Votre éditeur de paie, votre hébergeur, votre outil de ticketing ou votre plateforme d’e-mailing détient les données de vos salariés, de vos clients ou de vos patients. Un jour, vous découvrez que le contrat signé ne contient aucune clause de protection des données, que le prestataire a changé d’hébergeur sans vous prévenir, ou que les données sont en réalité stockées hors de l’Union européenne. Cette découverte n’est pas un simple sujet administratif. Elle vous expose, en tant que client, à une mise en demeure de la CNIL, à une amende, à l’action de vos propres clients et à un contentieux commercial avec le prestataire. Elle expose aussi les personnes concernées à des risques concrets : accès indus, conservation excessive, impossibilité d’exercer leurs droits.
Le réflexe fréquent consiste à envoyer un courrier général au prestataire en lui demandant de « se mettre en conformité avec le RGPD ». Ce courrier ne suffit ni à prouver un manquement, ni à suspendre les paiements, ni à résilier le contrat, ni à saisir utilement la CNIL. Chaque étape obéit à des conditions précises : qualification exacte des rôles, mentions obligatoires du contrat de sous-traitance, garanties encadrant les transferts hors Union européenne, délais de notification d’une violation, preuve du dommage pour obtenir réparation. Cet article décrit la méthode complète : auditer la relation, mettre en demeure sur des fondements vérifiables, suspendre ou résilier sans prendre de risque réversible, saisir la CNIL et le juge, et obtenir la restitution puis la suppression des données.
I. Qui traite vos données pour votre compte et que doit contenir votre contrat ?
A. Responsable du traitement, sous-traitant ou responsable conjoint : qualifier avant d’agir
Tout commence par une qualification. Le règlement général sur la protection des données distingue le responsable du traitement, qui détermine les finalités et les moyens, et le sous-traitant, défini par la CNIL comme la personne qui traite des données pour le compte d’un autre organisme, dans le cadre d’un service ou d’une prestation. Votre éditeur SaaS, votre hébergeur cloud, votre prestataire de maintenance, votre centre d’appels externalisé ou le cabinet chargé d’une enquête interne pour votre compte relèvent normalement de cette seconde catégorie. La qualification ne dépend pas du titre donné au contrat : un prestataire présenté comme simple « hébergeur » ou « éditeur » qui détermine seul les finalités d’un traitement, par exemple en réutilisant vos données pour entraîner ses propres modèles ou pour sa prospection, peut être requalifié de responsable du traitement pour ce traitement. Le paragraphe 10 de l’article 28 le prévoit sans détour : si, en violation du règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement, selon la présentation de l’article 28 par la CNIL.
Cette distinction commande toute la suite. Si le prestataire est sous-traitant, vous restez responsable du traitement vis-à-vis des personnes concernées et de la CNIL, et c’est à vous d’exiger le contrat de sous-traitance, l’audit et les garanties. Si le prestataire s’est comporté en responsable du traitement sans base légale propre, votre action change de fondement : il répond directement de ses traitements et vous pouvez lui demander des comptes sur ses propres finalités, tout en régularisant votre position pour les traitements dont vous restez responsable. En pratique, l’audit commence donc par trois questions documentées : quelles données le prestataire traite-t-il pour votre compte, pour quelles finalités écrites, et sur quelles instructions ? Les réponses doivent figurer dans le contrat ou dans un acte juridique équivalent. À défaut d’écrit, le premier manquement est déjà caractérisé.
La jurisprudence récente illustre l’importance de cette qualification et de la documentation des traitements confiés à un tiers. Dans un arrêt du 3 octobre 2024, la deuxième chambre civile de la Cour de cassation a rappelé : « Il appartient au juge saisi, en référé ou au fond, d’une demande de communication de documents concernant des tiers à l’instance et contenant des données à caractère personnel » de vérifier la nécessité de la communication au regard du droit à la preuve, sa proportionnalité et le respect du principe de minimisation (Cass. 2e civ., 3 oct. 2024, n° 21-20.979). Autrement dit, même devant le juge, les données confiées à un tiers ne circulent pas librement : chaque communication doit être nécessaire, proportionnée et limitée au strict indispensable. Cette exigence irrigue tout le contentieux de la sous-traitance : le client qui communique des jeux de données entiers à son prestataire « au cas où », sans périmètre défini, méconnaît déjà le principe de minimisation. De même, le tribunal judiciaire de Paris, le 30 janvier 2025, a eu à connaître d’un litige opposant un salarié à une société d’enquête et à la société qui avait externalisé une enquête interne auprès d’elle (TJ Paris, 5e ch. 2e sect., 30 janv. 2025, RG 20/12149) : l’externalisation d’investigations portant sur des personnes identifiées impose de cadrer par écrit le mandat confié au tiers, les données auxquelles il accède et l’usage qu’il peut en faire. Retenez la méthode : périmètre écrit, données strictement nécessaires, traçabilité des accès.
