastructure choisie par son client et pour les seuls besoins de ce client, est un sous-traitant. Le même prestataire devient lui-même responsable du traitement, pour son propre compte, dès qu’il réutilise les données confiées à ses fins propres, par exemple pour entraîner ses modèles, enrichir ses statistiques commerciales ou prospecter d’autres clients. Entre les deux, lorsque le client et le prestataire décident ensemble du pourquoi et du comment, par exemple en co-concevant un traitement de recrutement, de notation ou de vidéosurveillance intelligente, le règlement prévoit la responsabilité conjointe : Lorsque plusieurs acteurs « déterminent conjointement les finalités et les moyens », ils sont responsables conjoints et doivent répartir leurs obligations respectives de manière transparente, notamment pour l’exercice des droits des personnes, par un accord écrit entre eux (responsables conjoints, article 26). Le Comité européen de la protection des données a consacré des lignes directrices à ces notions de responsable et de sous-traitant pour aider à répartir les rôles dans les montages complexes (lignes directrices du CEPD sur les notions de responsable et de sous-traitant).
La pratique contentieuse montre que la qualification se plaide mais ne suffit jamais à elle seule. Le tribunal judiciaire de Paris a jugé le 30 janvier 2025 (RG 20/12149) le litige opposant un salarié protégé à la société Stimulus, prestataire chargée d’une enquête interne pour le compte de TotalEnergies. Le demandeur soutenait à titre principal que le prestataire était un « traitant illégitime », à titre subsidiaire un responsable conjoint, à titre infiniment subsidiaire un sous-traitant, et réclamait 1 500 000 euros de dommages-intérêts pour violation des règles de protection des données. Le tribunal a examiné le contrat conclu entre les deux sociétés et relevé qu’il comportait les mentions requises par l’article 28 du RGPD, que la collecte avait été organisée par le donneur d’ordre et que le demandeur, convoqué à trois reprises, avait refusé d’être entendu. Surtout, le tribunal s’est appuyé sur l’avis rendu par la CNIL le 25 juillet 2024, selon lequel les éléments portés à sa connaissance ne permettaient pas de caractériser un manquement à la sécurité, tout en rappelant au prestataire son devoir d’aide au responsable au titre de l’article 28.3.f., sans retenir de manquement au RGPD. Faute de manquement établi, et faute de « préjudice certain » et de « lien causal » avec un dommage, le demandeur a été débouté de l’ensemble de ses demandes et condamné aux dépens ainsi qu’à 9 000 euros et 2 000 euros au titre de l’article 700 du code de procédure civile. La leçon est nette : invoquer l’article 82 du RGPD et la qualité du prestataire ne dispense de prouver ni la violation, ni le dommage, ni le lien entre les deux.
B. Le contrat de sous-traitance de l’article 28 : les clauses qui protègent le client
Lorsque le prestataire est sous-traitant, le traitement doit être encadré par écrit. L’article 28, paragraphe 3, du RGPD impose un contrat écrit qui « lie le sous-traitant » et définit l’objet et la durée du traitement, sa nature et sa finalité, les types de données et les catégories de personnes concernées, ainsi que les obligations et les droits de chaque partie. (contrat de sous-traitance, articles 28 et suivants). Ce contrat doit notamment prévoir que le sous-traitant n’agit que « sur instruction documentée » du responsable, y compris pour les transferts vers un pays tiers ou une organisation internationale.
