Registre des sous-traitants RGPD : comment le créer et le tenir à jour

Dès qu’une entreprise confie des données personnelles à un prestataire externe, elle doit pouvoir le prouver et encadrer cette relation. Le registre des sous-traitants RGPD est l’outil qui centralise cette information et sécurise juridiquement chaque prestation impliquant des données. Il complète le registre des traitements, sans le remplacer, et devient un réflexe pour tout dirigeant soucieux de sa conformité.

Qu’est-ce que le registre des sous-traitants rgpd ?

Le registre des sous-traitants est un document qui recense l’ensemble des prestataires externes traitant des données personnelles pour le compte d’une entreprise. Il peut s’agir d’un hébergeur web, d’un logiciel de paie, d’un prestataire d’emailing ou d’un cabinet comptable qui accède à des fichiers clients. Chaque sous-traitant identifié doit faire l’objet d’une fiche décrivant précisément le traitement qui lui est confié.

Ce registre ne se limite pas à une simple liste de noms. Il documente aussi le niveau de garantie offert par chaque prestataire en matière de sécurité des données, ainsi que l’existence d’un contrat conforme aux exigences du RGPD. C’est un outil de pilotage, pas un simple exercice administratif.

Le registre des sous-traitants est-il obligatoire ?

Le RGPD n’impose pas nommément un « registre des sous-traitants » distinct, contrairement au registre des activités de traitement prévu à l’article 30. En revanche, l’article 28 impose de contractualiser avec chaque sous-traitant et d’exercer un contrôle sur ses pratiques, ce qui rend ce registre indispensable en pratique.

Sans ce document, une entreprise ne peut pas démontrer qu’elle a identifié ses prestataires ni qu’elle a vérifié leurs garanties. En cas de contrôle de la CNIL ou de violation de données chez un prestataire, l’absence de traçabilité constitue une faute lourde. C’est pourquoi la quasi-totalité des DPO recommandent ce registre, même pour les TPE et PME.

Qui peut consulter le registre des activités de traitement rgpd ?

Le registre des sous-traitants suit les mêmes règles de consultation que le registre des traitements. Il est accessible en interne au DPO, aux équipes concernées et à la direction. Notre article sur qui peut consulter le registre des activités de traitement RGPD détaille les personnes autorisées et les modalités de présentation à la CNIL en cas de contrôle.

Que doit contenir chaque fiche du registre des sous-traitants ?

Une fiche de registre des sous-traitants bien construite répond à des questions précises. Elle doit permettre de comprendre en un coup d’œil qui traite quoi, comment et avec quelles garanties.

• Le nom et les coordonnées du sous-traitant.
• La nature de la prestation (hébergement, paie, marketing, support client).
• Les catégories de données traitées (identité, coordonnées, données bancaires, données de santé).
• La finalité du traitement confié.
• Le lieu d’hébergement des données, y compris en cas de transfert hors Union européenne.
• Les mesures de sécurité mises en œuvre par le prestataire.
• La référence et la date du contrat ou de l’accord de sous-traitance.
• La durée de conservation des données par le sous-traitant.

Pour visualiser un modèle concret, notre exemple de fiche de registre RGPD commenté reprend chacun de ces champs avec des cas pratiques d’entreprise.

Comment créer son registre des sous-traitants en 5 étapes

Construire un registre des sous-traitants solide suit une logique simple, applicable dans n’importe quelle entreprise. Voici la méthode à suivre.

1. Lister tous les prestataires ayant accès à des données personnelles : hébergeur, logiciel métier, agence marketing, cabinet RH.
2. Qualifier chaque prestataire : sous-traitant au sens de l’article 28, ou responsable de traitement distinct.
3. Recenser les traitements confiés et les catégories de données concernées pour chacun.
4. Vérifier l’existence d’un contrat de sous-traitance conforme, incluant les clauses obligatoires du RGPD.
5. Consolider l’ensemble dans un document unique, mis à jour à chaque évolution du parc de prestataires.

Cette démarche s’appuie directement sur le registre des traitements déjà existant dans l’entreprise. Chaque traitement qui implique un prestataire externe doit renvoyer vers sa fiche sous-traitant correspondante.

