Lorsque le responsable du traitement des données recourt à un sous-traitant, l’article 34 de la loi Informatique et Liberté dispose que si « le sous-traitant doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité […] cette exigence ne décharge pas le responsable du traitement de son obligation de veiller au respect de ces mesures ». 

La violation de cette obligation de sécurisation est passible de sanctions pénales et administratives. La CNIL inflige ainsi des sanctions aux responsables de traitement non seulement pour leurs propres fautes, mais également lorsqu’elles ont recours à des sous-traitants. Plus encore, la CNIL sanctionne parfois des responsables de traitement pour des manquements à la sécurité commis exclusivement par leurs sous-traitants. 

En pratique, les responsables du traitement sont tenus de vérifier les garanties présentées par le sous-traitant et de prévoir une clause relative à la sécurité et à la confidentialité des données dans le contrat de sous-traitance. 

Le nouveau règlement européen RGPD, applicable à compter du 25 mai prochain, vient bousculer ces règles. 

En effet, l’article 82 du règlement dispose désormais que le responsable du traitement peut se dégager entièrement ou partiellement de sa responsabilité vis-à-vis des tiers lorsqu’il démontre que cette responsabilité incombe à son sous-traitant. 

Le sous-traitant sera donc tenu responsable du dommage causé par le traitement lorsqu’il : 

• n’aura pas respecté les obligations prévues par le règlement et qui lui incombent spécifiquement ; ou
• aura agi en dehors des instructions du responsable du traitement ou contrairement à celles-ci. 

À noter toutefois que la personne en charge du traitement reste responsable des éventuelles violations du règlement, même si elles n’ont occasionné aucun préjudice. Sur ce point, la situation demeure donc identique : les responsables du traitement sont tenus de vérifier les garanties présentées par le sous-traitant et de mettre en place un contrat dont les dispositions sont conformes au RGPD.