Quelle responsabilité du sous-traitant en cas de violation de données personnelles ?

Une violation de données ne met pas seulement en cause le responsable du traitement. Depuis le RGPD, le sous-traitant est devenu un acteur directement exposé, sur le terrain civil comme sur celui des sanctions administratives. Hébergeur, éditeur de logiciel, prestataire d'infogérance ou centre d'appels : chacun peut voir sa responsabilité engagée lorsque ses propres obligations n'ont pas été respectées. La question n'est donc plus de savoir si le sous-traitant peut être inquiété, mais dans quelles conditions et dans quelle mesure. La réponse combine trois logiques distinctes : la réparation du préjudice subi par les personnes, le risque d'amende prononcée par la CNIL, et la répartition contractuelle de la charge entre le responsable et son prestataire. Les confondre conduit à de mauvaises décisions au moment où survient l'incident.

Chaque situation reste particulière et dépend des stipulations du contrat de sous-traitance comme des circonstances de la violation. L'analyse ci-dessous expose le cadre applicable, non une consultation adaptée à un cas précis.

Le sous-traitant, un acteur directement responsable au regard du RGPD

L'article 82.1 du RGPD est sans ambiguïté : toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement a le droit d'obtenir réparation « du responsable du traitement ou du sous-traitant ». Le sous-traitant n'est donc pas un simple exécutant déchargé de toute responsabilité par le donneur d'ordre.

Cette exposition se double d'obligations propres. L'article 32 impose au responsable et au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles appropriées au risque. L'article 28.3 énumère les engagements que le contrat doit faire peser sur le sous-traitant : agir sur instruction documentée, garantir la confidentialité, encadrer la sous-traitance ultérieure, assister le responsable, sécuriser les données. Le manquement à l'une de ces obligations est précisément ce qui ouvre la voie à la responsabilité.

Dans quels cas la responsabilité du sous-traitant est-elle engagée ?

Le manquement à ses obligations propres

L'article 82.2 fixe la règle : le sous-traitant n'est tenu responsable du dommage « que s'il n'a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ». Autrement dit, un défaut de sécurité imputable au prestataire, une conservation au-delà du terme convenu ou un recours non autorisé à un sous-traitant ultérieur peuvent fonder sa responsabilité.

L'action en dehors des instructions du responsable

Le même article vise le sous-traitant qui « a agi en dehors des instructions licites du responsable du traitement ou contrairement à celles-ci ». Le prestataire qui détourne les données de leur finalité, ou qui passe outre une instruction écrite, sort du périmètre protecteur de sa qualité de simple exécutant et engage sa responsabilité.

À l'inverse, l'article 82.3 prévoit une cause d'exonération : l'acteur est dégagé « s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable ». La charge de cette preuve pèse sur celui qui s'en prévaut, ce qui suppose une traçabilité rigoureuse des mesures de sécurité et des instructions reçues.

Réparation du préjudice : responsabilité solidaire et action récursoire

Lorsque plusieurs acteurs participent au même traitement, l'article 82.4 organise une responsabilité solidaire : chacun est « tenu responsable du dommage dans sa totalité » afin de garantir à la personne concernée une réparation effective. La victime peut donc agir contre le responsable, contre le sous-traitant, ou contre les deux, pour l'intégralité de son préjudice.

Cette solidarité ne règle toutefois que les rapports avec la victime. Entre les parties, celui qui a indemnisé peut ensuite se retourner contre les autres à hauteur de leur part de responsabilité. Le résultat de cette répartition dépend des stipulations contractuelles et de l'imputabilité réelle du manquement ; il doit être analysé au cas par cas.

Sanctions administratives : un risque distinct de l'indemnisation

La réparation civile ne se confond pas avec la sanction administrative. La CNIL peut prononcer des amendes dont l'article 83 fixe les plafonds : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour certains manquements (notamment aux obligations des articles 28 et 32), et jusqu'à 20 millions d'euros ou 4 % pour les violations des principes fondamentaux. Le sous-traitant peut être directement visé pour le manquement à ses obligations propres.