Registre des sous-traitants et registre des traitements : quelle articulation ?

Le registre des traitements décrit les activités menées par l’entreprise elle-même : recrutement, gestion de la paie, prospection commerciale. Le registre des sous-traitants vient en complément : il précise, pour chaque traitement concerné, quel prestataire externe intervient et à quel titre. Les deux registres se répondent et ne doivent jamais être tenus de façon isolée.

Pour construire ou consolider le socle documentaire complet, notre guide complet du registre de traitement RGPD détaille la structure attendue et les rubriques à ne pas oublier.

Comment tenir à jour le registre des sous-traitants dans la durée ?

Un registre des sous-traitants n’a de valeur que s’il reste vivant. La mise à jour doit être déclenchée à chaque événement qui modifie le paysage des prestataires de l’entreprise.

• Signature d’un nouveau contrat avec un prestataire.
• Fin de collaboration avec un sous-traitant existant.
• Changement de conditions générales chez un fournisseur cloud ou SaaS.
• Ajout d’une nouvelle finalité de traitement chez un prestataire déjà référencé.
• Revue annuelle programmée, même en l’absence de changement apparent.

Désigner un référent interne, souvent le DPO ou le responsable conformité, garantit que cette mise à jour ne repose pas sur la mémoire d’un seul collaborateur.

Quels outils utiliser pour gérer son registre des sous-traitants ?

Au démarrage, un tableur structuré suffit largement pour une petite structure avec peu de prestataires. Dès que le nombre de sous-traitants augmente, ou que plusieurs personnes doivent contribuer au document, un logiciel dédié devient plus pertinent pour éviter les versions obsolètes et les oublis de mise à jour.

Notre comparatif du logiciel registre des traitements RGPD aide à choisir une solution adaptée à la taille de l’entreprise, avec des fonctionnalités de rappel automatique et de partage sécurisé entre équipes.

Quelles erreurs éviter avec le registre des sous-traitants ?

Plusieurs erreurs reviennent régulièrement chez les entreprises qui découvrent cette obligation tardivement. La plus fréquente consiste à confondre sous-traitant et simple fournisseur, ce qui fausse tout le reste du registre.

• Oublier les prestataires « invisibles » comme les outils d’emailing ou les extensions de site web.
• Ne pas vérifier si un sous-traitant recourt lui-même à d’autres sous-traitants (sous-traitance en cascade).
• Signer un contrat générique sans les clauses obligatoires de l’article 28.
• Laisser le registre figé pendant plusieurs années sans revue.
• Ne pas s’appuyer sur un exemple concret pour cadrer le niveau de détail attendu.

Pour éviter ces écueils, s’inspirer d’un document déjà complété reste la méthode la plus efficace. Notre exemple de registre RGPD rempli et commenté montre comment un registre finalisé se présente concrètement, prestataire par prestataire.

Questions fréquentes

Le registre des sous-traitants est-il obligatoire pour une PME ?
Il n’est pas nommément exigé par le texte du RGPD, mais l’obligation de contractualiser avec chaque sous-traitant rend ce registre indispensable dans les faits, quelle que soit la taille de l’entreprise.

Quelle différence entre un sous-traitant et un responsable de traitement ?
Le sous-traitant agit sur instruction du responsable de traitement, sans déterminer lui-même les finalités. Un prestataire qui décide de ses propres finalités devient responsable de traitement distinct, avec ses propres obligations.

Faut-il un contrat spécifique avec chaque sous-traitant ?
Oui. L’article 28 du RGPD impose un contrat ou un accord écrit précisant l’objet, la durée, la nature et la finalité du traitement, ainsi que les obligations de sécurité du sous-traitant.

Le registre des sous-traitants remplace-t-il le registre des traitements ?
Non. Les deux documents sont complémentaires. Le registre des traitements décrit les activités de l’entreprise, le registre des sous-traitants précise les prestataires externes associés à certains de ces traitements.

Quel format choisir pour démarrer son registre des sous-traitants ?
Un tableur structuré convient pour démarrer rapidement. Un logiciel dédié devient utile dès que le nombre de prestataires ou de contributeurs internes augmente, pour fiabiliser les mises à jour.