Un million d’euros pour des données conservées après la prestation
En novembre 2022, Deezer notifie à la CNIL une violation de données : des données de ses utilisateurs ont été mises en ligne sur le darknet. Son ancien sous-traitant, Mobius Solutions, dont elle utilisait les services pour des campagnes publicitaires personnalisées, est mis en cause (source CNIL).
L’enquête révèle un scénario que tout donneur d’ordre peut reconnaître. Mobius avait conservé une copie des données de plus de 46 millions d’utilisateurs après la fin du contrat, alors qu’il devait les supprimer. Des salariés les avaient en outre copiées dans un environnement hors production, sans instruction de Deezer.
Le 11 décembre 2025, la CNIL a infligé à Mobius une amende d’un million d’euros, notamment pour ne pas avoir supprimé les données à la fin du contrat et pour les avoir utilisées sans instruction.
Le prestataire a été sanctionné, pas son client. Mais c’est Deezer, responsable du traitement, qui a dû notifier la violation et en gérer les conséquences.
Dans les achats de prestations intellectuelles, la question des données arrive souvent tard, au moment de signer, parfois jamais. Or l’article 28 du RGPD pose des obligations précises au donneur d’ordre.
Quand un prestataire devient-il « sous-traitant RGPD » ?
Le principe est simple. Dès qu’un prestataire traite des données personnelles pour le compte de votre entreprise, il est sous-traitant au sens du RGPD, et l’article 28 s’applique.
Dans les prestations intellectuelles, les situations concernées sont nombreuses :
- une prestation de paramétrage ou de maintenance sur un SIRH ;
- une reprise de données dans un CRM ;
- une recette applicative réalisée sur une copie des données de production ;
- une étude marketing menée à partir de votre fichier clients ;
- un support applicatif avec accès aux comptes des utilisateurs.
En langage RGPD, le client est le responsable du traitement : c’est lui qui décide pourquoi et comment les données sont traitées. Le prestataire est sous-traitant : il agit sur ses instructions.
En cas de contrôle, la CNIL n’est pas liée par les qualifications retenues dans le contrat. Elle regarde qui détermine réellement les finalités et les moyens du traitement (lignes directrices 07/2020 du CEPD).
Un prestataire qui les fixe lui-même, hors de vos instructions, sort de son rôle. L’article 28.10 le considère alors comme responsable du traitement, avec toutes les obligations qui vont avec.
Ce que le contrat doit contenir
L’article 28 impose un contrat écrit entre le client et son prestataire, souvent appelé DPA (Data Processing Agreement). Il peut être intégré au contrat de prestation ou annexé. Sa forme importe peu ; son contenu, lui, est fixé par le texte.
Les mentions obligatoires :
- l’objet et la durée du traitement, sa nature et sa finalité, les types de données et les catégories de personnes concernées ;
- un traitement sur instructions documentées du client, et uniquement sur ces instructions, y compris pour tout transfert de données hors de l’Union européenne ;
- la confidentialité imposée à chaque personne autorisée à accéder aux données ;
- les mesures de sécurité mises en œuvre par le prestataire ;
- l’interdiction de sous-traiter sans autorisation écrite préalable du client, spécifique ou générale ;
- l’assistance du prestataire pour répondre aux demandes des personnes concernées et pour mener une analyse d’impact ;
- l’alerte sans délai en cas de violation de données : vous disposez ensuite de 72 heures, à partir du moment où vous en avez connaissance, pour la notifier à la CNIL ;
- le sort des données en fin de prestation : suppression ou restitution, au choix du client ;
- la mise à disposition des preuves de conformité, la possibilité d’audits, et l’obligation de vous prévenir si une de vos instructions lui paraît contraire au RGPD.
Vous n’avez pas à partir d’une page blanche. Le contrat peut s’appuyer sur des clauses contractuelles types, établies par la Commission européenne ou par une autorité de protection des données. Elles ne sont pas obligatoires si le contrat contient déjà tous les éléments exigés par l’article 28.