Concrètement, un contrat qui protège le client comporte huit stipulations. Premièrement, la description précise des traitements confiés : objet, durée, nature, finalités, types de données et catégories de personnes, comme l’exige le texte. Deuxièmement, l’engagement de n’agir que sur instruction documentée, avec une procédure écrite pour les demandes sortant du cadre. Troisièmement, la confidentialité des personnes autorisées à traiter les données. Quatrièmement, les mesures de sécurité de l’article 32, détaillées en annexe technique : chiffrement, cloisonnement des accès, authentification renforcée, journalisation, sauvegardes et tests réguliers. Cinquièmement, le régime du sous-traitant ultérieur : aucun hébergeur, outil ou filiale supplémentaire sans information préalable et possibilité d’objection du client, avec répercussion des mêmes obligations dans le contrat en cascade. Sixièmement, l’aide due au responsable pour répondre aux demandes d’exercice des droits des personnes et pour les analyses d’impact, en application de l’article 28.3.f. cité par la CNIL dans l’affaire Stimulus. Septièmement, le sort des données en fin de contrat : restitution puis suppression, avec attestation, selon les délais convenus. Huitièmement, le droit d’audit du client : accès aux journaux, rapports de sécurité, certifications et possibilité de mission de contrôle, sur pièces et sur place. La CNIL a publié un guide officiel du sous-traitant qui détaille ces obligations et recommande de les anticiper dès la négociation (guide du sous-traitant de la CNIL, édition septembre 2017). En pratique, l’audit commence avant la signature : questionnaire de sécurité adressé au candidat, preuve de ses certifications et de ses tests d’intrusion récents, description de son plan de reprise d’activité et de ses délais de rétablissement, identité de ses propres hébergeurs et sous-traitants, et engagement mesurable sur les délais de notification d’incident. Ces pièces, annexées au contrat, font la différence entre une clause d’audit théorique et un contrôle exerçable : en cas de violation, elles permettent d’établir rapidement qui détenait quelles données, qui a failli et qui doit réparer, au lieu de subir des mois d’expertises croisées.
Deux points méritent une vigilance particulière. D’une part, le délai de remontée des incidents : le règlement impose au sous-traitant de notifier toute violation au responsable « dans les meilleurs délais », mais un contrat bien rédigé resserre ce délai en heures et impose un contenu minimal, faute de quoi le client ne pourra pas respecter sa propre obligation de notification à la CNIL sous 72 heures. D’autre part, la fin de contrat : la récupération des données, leur destruction certifiée et la réparation du préjudice en cas de manquement doivent être écrites avant la crise, comme le montre le contentieux des sorties de contrats infonuagiques (récupérer ses données et les faire détruire en sortie de contrat SaaS et cloud). Le contentieux de l’hébergement montre que le contrat technique vaut autant que le contrat de conformité. La cour d’appel de Douai a jugé le 4 juin 2026 (RG 24/00967) le litige né de l’incendie du datacentre d’un hébergeur le 10 mars 2021, qui avait détruit le serveur privé virtuel d’une association cliente avant une restauration contestée à partir d’une sauvegarde. L’association invoquait des manquements à la sécurité de l’infrastructure et même une violation de l’article 28, paragraphe 3, a), du RGPD ; la cour a retenu que le client avait donné « instruction claire de remettre son VPS en service », de sorte qu’« aucune faute ne saurait être reprochée à la société OVH à cet égard ». Surtout, la cour ayant jugé valables les « clauses limitatives et exonératoires » stipulées, les demandes fondées sur la perte d’exploitation et la perte de données, expressément exclues par le contrat, ont été rejetées, faute de preuve d’un « lien de causalité direct et certain » entre les prestations commandées et le sinistre. Au dispositif, la cour rejette la force majeure invoquée par l’hébergeur, rejette la demande d’anéantissement des clauses limitatives, constate que l’hébergeur avait déjà intégralement indemnisé le seul préjudice établi et condamne l’association aux dépens et à 5 000 euros au titre de l’article 700 du code de procédure civile. Trois enseignements pour le client, condamné aux dépens et à 5 000 euros pour avoir plaidé sans preuve causale : lire avant de signer les plafonds, les exclusions de perte de données et les clauses de force majeure ; conserver ses propres sauvegardes et la preuve de ses instructions écrites ; documenter le lien causal poste par poste, car le juge ne l’infère pas du sinistre.
À l’inverse, l’absence de contrat expose les deux parties : le responsable manque à l’article 28, paragraphe 3, et le sous-traitant qui agirait en dehors des instructions licites s’expose à répondre du dommage sur le fondement de l’article 82, paragraphe 3, examiné ci-après.
II. Encadrer les transferts hors d’Europe et assumer la violation
A. Hébergement et transferts hors de l’Espace économique européen : adéquation, garanties et suspension
Savoir où les données sont hébergées et vers quels pays elles transitent est une obligation préalable à tout contrat sérieux. Le chapitre V du RGPD encadre les transferts vers les pays tiers et les organisations internationales. La CNIL rappelle que les responsables et les sous-traitants peuvent transférer des données hors de l’Union européenne et de l’Espace économique européen à condition d’assurer un niveau de protection suffisant et approprié, au moyen des outils du chapitre V (le cadre général des transferts hors UE). Trois niveaux se succèdent : la décision d’adéquation de la Commission européenne pour un pays donné, à défaut les « garanties appropriées » telles que les clauses contractuelles types, et à défaut, pour des situations particulières, les dérogations strictement interprétées.
