Questions fréquentes
Quelle est la différence entre RT et ST au sens du RGPD ?
Le responsable de traitement (RT) décide des finalités et des moyens du traitement. Le sous-traitant (ST) exécute le traitement pour le compte du RT, sans pouvoir décisionnel sur la finalité. Cette qualification se déduit de la réalité opérationnelle, pas du contrat.
Mon CRM est-il un sous-traitant RGPD ?
Oui, dans la grande majorité des cas. Un éditeur SaaS qui héberge vos données clients (CRM, emailing, CDP…) est sous-traitant : il traite ces données selon vos instructions, sans en faire un usage propre. Vous restez RT — c'est vous qui êtes redevable en cas de contrôle.
Que sont les sous-traitants ultérieurs (sub-processors) ?
Ce sont les sous-traitants de votre sous-traitant. Exemple : votre CRM utilise un hébergeur cloud pour stocker les données — cet hébergeur est sous-processeur. Le RGPD impose au ST de publier la liste de ses sous-processeurs et d'obtenir votre autorisation préalable avant tout changement.
Qui est responsable en cas de violation de données chez le sous-traitant ?
Le RT et le ST sont solidairement responsables à l'égard de la personne concernée (Article 82). Mais devant la CNIL, le RT reste en première ligne : il doit démontrer qu'il a correctement choisi et contrôlé son sous-traitant.