Le même contrat de prestation doit aussi régler la propriété intellectuelle des livrables : voir notre article sur la propriété des livrables en prestations intellectuelles.
Le donneur d’ordre aussi peut être sanctionné
Le risque ne pèse pas que sur le prestataire. En 2023, la CNIL a sanctionné le groupe Canal+ d’une amende de 600 000 euros. Parmi les griefs figurait l’absence de contrats appropriés avec l’ensemble de ses sous-traitants, à côté de manquements en matière de prospection, de sécurité et d’information des personnes (source Hunton).
L’amende ne sanctionne donc pas ce seul point, mais il en faisait partie. La décision fait l’objet d’un recours : en mai 2025, le Conseil d’État a posé des questions à la CJUE sur la prospection commerciale avant de statuer.
Un contrat absent ou incomplet engage la responsabilité du donneur d’ordre, même si le prestataire n’a commis aucune faute. Le non-respect de l’article 28 est passible d’une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83.4).
La sous-traitance en cascade : le maillon que vous ne voyez pas
Dans les prestations intellectuelles, la chaîne est rarement directe. Une ESN confie la prestation à un freelance, lui-même passé par une société de portage. Chaque rang accède à vos données.
Le RGPD encadre cette situation. Lorsqu’un sous-traitant recrute un autre sous-traitant, les mêmes obligations de protection des données doivent être imposées à ce dernier par contrat. Si ce sous-traitant ultérieur ne remplit pas ses obligations, le sous-traitant initial demeure pleinement responsable devant le client.
Mais cette responsabilité du prestataire ne décharge pas le donneur d’ordre. Le Comité européen de la protection des données (CEPD) l’a précisé dans son avis 22/2024 du 7 octobre 2024 :
- Vous devez connaître toute la chaîne. Les responsables de traitement doivent pouvoir disposer à tout moment d’informations sur l’identité de tous leurs sous-traitants, initiaux ou ultérieurs.
- Vous devez pouvoir prouver votre vérification. Ils sont tenus de vérifier et de prouver que les sous-traitants de la chaîne présentent des garanties suffisantes, avec un niveau d’exigence qui dépend du risque lié au traitement.
- Sans pour autant tout exiger. Le responsable n’est pas obligé de vérifier systématiquement les contrats des sous-traitants ultérieurs, mais doit évaluer au cas par cas si cela est nécessaire.
En pratique, déclarer toute sous-traitance avant le démarrage répond à trois sujets à la fois : la conformité au RGPD, la vigilance vis-à-vis de l’Urssaf et la maîtrise de la chaîne de droits sur les livrables.
L’IA générative : le sous-traitant caché
Le scénario est simple. Pour gagner du temps, un consultant colle un extrait de votre base clients dans un assistant d’IA grand public, afin de le nettoyer ou de le résumer. Sans que personne ne l’ait décidé, l’éditeur de cet outil entre dans votre chaîne de traitement, comme sous-traitant ultérieur non autorisé.
Trois points juridiques à connaître :
- les conditions générales d’utilisation d’un outil grand public ne tiennent généralement pas lieu de contrat de sous-traitance conforme à l’article 28 ;
- si l’éditeur réutilise les requêtes pour entraîner ses modèles, il détermine lui-même les finalités : l’article 28.10 le considère alors comme responsable de traitement ;
- si l’outil est hébergé hors de l’Union européenne, la question des transferts de données s’ajoute.
Les offres entreprises de ces outils proposent généralement un contrat de traitement des données et la possibilité de désactiver l’utilisation des données pour l’entraînement. Le sujet n’est donc pas d’interdire l’IA, mais de savoir ce qui est utilisé.
Pour le donneur d’ordre, cela se traduit par une clause simple : le prestataire déclare les outils d’IA qu’il utilise sur vos données, et s’interdit ceux que vous n’avez pas autorisés.
