L’ESP sous-traitant au sens du RGPD : rôles, contrat de sous-traitance, transferts

Ceci n’est pas un avis juridique. Synthèse de référence des lignes directrices 07/2020 du CEPD (version 2.1, adoptées le 7 juillet 2021), de l’article 28 du RGPD et des instruments de transfert de la Commission, à l’intention des exploitants d’ESP. Consultez un conseil pour la rédaction des contrats.

Un ESP dont les clients importent des listes de destinataires et envoient des campagnes par l’intermédiaire de la plateforme traite des données personnelles (adresses email, noms, événements d’engagement) pour le compte de ces clients. Au regard du RGPD, le client est alors responsable du traitement et l’ESP sous-traitant, avec des obligations qui s’appliquent directement à l’ESP, et pas seulement par le contrat. Cet article couvre les obligations au niveau de la plateforme ; les règles relatives au contenu et à l’envoi des emails de marketing figurent dans Directive ePrivacy et RGPD.

Rôles (lignes directrices 07/2020 du CEPD)

Les notions sont fonctionnelles (elles suivent les rôles réels, et non les étiquettes) et autonomes (définies par le droit de l’UE, et non par le contrat). Définitions :

• Responsable du traitement : détermine les finalités et les moyens (le « pourquoi » et le « comment ») du traitement. Il doit décider des deux, mais peut laisser au sous-traitant les « moyens non essentiels » (mise en œuvre pratique : choix du matériel ou des logiciels, mesures de sécurité détaillées). Les moyens essentiels (quelles données, de quelles personnes, pour combien de temps, qui y a accès) relèvent du responsable du traitement.
• Sous-traitant (article 4, point 8) : une entité distincte qui traite des données personnelles pour le compte du responsable du traitement, c’est-à-dire au service des finalités du responsable du traitement et selon ses instructions, avec une éventuelle marge d’appréciation sur les choix techniques et organisationnels.

Application à un ESP :

• Pour les listes de destinataires des clients et les données de campagne et d’engagement : client = responsable du traitement, ESP = sous-traitant. L’exemple du service cloud donné par le CEPD s’applique exactement : un service standardisé et mondial reste une relation de sous-traitance, mais le client doit pouvoir imposer ses instructions (durées de conservation, suppression) « indépendamment de ce qui est généralement proposé dans le service standardisé » ("regardless of what is generally offered in the standardized service").
• Article 28, paragraphe 10 : la ligne qu’un ESP ne doit jamais franchir : un sous-traitant qui utilise les données pour ses propres finalités « enfreint le RGPD en allant au-delà des instructions du responsable du traitement » ("infringes the GDPR by going beyond the controller’s instructions") et devient responsable du traitement pour ce traitement. L’exemple MarketinZ du CEPD est littéralement celui d’un prestataire de services marketing qui a utilisé la base de clients d’un client « à d’autres fins que la publicité pour [le client], par exemple pour développer sa propre activité » ("for other purposes than advertising for [the client], such as developing their own business activity") : cette requalification constitue en elle-même une infraction. Un ESP ne doit pas exploiter les listes de ses clients pour son propre marketing, pour des produits d’enrichissement ou pour constituer des audiences communes à plusieurs clients sans une base légale distincte de responsable du traitement.
• L’ESP est responsable du traitement pour : les données des comptes de ses propres clients (facturation, utilisateurs, support), son propre marketing, l’analyse d’audience de son site web, et les opérations de sécurité et de lutte contre les abus qu’il mène pour sa propre conformité et la protection de son réseau. Une même entité est couramment responsable du traitement pour certains traitements et sous-traitant pour d’autres ; la qualification se fait activité par activité.
• Zone grise à analyser délibérément : les systèmes de lutte contre les abus et de réputation à l’échelle de la plateforme (agrégation des plaintes, listes de suppression, renseignement sur les adresses pièges) qui fonctionnent pour l’ensemble des clients. Lorsque l’ESP détermine lui-même les finalités et les moyens de ces traitements, il agit en tant que responsable du traitement pour ceux-ci et doit identifier sa propre base légale (généralement l’intérêt légitime à protéger son infrastructure et ses autres utilisateurs) et la communiquer, au lieu de prétendre que le traitement repose sur les instructions d’un client en particulier.
• La responsabilité conjointe du traitement suppose une participation conjointe à la détermination des finalités et des moyens (décisions communes ou convergentes, indissociablement liées). Une relation normale entre un ESP et son client n’est pas une responsabilité conjointe du traitement ; le simple fait d’utiliser la même plateforme ne la crée pas.