Concrètement, constituez dès l’ouverture du dossier un classeur de preuves : contrat principal et annexes, conditions générales du prestataire, mentions relatives à l’hébergement, échanges sur le lieu de stockage, registres des traitements des deux côtés lorsque vous y avez accès, captures datées de l’interface d’administration montrant les transferts ou les sous-traitants ultérieurs, et historique des incidents. Ce classeur servira pour la mise en demeure, pour l’audit, pour la plainte CNIL et, le cas échéant, devant le juge. Sans lui, chaque affirmation du prestataire restera invérifiable et chaque demande de votre part restera une pétition de principe.
B. Le contrat de sous-traitance écrit : mentions obligatoires, audit et sort des données
Lorsque le traitement est effectué pour votre compte, la loi vous impose de ne faire appel qu’à des prestataires offrant des garanties suffisantes. L’article 28 du RGPD impose au responsable du traitement de choisir uniquement des prestataires offrant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à assurer la conformité du traitement et la protection des droits des personnes concernées (article 28, CNIL). Choisir un prestataire moins cher sans vérifier ses mesures de sécurité, ses certifications, sa politique de sous-traitance en cascade et le lieu d’hébergement, c’est prendre un risque juridique direct, pas seulement opérationnel.
Le traitement par le sous-traitant doit ensuite être régi par un contrat ou un autre acte juridique qui lie le prestataire à votre égard et qui définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données et les catégories de personnes concernées, ainsi que vos droits et obligations. Ce contrat doit prévoir, notamment, que le prestataire ne traite les données que sur vos instructions documentées, y compris pour les transferts vers un pays tiers ; que les personnes autorisées sont soumises à confidentialité ; qu’il applique les mesures de sécurité requises ; qu’il vous aide à répondre aux demandes d’exercice des droits des personnes et à respecter vos obligations de sécurité, de notification et d’analyse d’impact ; qu’il supprime ou vous renvoie les données au terme de la prestation et détruit les copies ; et qu’il met à votre disposition toutes les informations nécessaires pour démontrer le respect de ces obligations et pour permettre des audits et inspections, menés par vous ou par un auditeur que vous mandatez, avec sa coopération (article 28, paragraphe 3, CNIL). La CNIL propose un exemple de clauses de sous-traitance articulé autour de l’objet, de la description du traitement, de la durée, des obligations réciproques et du sort des données : utilisez-le comme grille de contrôle de votre contrat existant, ligne par ligne.
Deux points méritent une vigilance particulière car ils concentrent l’essentiel des litiges. D’abord, la sous-traitance en cascade : le prestataire ne peut recruter un sous-traitant ultérieur, par exemple changer d’hébergeur cloud ou ajouter un outil d’analyse, sans votre autorisation écrite préalable, spécifique ou générale ; en cas d’autorisation générale, il doit vous informer de tout ajout ou remplacement prévu et vous laisser la possibilité de vous y opposer. Un changement d’hébergeur non notifié, une brique d’intelligence artificielle ajoutée au produit sans information, un support technique délocalisé qui accède aux données en clair : chacun de ces faits constitue un manquement saisissable. Ensuite, l’audit : la clause d’audit n’est pas décorative. Exercez-la par écrit, avec un périmètre précis (lieux d’hébergement, journaux d’accès, politique de chiffrement, liste des sous-traitants ultérieurs, mesures de l’article 32), un calendrier et un auditeur désigné. Le refus d’audit, l’audit rendu impossible par des réponses évasives ou la découverte d’écarts entre le contrat et la réalité alimentent directement la mise en demeure.