Les clauses contractuelles types adoptées par la Commission européenne restent l’instrument le plus utilisé pour les flux vers les prestataires hors Europe. La CNIL précise que les modèles de clauses contractuelles types, mis à jour par la Commission européenne le 4 juin 2021, restent l’instrument de référence. Elles ne suffisent toutefois pas à elles seules : l’exportateur doit vérifier, au cas par cas, que le droit du pays destinataire ne vide pas ces garanties de leur substance et, si nécessaire, ajouter des mesures complémentaires techniques et organisationnelles. Pour les États-Unis, la situation a changé le 10 juillet 2023 : Par une décision du 10 juillet 2023, la Commission européenne a constaté que les États-Unis assurent un niveau de protection équivalent à celui de l’Union, de sorte que les transferts vers les organismes américains adhérents au nouveau cadre s’effectuent librement, sans clauses supplémentaires. Cette décision fait suite à l’invalidation du précédent bouclier par la Cour de justice de l’Union européenne. (transferts vers les États-Unis et nouvelle décision d’adéquation). En pratique, le client doit vérifier que son prestataire américain figure sur la liste des organismes adhérents publiée par le ministère américain du commerce ; à défaut d’adhésion, les clauses contractuelles types et l’analyse du droit applicable restent nécessaires, et les transferts antérieurs fondés sur l’ancien bouclier doivent avoir été régularisés.
Le Conseil d’État a apporté deux précisions utiles sur ce chapitre. Dans sa décision du 30 janvier 2024 (n° 466115) relative aux transferts fiscaux vers les États-Unis, il juge que « de telles garanties n’ont pas à résulter nécessairement de l’accord et peuvent être prévues par le droit national », et que l’absence de clause de suspension dans un accord international « ne saurait faire obstacle à la suspension de tels transferts par les autorités administratives françaises en cas de méconnaissance du RGPD ». Autrement dit, ni le client ni le prestataire ne sont à l’abri d’une injonction de suspendre les flux si les garanties s’avèrent théoriques. D’où l’exigence opérationnelle : cartographier toute la chaîne, y compris les sous-traitants ultérieurs, imposer contractuellement la transparence sur la localisation des hébergements et prévoir une clause de suspension et de rapatriement des données en cas d’injonction de la CNIL ou d’évolution défavorable du droit du pays destinataire. Cette cartographie prend place dans le registre des activités de traitement, qui recense pour chaque traitement les catégories de données, les destinataires et les transferts vers les pays tiers avec la garantie mobilisée. Pour chaque flux sensible, l’entreprise documente son analyse : pays destinataire, instrument retenu, vérification de l’adhésion du prestataire lorsque l’adéquation l’exige, mesures techniques complémentaires comme le chiffrement avec clés conservées en Europe, et procédure de suspension. Ce dossier de conformité des transferts sert deux fois : il démontre la diligence devant la CNIL en cas de contrôle et il fonde la mise en cause contractuelle du prestataire qui aurait déplacé des données sans autorisation vers une juridiction non couverte.
B. Quand la violation survient : notifier, informer, sanctionner et réparer
La violation de données personnelles, définie comme toute destruction, perte, altération, divulgation ou accès non autorisé, déclenche un régime de réaction rapide dont le non-respect constitue un manquement autonome. L’article 33 du RGPD impose au responsable de notifier la violation à la CNIL « dans les meilleurs délais » et, si possible, « 72 heures au plus tard » après en avoir pris connaissance, sauf absence de risque pour les droits et libertés des personnes, et précise que le sous-traitant alerte le responsable « dans les meilleurs délais » après en avoir pris connaissance (notification des violations, articles 32 à 34). Lorsque le risque pour les personnes est élevé, le responsable doit en outre les informer directement, en des termes clairs, en décrivant la nature de la violation, ses conséquences probables et les mesures prises. Chaque violation doit être documentée en interne, même non notifiée, avec ses faits, ses effets et les remèdes adoptés : ce registre est la première pièce que la CNIL demande lors d’un contrôle, avec les preuves de sécurité attendues après une cyberattaque, des accès VPN à la journalisation.