Lorsque l'article 83 du RGPD est mobilisé, l'amende administrative ne relève pas d'une responsabilité automatique. La Cour de justice de l'Union européenne a précisé qu'une telle amende suppose que le manquement ait été commis intentionnellement ou par négligence, notamment dans l'arrêt Deutsche Wohnen du 5 décembre 2023 (affaire C-807/21). Cette exigence ne supprime pas le risque de sanction, mais elle impose d'analyser concrètement le comportement du responsable ou du sous-traitant, les mesures prises et la documentation disponible.

Ces montants sont des maxima. Le quantum éventuel dépend des critères de l'article 83.2 (gravité, durée, mesures prises, coopération) et relève de l'appréciation de l'autorité, puis du juge en cas de recours. Aucune amende « type » ne peut être annoncée à l'avance.

Violation de données : les réflexes contractuels et opérationnels

La gestion d'un incident commence avant lui, dans le contrat. L'article 33.2 impose au sous-traitant de notifier au responsable « toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance ». C'est cette information qui permet au responsable de tenir, le cas échéant, le délai de 72 heures pour notifier la CNIL (article 33.1) et d'informer les personnes concernées en cas de risque élevé (article 34).

• Définir contractuellement un canal et un délai d'alerte internes au sous-traitant, plus courts que les délais légaux du responsable.
• Documenter les mesures de sécurité (article 32) pour pouvoir établir l'absence d'imputabilité le moment venu.
• Cartographier les sous-traitants ultérieurs et leurs garanties.
• Prévoir les modalités de coopération, de preuve et de prise en charge des coûts d'investigation.

Points de vigilance

• La qualité de sous-traitant ne fait pas écran : le manquement à une obligation propre suffit à engager la responsabilité.
• Une clause limitative de responsabilité dans le contrat n'est pas opposable à la personne concernée ; elle ne joue qu'entre les parties.
• La frontière responsable / sous-traitant / responsables conjoints (article 26) doit être vérifiée : une requalification modifie le régime de responsabilité.
• La preuve de la diligence repose sur la documentation : registre, mesures de sécurité, journal des instructions.

Dans quels cas consulter un avocat ?

L'accompagnement d'un avocat est utile pour auditer la répartition des responsabilités avant la signature, pour calibrer les clauses de sécurité, de notification et de responsabilité du contrat de sous-traitance de données personnelles, et pour piloter la réponse à un incident. En cas de procédure devant la CNIL, l'enjeu se déplace vers la défense lors d'un contrôle ou d'une sanction. Plus en amont, la sécurisation d'ensemble relève d'une démarche de mise en conformité RGPD.

Chaque dossier mérite une analyse propre : la solution dépend des faits, de la rédaction du contrat et de la jurisprudence applicable.

Ce que dit le droit

La responsabilité du sous-traitant trouve son siège dans l'article 82 du RGPD. Son paragraphe 2 dispose : « Un sous-traitant n'est tenu pour responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu'il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci. » Toute personne ayant subi un dommage matériel ou moral peut agir directement contre le sous-traitant (article 82, paragraphe 1).

Ces obligations propres au sous-traitant sont fixées par l'article 28 du RGPD. Leur méconnaissance expose en outre à une amende administrative au titre de l'article 83.

Sources officielles

• Article 82 du RGPD (Règlement UE 2016/679), droit à réparation et responsabilité : CNIL
• Article 28 du RGPD, sous-traitant : CNIL

Chaque situation est particulière. Pour sécuriser un contrat de sous-traitance ou gérer une violation de données, nos avocats en RGPD vous accompagnent.

Pour être accompagné : avocat contrat de sous-traitance de données personnelles.

Pour la gestion juridique complète d’un incident (qualification du risque, notification, information des personnes), consultez notre page avocat violation de données personnelles.