Un contrat qui vit pendant toute la prestation
Un DPA signé puis rangé ne protège pas longtemps. Une prestation évolue : le périmètre s’étend, de nouveaux accès sont ouverts, un consultant est remplacé, un sous-traitant arrive. Le contrat doit suivre.
À la consultation
Identifiez les enjeux dès l’expression du besoin, avant de recevoir les offres : quelles données, quels accès, quel rôle pour le prestataire. C’est aussi le moment de privilégier des dossiers de compétences anonymes. Cette pratique de prudence, qui n’est pas une obligation, limite la collecte de données personnelles inutiles sur les candidats (voir notre article sur le prêt de main-d’œuvre illicite).
Pendant la prestation
Chaque extension de périmètre, nouvel accès ou nouveau sous-traitant doit donner lieu à une mise à jour du DPA.
En fin de prestation
C’est l’étape la plus souvent oubliée, et celle qui a coûté cher à Mobius. L’article 28.3.g impose la suppression ou la restitution des données au terme de la prestation. Fermez les accès, obtenez la restitution ou la suppression des données, et conservez une preuve écrite.
Ce suivi n’a rien de théorique. La CNIL a reçu 6 167 notifications de violation en 2025, un record, et consacrera la moitié de ses contrôles de 2026 à la sécurité des données (rapport annuel CNIL). Un prestataire dont le contrat n’est plus à jour est un accès que vous ne maîtrisez plus.
Rendre la règle systématique
Beaucoup d’entreprises ignorent qu’un prestataire qui accède à leurs données doit être encadré par un contrat spécifique. Et quand elles le savent, la question arrive souvent trop tard : la prestation a démarré dans l’urgence, le prestataire était « déjà connu », ou personne n’a posé la question des données au bon moment.
Quatre réflexes permettent de passer du cas par cas à une pratique systématique :
- une règle simple : aucun accès à des données personnelles sans DPA signé, y compris dans l’urgence ;
- une question RGPD dans chaque consultation : quelles données, quels accès, quel rôle pour le prestataire ;
- une vision consolidée des prestataires qui accèdent à des données personnelles, avec leurs sous-traitants à chaque rang ;
- une clôture de prestation formalisée : fin des accès, restitution ou suppression des données, preuve conservée.
Dans OBMS, le sujet RGPD est traité dès la création du besoin et pendant tout le projet. Un export des projets impactés par le RGPD est disponible.
Le jour d’un contrôle, la question sera la même que pour l’Urssaf : qu’avez-vous vérifié, quand, et pouvez-vous le montrer ?
En résumé
Le RGPD ne demande pas au donneur d’ordre de tout faire lui-même. Il lui demande de savoir qui touche à ses données, sur quelles instructions, et ce qu’elles deviennent à la fin de la prestation. C’est d’abord une question de contrat, puis de suivi. Appliqués à chaque prestation, ces réflexes évitent de découvrir, au moment d’une violation, que l’on ne savait pas où étaient ses données.
Questions fréquentes
Un consultant en assistance technique qui travaille sur mes outils est-il un sous-traitant RGPD ?
Oui, ou plus exactement son employeur, le prestataire, qui devient votre sous-traitant dès que le consultant traite des données personnelles pour le compte de votre entreprise. Que la prestation soit en assistance technique ou au forfait ne change rien à la qualification. Un contrat conforme à l’article 28 est nécessaire.
Si mon prestataire sous-traite à un freelance, qui est responsable ?
Le prestataire initial reste pleinement responsable devant vous des manquements de son sous-traitant. Mais vous devez connaître l’identité de chaque intervenant de la chaîne et avoir autorisé la sous-traitance au préalable, par écrit.
Que faire des données à la fin de la prestation ?
Le contrat doit prévoir leur suppression ou leur restitution, au choix du client. Demandez une confirmation écrite et vérifiez que les accès ont bien été fermés. Une copie conservée par le prestataire après la prestation, sans instruction du responsable de traitement ni obligation légale de conservation, peut constituer un manquement au RGPD.