Derrière toute opération de traitement de données à caractère personnel se cache souvent un acteur de l’ombre : le prestataire qui héberge la base clients, l’éditeur du logiciel de paie, la plateforme d’envoi de courriels, le centre d’appels externalisé. Tous manipulent des données — mais aucun ne décide, à proprement parler, de la raison pour laquelle elles sont traitées. Le droit leur réserve une qualification propre : celle de sous-traitant.
L’enjeu de cette qualification n’a rien de théorique. Selon que l’on est responsable du traitement ou sous-traitant, le régime de responsabilité, l’étendue des obligations et la charge contractuelle ne sont pas les mêmes. Or, contrairement à une idée répandue, la qualité de sous-traitant ne se déduit pas du statut de l’entreprise ni de la nature de son activité : elle résulte de ce qu’elle fait concrètement des données, et de la place qu’elle occupe dans la décision de les traiter.
Ignorée de la convention 108, la notion a trouvé sa consécration dans le règlement général sur la protection des données (RGPD), qui en livre une définition fonctionnelle articulée autour d’un seul critère décisif : agir pour le compte du responsable du traitement. C’est cette définition, ses deux conditions et ses limites, que les développements qui suivent se proposent d’examiner.
Une notion longtemps absente, désormais centrale
Alors que la notion de sous-traitant n’était pas définie dans la convention 108, elle figure désormais en bonne place dans le RGPD. L’article 4 de ce texte en pose une définition délibérément large, destinée à embrasser un vaste éventail d’acteurs susceptibles de tenir ce rôle : « une personne physique ou morale, une autorité publique, un service ou tout autre organisme ».
Le sous-traitant est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ».
Entité juridiquement distincte du responsable du traitement, qui traite des données à caractère personnel pour le compte de ce dernier et sur ses instructions, sans en déterminer elle-même les finalités ni les moyens essentiels.
L’existence d’un sous-traitant dépend du responsable du traitement, qui peut décider :
- soit de traiter les données au sein de son organisation, par exemple en habilitant des collaborateurs à traiter les données sous son autorité directe ;
- soit de déléguer tout ou partie des activités de traitement à une organisation extérieure — c’est-à-dire à une personne juridiquement distincte du responsable, mais agissant pour son compte.
Les deux conditions de la qualification
De cette définition se dégagent les deux conditions fondamentales, cumulatives, pour agir en qualité de sous-traitant :
- d’une part, être une entité juridique distincte du responsable du traitement ;
- d’autre part, traiter les données à caractère personnel pour le compte de ce dernier.
L’activité de traitement ainsi déléguée peut se limiter à une tâche ou à un contexte bien précis, ou se révéler plus générale et étendue. Peu importe son ampleur : ce qui caractérise le sous-traitant, ce n’est pas le volume de ce qu’il fait, mais la dépendance fonctionnelle dans laquelle il agit.
Une société de e-commerce confie l’hébergement de sa base clients à un prestataire cloud et l’envoi de ses courriels promotionnels à une plateforme spécialisée. Ni l’hébergeur ni la plateforme ne décident pourquoi les données sont traitées : ils exécutent les consignes du commerçant, qui demeure responsable du traitement. Tous deux sont, pour ces opérations, de simples sous-traitants — quand bien même l’un manipulerait l’intégralité de la base et l’autre une seule campagne d’envoi.
Une qualification fonctionnelle, non statutaire
Le rôle de sous-traitant ne découle pas de la nature de l’entité qui traite les données, mais de ses activités concrètes dans un cadre déterminé. La qualification est fonctionnelle : elle s’attache à ce que l’acteur fait, et non à ce qu’il est.
Il en résulte qu’une même entité peut agir à la fois en qualité de responsable du traitement pour certaines opérations et en tant que sous-traitant pour d’autres. La qualification de responsable ou de sous-traitant doit donc s’apprécier operatio per operationem : au regard d’un ensemble spécifique de données ou d’opérations, et non globalement, à l’échelle de l’organisme.
Agir « pour le compte » du responsable
L’aspect le plus important de la définition tient à l’exigence que le sous-traitant agisse « pour le compte du responsable de traitement ». Agir pour le compte de autrui, c’est servir les intérêts d’un tiers : l’expression renvoie à la notion juridique de délégation.
Dans le champ de la protection des données, le sous-traitant est ainsi amené à exécuter les instructions données par le responsable du traitement, à tout le moins en ce qui concerne la finalité du traitement et les éléments essentiels des moyens. Sa liberté d’action se mesure à l’aune du mandat reçu : la licéité de son activité est déterminée par le mandat donné par le responsable du traitement.
De là une limite décisive : le sous-traitant qui outrepasse son mandat et acquiert un rôle important dans la détermination des finalités ou des moyens essentiels du traitement cesse d’être un simple exécutant. Il devient alors davantage un (co)responsable qu’un sous-traitant — excessus mandati emportant requalification. La frontière entre les deux qualités ne tient donc pas à un seuil quantitatif, mais au pouvoir de décision réellement exercé sur le pourquoi et le comment du traitement.
L’encadrement contractuel de la mission
Parce que le sous-traitant n’agit que sur mandat, encore faut-il que ce mandat soit formalisé. À cet égard, l’article 35 de la loi informatique et libertés prévoit que « le contrat liant le sous-traitant au responsable du traitement comporte l’indication des obligations incombant au sous-traitant en matière de protection de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instruction du responsable du traitement ».
Ainsi est-il fait obligation au responsable du traitement de définir contractuellement la mission confiée au sous-traitant. Le contrat n’est pas une simple formalité : il est l’instrument par lequel se traduit, en droit, la subordination fonctionnelle qui fonde la qualification — celui qui borne le périmètre des instructions, et au-delà duquel le prestataire bascule dans la responsabilité.
