Sous-traitant (RGPD)
Mis à jour le 20 octobre 2026 · Yahia Lhouaoui
Cet article est informatif et ne constitue pas un avis juridique.
Entité qui traite des données personnelles pour le compte du responsable du traitement, par exemple l’éditeur d’un CRM.
Le sous-traitant est, selon l’article 4.8 du RGPD, celui qui traite des données personnelles pour le compte du responsable du traitement. Pour un cabinet de courtage, c’est typiquement l’éditeur du CRM qui héberge les données des clients. Il agit sur instructions et ne décide pas des finalités.
Que doit prévoir le contrat de sous-traitance ?
L’article 28.3 rend ce contrat obligatoire. Il prévoit notamment :
- des instructions documentées et la confidentialité du personnel ;
- la sécurité des traitements (article 32) ;
- les conditions de sous-traitance ultérieure ;
- l’aide apportée pour les droits des personnes et pour les articles 32 à 36 ;
- la suppression ou la restitution des données en fin de contrat ;
- les informations nécessaires et la possibilité d’audits.
Quelle différence avec le responsable du traitement ?
Le responsable du traitement détermine les finalités et les moyens ; le sous-traitant traite pour son compte. Dans la relation entre un cabinet et son CRM, le cabinet est le responsable (article 4.7). Voir le guide sur le contrat de sous-traitance et le CRM.
Ce que cela change pour un courtier
- Vérifier qu’un contrat de sous-traitance existe avec l’éditeur du CRM.
- Contrôler qu’il prévoit la suppression ou la restitution des données en fin de contrat.
- Rester le responsable du traitement des données de ses clients.