Enfin, le contrat ou l’acte juridique équivalent doit être établi par écrit, le format électronique étant admis (article 28, paragraphe 9, CNIL). Un accord oral, un simple bon de commande sans annexe de protection des données ou des conditions générales muettes sur ces points ne satisfont pas à l’exigence. Si votre relation repose sur de tels documents, la régularisation s’impose avant tout litige : proposez un avenant de sous-traitance complet, avec description des traitements, durées de conservation alignées sur vos propres durées de conservation et règles de suppression des données, liste fermée des sous-traitants ultérieurs autorisés, encadrement des transferts et clause de réversibilité. Le refus du prestataire de signer cet avenant constitue, à lui seul, un fait daté à verser au dossier.
II. Comment contraindre le prestataire, sécuriser les données et obtenir réparation ?
A. Transferts hors Union européenne et sécurité : exiger des garanties vérifiables, pas des affirmations
Le second foyer de risque concerne le lieu réel de traitement des données. Les responsables et les sous-traitants peuvent transférer des données hors de l’Union européenne et de l’Espace économique européen à condition d’assurer un niveau de protection suffisant et approprié, selon le cadre général des transferts décrit par la CNIL. En pratique, trois voies seulement sont solides : une décision d’adéquation de la Commission européenne couvrant le pays ou le dispositif de destination ; des garanties appropriées, au premier rang desquelles les clauses contractuelles types de la Commission européenne, complétées par des mesures techniques et organisationnelles effectives ; ou une dérogation pour situation particulière, d’interprétation stricte et impropre à fonder des transferts massifs et répétés. Tout le reste relève de l’affirmation commerciale, pas de la garantie juridique.
L’arrêt dit « Schrems II » a rebattu les cartes pour les transferts vers les États-Unis : le 16 juillet 2020, la Cour de justice de l’Union européenne a invalidé le bouclier de protection qui encadrait les transferts de données vers les États-Unis (CNIL, transferts hors UE). Depuis, un nouveau cadre d’adéquation américano-européen a été adopté en 2023 pour les organismes américains certifiés, mais il ne couvre ni tous les transferts, ni tous les prestataires, ni toutes les hypothèses d’accès par des autorités étrangères. La méthode d’audit reste donc inchangée : demandez par écrit au prestataire la liste exacte des pays de stockage et d’accès, le fondement de chaque transfert, la version des clauses signées, la date de l’analyse d’impact des transferts et les mesures complémentaires (chiffrement avec clés détenues dans l’Union, cloisonnement, journalisation, procédure d’opposition aux demandes d’accès disproportionnées). Une réponse qui se limite à « nos serveurs sont en Europe » alors que le support, la maintenance, les sauvegardes ou les outils d’analyse se trouvent ailleurs ne répond pas à la question posée. Reposez-la par lettre recommandée, avec délai de réponse, et conservez la preuve de l’envoi et de la réponse.
Sur la sécurité, l’article 32 impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles adaptées au risque, en tenant compte de l’état des connaissances, des coûts, de la nature et des finalités du traitement ainsi que des risques pour les droits et libertés des personnes (article 32, CNIL). Le texte cite la pseudonymisation et le chiffrement, la garantie de confidentialité, d’intégrité, de disponibilité et de résilience des systèmes, la capacité de rétablir rapidement l’accès après incident, et une procédure d’évaluation régulière de l’efficacité des mesures. Face à un prestataire, traduisez ces exigences en demandes vérifiables : politique de chiffrement au repos et en transit avec gestion des clés, cloisonnement des environnements, gestion des habilitations et revue des accès, journalisation et supervision, plan de reprise, tests d’intrusion et correctifs, procédure de gestion des incidents avec délais d’alerte contractuels. Si un incident survient et que ces mesures font défaut, la responsabilité du prestataire se trouve au cœur du dossier, et la vôtre aussi si vous n’aviez rien exigé.
