Un sous-traitant, au sens du RGPD (nouvel onglet) (art. 4, point 8), est la personne ou l’organisation qui traite des données personnelles pour le compte d’un responsable de traitement. Il agit sur instructions et ne décide pas, seul, de ce que deviennent les données.
Que doit contenir le contrat de sous-traitance ?
L’article 28 du RGPD impose un contrat écrit. Il décrit l’objet et la durée du traitement, sa finalité, les types de données et les catégories de personnes concernées. Il engage le sous-traitant à :
- ne traiter les données que sur instructions documentées du responsable ;
- veiller à la confidentialité des personnes autorisées à y accéder ;
- assurer la sécurité des données (art. 32) ;
- ne recourir à un autre sous-traitant qu’avec une autorisation écrite préalable ;
- aider le responsable à répondre aux demandes des patients et en cas de violation de données ;
- supprimer ou restituer toutes les données en fin de prestation, au choix du responsable, et détruire les copies, sauf obligation légale de conservation ;
- fournir les informations nécessaires et permettre des audits.
Qu’est-ce qu’un sous-traitant ultérieur ?
C’est le prestataire auquel le sous-traitant confie à son tour une partie du traitement, par exemple l’hébergeur des serveurs d’un éditeur de logiciel. Il faut l’autorisation écrite du responsable, spécifique ou générale ; dans le second cas, le responsable est informé des changements et peut s’y opposer. Les mêmes obligations s’imposent à chaque maillon (art. 28, paragraphes 2 et 4).
Les pièges à éviter
- Croire que le prestataire endosse tout. Le responsable de traitement doit choisir un sous-traitant qui présente des garanties suffisantes (art. 28, paragraphe 1) ; il reste responsable de ce choix.
- Oublier les obligations propres du sous-traitant. Il tient son propre registre (art. 30), sécurise les données et signale toute violation au responsable dans les meilleurs délais (art. 33).
- Confondre les contrats. Pour des données de santé hébergées, le contrat d’hébergement a ses propres clauses obligatoires (CSP, art. R1111-11 (nouvel onglet)) : il s’ajoute à l’accord de sous-traitance (voir HDS).
Dans Ostheo, vous êtes responsable du traitement et Ostheo agit comme sous-traitant de votre cabinet. La page Sécurité indique ce qui reste à publier : l’accord de sous-traitance (article 28), la liste des sous-traitants ultérieurs et le contact du délégué à la protection des données. Pour la notion d’ensemble, voir RGPD.
Sources
Textes et pages officielles consultés pour rédiger cette page.
- [1]Règlement (UE) 2016/679 (RGPD), articles 4, 28, 30, 32 et 33EUR-Lex · eur-lex.europa.eu · consulté le 19 octobre 2026
- [2]Code de la santé publique, article R1111-11 (contrat d’hébergement de données de santé)Légifrance · legifrance.gouv.fr · consulté le 19 octobre 2026
Questions fréquentes
Mon logiciel de cabinet est-il un sous-traitant ?
Oui, s’il traite les données de vos patients pour votre compte et sur vos instructions. Vous restez responsable de traitement.
Que deviennent mes données à la fin du contrat ?
Le sous-traitant doit, selon votre choix, les supprimer ou vous les renvoyer, puis détruire les copies, sauf si la loi impose de les conserver (RGPD, art. 28, paragraphe 3, g).