Choix du sous-traitant et forme du contrat

• Le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes » (article 28, paragraphe 1), appréciées au regard des connaissances spécialisées, de la fiabilité et des ressources du sous-traitant ; la réputation sur le marché est pertinente ; l’application d’un code de conduite ou d’un mécanisme de certification approuvé (article 28, paragraphe 5) peut en attester ; la documentation échangée comprend généralement la politique de confidentialité, les conditions d’utilisation, les registres des activités de traitement, la politique de sécurité, les rapports d’audit externe et les certifications reconnues (par exemple la série ISO 27000). Cette obligation est continue : vérification périodique, y compris par des audits, et pas seulement à la signature. Pour un ESP, cela définit le dossier de diligence raisonnable à tenir prêt pour les grands comptes.
• Le contrat de sous-traitance (DPA) doit être écrit, y compris sous forme électronique (article 28, paragraphe 9), contraignant, et son absence constitue en elle-même une infraction commise par les deux parties. Il peut être intégré à un accord plus large ; le CEPD recommande que les éléments de l’article 28 soient identifiables en un seul endroit (par exemple une annexe).
• Les parties peuvent rédiger leur propre DPA ou utiliser les clauses contractuelles types au titre de l’article 28, paragraphe 7 : la décision d’exécution (UE) 2021/915 du 4 juin 2021 de la Commission publie un jeu officiel de CCT entre responsable du traitement et sous-traitant, à utiliser au sein de l’UE et de l’EEE. Elles sont facultatives et ne sont pas les mêmes que les CCT de transfert international décrites ci-dessous.
• Mise en garde du CEPD propre aux ESP (¶110) : les sous-traitants qui proposent des conditions standard peuvent les mettre à jour, mais « toute modification proposée par un sous-traitant des accords de traitement de données inclus dans des conditions générales devrait être directement notifiée au responsable du traitement et approuvée par celui-ci. La simple publication de ces modifications sur le site web du sous-traitant n’est pas conforme à l’article 28 » ("any proposed modification, by a processor, of data processing agreements included in standard terms and conditions should be directly notified to and approved by the controller. The mere publication of these modifications on the processor’s website is not compliant with Article 28."). Les processus de modification du DPA d’un ESP doivent prévoir une notification active.

Les clauses de l’article 28, paragraphe 3, que doit contenir le DPA d’un ESP

Le contrat doit définir l’objet, la durée, la nature et la finalité du traitement, le type de données personnelles, les catégories de personnes concernées (soyez précis : « abonnés et destinataires des envois du client », « membres des listes de contacts ») et les obligations et les droits du responsable du traitement, ainsi que, selon l’article 28, paragraphe 3, points a) à h) :

En outre, le sous-traitant doit informer immédiatement le responsable du traitement si, selon lui, une instruction constitue une violation du RGPD ou d’autres dispositions du droit de l’UE ou des États membres relatives à la protection des données (article 28, paragraphe 3, dernier alinéa). Le CEPD recommande de prévoir contractuellement les conséquences (droit de suspendre l’exécution, ou de résilier si le responsable du traitement persiste) : c’est le levier juridique de l’ESP pour refuser, par exemple, l’instruction d’un client d’écrire à une liste achetée lorsque ce serait un traitement illicite.

Des obligations légales directes pèsent aussi sur le sous-traitant, indépendamment du contrat : le registre des activités de traitement (article 30, paragraphe 2), la sécurité (article 32), la notification des violations au responsable du traitement (article 33, paragraphe 2), la désignation d’un DPO lorsqu’elle est requise (article 37), les règles de transfert du chapitre V, et la désignation d’un représentant dans l’UE au titre de l’article 27 pour les sous-traitants établis hors de l’UE qui traitent des données de personnes concernées dans l’UE. Les sous-traitants peuvent être sanctionnés directement pour la violation de ces obligations ou pour avoir excédé des instructions licites.

