Ce que ça veut dire pour votre entreprise
Au sens du RGPD, un sous-traitant n'est pas seulement une entreprise de sous-traitance industrielle : c'est tout tiers qui traite des données personnelles pour votre compte. Votre hébergeur web, votre logiciel de caisse, votre CRM, votre outil d'emailing, votre expert-comptable pour la paie, votre solution de prise de rendez-vous en ligne — tous sont vos sous-traitants.
Une TPE moyenne en a une dizaine sans le savoir. L'enjeu est double : les recenser (ils figurent dans votre registre) et les choisir sérieusement — un prestataire qui ne présente pas de garanties RGPD vous met en risque, car vous restez responsable des données que vous lui confiez.
Ce que dit la loi
L'article 28 du RGPD impose que la relation soit encadrée par un contrat (ou des CGU) précisant l'objet du traitement, sa durée, et les obligations de sécurité du prestataire. Les grands éditeurs sérieux publient pour cela un « DPA » (Data Processing Agreement) — c'est un bon réflexe de vérification avant de signer. L'article 28 exige aussi que le sous-traitant n'engage pas lui-même un autre sous-traitant sans votre autorisation.
Par où commencer
- Listez tous vos outils et prestataires qui touchent des données : la liste est toujours plus longue qu'on ne croit.
- Pour chacun : où sont hébergées les données (UE ou hors UE ?) et existe-t-il un DPA ?
- Appuyez-vous sur un catalogue préqualifié : la plateforme propose les sous-traitants courants (hébergeurs, logiciels métier) avec leurs liens DPA, à épingler en deux clics.