Lorsque l’audit révèle un transfert non encadré ou des mesures de sécurité insuffisantes, adressez une mise en demeure précise plutôt qu’une protestation générale. Chaque grief doit être daté, décrit et fondé : absence de contrat de sous-traitance écrit, sous-traitant ultérieur ajouté sans autorisation, transfert vers tel pays sans décision d’adéquation ni clauses signées, absence de chiffrement constatée lors de tel test, demandes d’exercice de droits restées sans transmission. Assortissez la mise en demeure d’injonctions datées : signer l’avenant de sous-traitance sous quinze jours, produire la cartographie des transferts et leurs fondements sous un mois, mettre en œuvre telle mesure de sécurité, suspendre tout nouveau transfert non encadré. Précisez les sanctions contractuelles encourues et les actions envisagées : suspension des paiements dans les limites permises par le contrat, résiliation, plainte auprès de la CNIL, action en responsabilité. Une mise en demeure bien construite produit trois effets : elle fait courir les délais, elle fige les manquements dans un écrit opposable, et elle conditionne la suite contentieuse. À l’inverse, menacer de suspendre les paiements ou de résilier sans fondement contractuel précis expose à un litige retour pour inexécution de votre part.
La suspension et la résiliation obéissent à la même prudence. Le Code civil prévoit que « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice » (article 1224 du Code civil). Le Code civil offre en effet plusieurs voies à la partie victime de l’inexécution : « refuser d’exécuter ou suspendre l’exécution de sa propre obligation », poursuivre l’exécution forcée, obtenir une réduction du prix, provoquer la résolution ou demander des dommages et intérêts (article 1217 du Code civil). Vérifiez donc d’abord la clause résolutoire de votre contrat : vise-t-elle les manquements à la protection des données, prévoit-elle un délai de régularisation, impose-t-elle une notification formelle ? Si la clause est muette, la résolution unilatérale suppose une inexécution suffisamment grave, appréciée par le juge en cas de contestation : documentez la gravité par des faits (données sensibles concernées, nombre de personnes, durée du manquement, refus de régulariser après mise en demeure). Si le prestataire détient vos données en otage ou menace de les supprimer, saisissez le juge des référés : le président du tribunal judiciaire peut « prescrire en référé les mesures conservatoires ou de remise en état qui s’imposent, soit pour prévenir un dommage imminent » (article 835 du Code de procédure civile). Demandez la restitution et la continuité sous astreinte, en produisant le classeur de preuves et la mise en demeure restée vaine. Les situations de prestataire informatique piraté ou défaillant, avec activité bloquée et données retenues, montrent que la rapidité procédurale compte autant que le fond : une ordonnance de restitution obtenue en quelques semaines vaut mieux qu’une victoire au fond deux ans plus tard sur des données devenues inexploitables.
B. Violation de données, CNIL et juge : notifier dans les délais, sanctionner les manquements, réparer les préjudices
Si le prestataire vous signale un incident, ou si vous découvrez vous-même une fuite, une perte, une altération ou un accès non autorisé, deux chronomètres partent. Côté prestataire, l’article 33 impose au sous-traitant d’avertir le responsable du traitement de toute violation dans les meilleurs délais après en avoir eu connaissance (article 33, paragraphe 2, CNIL). Vérifiez que votre contrat prévoit un délai chiffré plus strict que ce standard, par exemple vingt-quatre ou quarante-huit heures, avec un contenu minimal (nature de l’incident, catégories et volumes de données, conséquences probables, mesures prises). Tout retard du prestataire à vous alerter constitue un grief autonome. Côté client, l’article 33 vous impose de notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les soixante-douze heures après en avoir eu connaissance, sauf si la violation ne risque pas de porter atteinte aux droits et libertés des personnes, tout retard devant être motivé (article 33, paragraphe 1, CNIL). La notification tardive doit être motivée. Tenez un registre des violations avec les faits, les effets et les mesures prises : la CNIL peut en contrôler le contenu.
Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne, vous devez en outre informer les personnes concernées dans les meilleurs délais, en termes clairs et simples, dès lors que la violation risque d’entraîner un danger sérieux pour leurs droits et libertés, sauf si les données étaient rendues incompréhensibles par chiffrement, si des mesures ultérieures ont écarté ce danger, ou si une communication publique équivalente s’impose en raison d’efforts disproportionnés (article 34, CNIL). Cette information n’est pas une option de communication : son absence constitue un manquement distinct, et son contenu servira de preuve dans les actions indemnitaires. Rédigez-la avec soin, sans minimiser les faits ni promettre ce que la technique ne garantit pas. La téléprocédure de notification de la CNIL et ses questionnaires guident le contenu attendu : nature et volume, point de contact, conséquences probables, mesures prises.