Sous-traitants ultérieurs

Tout prestataire en aval qui accède aux données de listes ou d’événements pour le compte de l’ESP (hébergement ou IaaS, MTA ou passerelles SMS sous-traités, services de validation, outils d’analyse, outils de support) est un sous-traitant ultérieur :

• Autorisation écrite préalable du responsable du traitement, spécifique ou générale (article 28, paragraphe 2). En cas d’autorisation générale (le modèle praticable pour un ESP multi-locataire) : tenir une liste des sous-traitants ultérieurs (dans le DPA ou une annexe, avec pour chaque prestataire la localisation, la fonction et la preuve des garanties), et informer activement le responsable du traitement de tout ajout ou remplacement envisagé, en désignant chaque nouveau prestataire, et non par « un accès général à une liste susceptible d’être mise à jour de temps à autre » ("generalized access to a list which might be updated from time to time", ¶¶152–156 et note 54), avec une possibilité réelle et un délai raisonnable pour s’y opposer, et des mesures pratiques convenues en cas d’opposition (y compris une éventuelle résiliation). En cas d’autorisation générale, le silence pendant le délai vaut autorisation ; en cas d’autorisation spécifique, une demande restée sans réponse vaut refus.
• Les mêmes obligations se répercutent en aval (article 28, paragraphe 4) : le contrat avec le sous-traitant ultérieur doit imposer en substance les mêmes obligations en matière de protection des données que le DPA principal, y compris l’obligation de contribuer aux audits, adaptées au rôle réel du sous-traitant ultérieur, et toute la chaîne doit être couverte par des accords écrits.
• La pleine responsabilité demeure : « le premier sous-traitant demeure pleinement responsable devant le responsable du traitement de l’exécution par l’autre sous-traitant de ses obligations » (article 28, paragraphe 4) ; choisissez des sous-traitants ultérieurs qui présentent des garanties suffisantes.

Demandes des personnes concernées traitées en tant que sous-traitant

Les demandes d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition relèvent du responsable du traitement (le client de l’ESP). Le rôle du sous-traitant (article 28, paragraphe 3, point e), CEPD ¶¶130–132) :

• Transmettre rapidement au client concerné toute demande qu’un destinataire adresse à l’ESP (cas courant : un abonné répond à une campagne ou écrit au service abus de l’ESP) ; ne pas y répondre sur le fond sans instructions.
• Assister conformément au contrat : cela va de la simple possibilité donnée au responsable du traitement d’extraire et de gérer les données jusqu’à des obligations techniques précises (outils d’export, API de suppression, extractions de l’activité par destinataire) lorsque le sous-traitant détient les données.
• Le responsable du traitement décide de la recevabilité et supporte le délai d’un mois du chapitre III, qui n’est pas prolongé du fait que les informations se trouvent chez le sous-traitant : le DPA devrait fixer les délais de réponse internes en conséquence.
• Exception pratique : les signaux de désabonnement et d’opposition doivent aussi continuer de fonctionner opérationnellement, indépendamment des circuits de traitement des demandes : la suppression est à la fois un droit absolu au titre de l’article 21 et une exigence de délivrabilité.

Transferts internationaux (chapitre V du RGPD)

Les transferts hors de l’EEE, y compris vers l’infrastructure ou les divisions de l’ESP situées hors de l’UE et vers des sous-traitants ultérieurs hors de l’UE, exigent un mécanisme du chapitre V. Outils pertinents pour un sous-traitant :

1. Décisions d’adéquation (article 45) : transfert comme s’il s’agissait d’un flux interne à l’UE. Liste actuelle : Andorre, Argentine, Brésil (depuis le 26 janvier 2026), Canada (organisations commerciales relevant de la LPRPDE uniquement), îles Féroé, Guernesey, île de Man, Israël, Japon, Jersey, Nouvelle-Zélande, République de Corée, Suisse, Royaume-Uni (renouvelée en décembre 2025), Uruguay, l’Organisation européenne des brevets (15 juillet 2025), et les États-Unis, limités aux organisations certifiées au titre du cadre de protection des données UE–États-Unis (Data Privacy Framework, DPF) :