Sur le terrain des sanctions, le Conseil d’État a validé une ligne ferme. Dans sa décision du 26 avril 2022 (n° 449284, Optical Center), il a rejeté le recours contre une amende de 250 000 euros assortie d’une injonction de mise en conformité sous astreinte de 500 euros par jour, prononcée après l’attaque du site de vente en ligne ayant exposé les données de plus de 200 000 clients, sur le fondement des articles 12, paragraphe 2, et 32 du RGPD. Le Conseil d’État juge que « le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL », y compris lorsque l’entreprise a elle-même notifié l’attaque et commencé à se mettre en conformité. Sur le montant, il rappelle que les amendes doivent être « effectives, proportionnées et dissuasives » et valide les 250 000 euros au regard des critères de l’article 83 : négligence durable sur des obligations élémentaires de sécurité, violation affectant plus de 200 000 personnes avec des numéros de sécurité sociale pour 23 000 d’entre elles, antécédents avec deux sanctions en cinq ans dont une liée à la sous-traitance, et chiffre d’affaires de 202 millions d’euros. Ni la coopération ni l’absence d’intention ne suffisent donc à échapper à la sanction lorsque la sécurité de base fait défaut.
Reste la réparation due aux personnes. L’article 82 du RGPD ouvre à toute personne ayant subi un dommage du fait d’une violation le droit d’obtenir « réparation du préjudice subi » auprès du responsable ou du sous-traitant. Le régime est différencié : le sous-traitant ne répond du dommage que s’il a méconnu ses obligations propres ou s’il a agi en dehors des instructions licites du responsable, ou contrairement à elles. (droit à réparation et responsabilité, article 82). La personne concernée peut agir devant le juge contre le responsable, contre le sous-traitant, ou contre les deux, et chacun des co-responsables peut être tenu pour la totalité afin de garantir une réparation effective, quitte à se retourner ensuite contre les autres. Mais le jugement Stimulus précité rappelle l’exigence probatoire : sans violation caractérisée, sans « préjudice certain » et sans « lien causal », l’action indemnitaire échoue, même dirigée contre le prestataire. Parallèlement, toute personne peut déposer une réclamation auprès de la CNIL et exercer un recours juridictionnel contre les décisions de l’autorité comme contre les responsables et sous-traitants (recours et sanctions, chapitre VIII du RGPD). Pour l’entreprise cliente, la parade contractuelle consiste à stipuler une garantie d’éviction et de conformité du prestataire, des pénalités de retard de notification, un plafond de responsabilité calibré sur les amendes encourues et une obligation de coopération loyale en cas de contrôle CNIL ou d’action de groupe.
En définitive, trois réflexes protègent l’entreprise qui externalise. Qualifier d’abord : écrire qui détermine les finalités et les moyens, et conclure un accord de responsabilités conjointes lorsque la codécision est réelle. Contractualiser ensuite : contrat de sous-traitance complet au sens de l’article 28, chaîne des sous-traitants ultérieurs transparente, audit exercé et pas seulement stipulé, transferts hors d’Europe couverts par l’adéquation ou des garanties effectives et vérifiées. Documenter enfin : registre des activités de traitement tenu à jour, registre des violations, notifications à 72 heures, information des personnes et preuves de sécurité conservées, car en cas de contrôle comme en cas de procès, l’absence de preuve équivaut à l’absence de diligence. Le délégué à la protection des données, lorsqu’il est désigné, doit être associé à la revue des contrats et informé des incidents sans délai, et chaque exercice de droit d’accès ou d’effacement adressé au client doit être relayé au prestataire avec un délai de réponse compatible avec le délai d’un mois du règlement. Conserver les instructions écrites, les rapports d’audit, les accusés de notification et les attestations de suppression, c’est se donner les moyens de démontrer sa diligence devant la CNIL comme devant le juge. L’externalisation n’exonère pas ; elle déplace le risque vers le contrat, les audits réellement menés et les pièces conservées pour le jour du contrôle ou du procès. Les décisions Optical Center et Stimulus le montrent chacune à leur manière : la CNIL sanctionne la négligence documentée par ses contrôles, et le juge judiciaire déboute la réparation sans violation, dommage et causalité prouvés.
Besoin d’un avis rapide sur votre dossier
Vous confiez des données personnelles à un prestataire informatique, un éditeur SaaS ou un hébergeur cloud et vous voulez sécuriser vos contrats, vos transferts ou votre réaction en cas de violation ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.