Parallèlement, toute personne concernée peut saisir la CNIL d’une plainte, et vous-même, en tant que client professionnel, pouvez signaler les manquements du prestataire et documenter votre propre diligence. La CNIL dispose d’une gamme de mesures allant de la mise en demeure à l’injonction sous astreinte et à l’amende administrative, dont le montant tient compte de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées, du caractère délibéré ou négligent, des mesures d’atténuation et des antécédents. Les sanctions que la CNIL peut prononcer contre une entreprise, de la mise en demeure à l’amende et à l’astreinte, s’appliquent aux responsables comme aux sous-traitants : un prestataire qui traite sans contrat écrit, qui multiplie les sous-traitants ultérieurs non autorisés ou qui transfère les données sans garanties s’expose directement. Pour les entreprises établies à Paris ou en Île-de-France, le paysage procédural est concentré : la CNIL siège à Paris, les plaintes se déposent en ligne, et le contentieux indemnitaire relève du tribunal judiciaire du lieu de votre établissement ou de votre résidence habituelle, ce qui, en pratique francilienne, conduit souvent devant le tribunal judiciaire de Paris, juridiction rompue à ces litiges. Mentionnez dans vos écrits les délais pratiques constatés : réponse du prestataire sous quinze jours, instruction CNIL sur plusieurs mois, référé en quelques semaines lorsque les données sont retenues ou menacées de suppression.
L’action en réparation constitue le dernier étage, et le plus exigeant en preuve. L’article 82 ouvre à toute personne ayant subi un préjudice matériel ou moral résultant d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1, CNIL). Le sous-traitant ne répond du dommage que s’il a méconnu les obligations qui lui incombent en propre au titre du règlement, ou s’il a outrepassé les instructions licites du responsable du traitement ou agi à leur encontre (article 82, paragraphe 2, CNIL) ; chacun peut s’exonérer en prouvant que le fait à l’origine du dommage ne lui est nullement imputable. En pratique de client, deux actions se combinent : l’action contractuelle contre le prestataire, fondée sur l’inexécution du contrat de sous-traitance et le droit commun de la responsabilité contractuelle, selon lequel « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution » (article 1231-1 du Code civil) ; et l’action des personnes concernées, sur le fondement de l’article 82, à laquelle vous pouvez être exposé avant de vous retourner contre le prestataire. Ce droit complète la protection civile de la vie privée, puisque « Chacun a droit au respect de sa vie privée » (article 9 du Code civil). Quantifiez chaque préjudice : coûts de remédiation et d’audit, perte d’exploitation, notification et assistance aux personnes, atteinte à la réputation documentée par des résiliations clients, et, pour les personnes physiques, trouble moral étayé par des pièces (démarches entreprises, crainte avérée d’usurpation après diffusion de données d’identité, temps passé). Le droit commun complète le dispositif : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du Code civil). Sans pièces, le préjudice moral reste allégué ; avec pièces, il devient indemnisable.
Conclusion
Un prestataire SaaS ou cloud sans contrat de sous-traitance écrit, avec des sous-traitants ultérieurs non autorisés, des transferts hors Union européenne sans garanties et des mesures de sécurité invérifiables, n’est pas un simple mauvais fournisseur : c’est un risque juridique qui pèse d’abord sur vous, responsable du traitement. La méthode tient en cinq gestes : qualifier les rôles par écrit, exiger le contrat de l’article 28 avec audit et réversibilité, cartographier les transferts et leurs fondements, notifier toute violation dans les délais et en informer les personnes lorsque le risque est élevé, puis mettre en demeure sur des griefs datés avant de suspendre, de résilier, de saisir la CNIL et d’agir en réparation. Chaque étape se prouve : classeur de preuves, lettres recommandées, constats, journaux, registre des violations. Menée avec cette rigueur, l’action contre le prestataire cesse d’être un rapport de force commercial pour devenir un dossier juridique : restitution des données, suppression des copies, cessation des transferts non encadrés et indemnisation des préjudices réellement démontrés.