• La décision d’exécution (UE) 2023/1795 de la Commission du 10 juillet 2023 constate l’adéquation des États-Unis pour les transferts vers les organisations certifiées DPF. La certification est administrée par le Department of Commerce des États-Unis (liste publique) ; la FTC en assure le respect ; les voies de recours comprennent l’organisation elle-même (réponse sous 45 jours), un mécanisme indépendant de règlement des litiges, les autorités de protection des données et, en dernier ressort, un arbitrage contraignant. La décision repose sur l’Executive Order 14086 (limites de nécessité et de proportionnalité applicables au renseignement d’origine électromagnétique) et sur le mécanisme de recours de la Data Protection Review Court, qui répondent à l’invalidation du Privacy Shield par l’arrêt Schrems II.
• État des recours (vérifié en juillet 2026) : le DPF a résisté à sa première contestation juridictionnelle. Dans l’affaire Latombe c. Commission (T-553/23), le Tribunal de l’Union européenne a rejeté le recours en annulation le 3 septembre 2025, confirmant la décision d’adéquation : il a jugé la Data Protection Review Court suffisamment indépendante et impartiale, et les limites de la collecte en masse et les voies de recours américaines substantiellement équivalentes aux normes de l’UE. La décision d’adéquation reste donc valable en juillet 2026. M. Latombe a formé un pourvoi devant la Cour de justice (CJUE) le 31 octobre 2025, de sorte qu’une nouvelle décision est attendue ; un ESP ou un sous-traitant ultérieur établi aux États-Unis qui s’appuie sur le DPF devrait continuer de surveiller sa certification et le pourvoi en cours.

2. Clauses contractuelles types (article 46, paragraphe 2, point c)) : la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021, en vigueur depuis le 27 juin 2021. Un document modulaire unique, en quatre modules :

Mécanique clé : les anciennes décisions relatives aux CCT (2001/497/CE, 2010/87/UE) ont été abrogées le 27 septembre 2021, les contrats antérieurs restant valables jusqu’au 27 décembre 2022 si le traitement était inchangé ; une clause d’adhésion (clause 7) permet à de nouvelles parties d’adhérer ultérieurement ; la clause 14 met en œuvre Schrems II : les parties doivent évaluer si la législation et les pratiques du pays de destination empêchent le respect des clauses, documenter une analyse d’impact des transferts et appliquer des mesures supplémentaires (techniques, organisationnelles ou contractuelles) si nécessaire. Les modules deux et trois tiennent aussi lieu de DPA conforme à l’article 28 pour la relation de transfert, si bien qu’aucun DPA distinct au titre de la décision 2021/915 n’est nécessaire pour la même relation.

3. Autres garanties de l’article 46 : règles d’entreprise contraignantes (intragroupe), codes de conduite et mécanismes de certification approuvés. Les dérogations de l’article 49 (consentement explicite, nécessité contractuelle…) sont réservées aux transferts occasionnels et non répétitifs : elles ne peuvent pas fonder les flux de données courants d’un ESP.

Le chapitre V s’impose aux sous-traitants comme aux responsables du traitement : un ESP établi dans l’UE est lui-même exportateur de données vis-à-vis de ses sous-traitants ultérieurs hors UE et doit avoir mis en place des CCT du module trois (ou un autre mécanisme), conformément aux instructions documentées du responsable du traitement en matière de transferts.

Enjeux pour la délivrabilité

La discipline du sous-traitant et celle de la délivrabilité convergent : les instructions documentées et l’obligation de refuser les instructions illicites sont la colonne vertébrale de conformité pour vérifier les clients et refuser les listes achetées ; les circuits de notification des violations recoupent les voies d’escalade du service abus qu’attendent les fournisseurs ; et une séparation nette des rôles (ne jamais exploiter les listes des clients pour les propres finalités de l’ESP) est aussi ce qui tient un ESP à l’écart de la catégorie de réputation des courtiers en données, que surveillent à la fois les autorités et Spamhaus.