RoPA PilotRegistre RGPD du sous-traitant
Agences, éditeurs SaaS, cabinets : si vous traitez des données pour le compte de clients, l'article 30 §2 vous impose un registre distinct. Voici son texte, ce qui le différencie du registre du responsable, et le piège de la sous-traitance ultérieure.
Mis à jour le 2026-07-10 · Lecture 5 min
Au sommaire
Êtes-vous sous-traitant ?
Vous êtes sous-traitant dès que vous traitez des données personnelles pour le compte d'un autre organisme, sur ses instructions, sans en définir vous-même les finalités. Une agence web qui héberge le site de son client, un éditeur SaaS, un cabinet comptable, un prestataire de support : tous sont sous-traitants au sens de l'article 4 §8.
La qualification ne dépend ni de votre taille, ni de votre contrat commercial, mais du pouvoir de décision sur les finalités. Beaucoup d'organisations sont les deux à la fois : responsables pour leur paie et leur prospection, sous-traitantes pour les données de leurs clients. Elles tiennent alors deux registres distincts.
Ce qu'exige l'article 30 §2
- a) le nom et les coordonnées du ou des sous-traitants et de chaque responsable du traitement pour le compte duquel le sous-traitant agit ainsi que, le cas échéant, les noms et les coordonnées du représentant du responsable du traitement ou du sous-traitant et celles du délégué à la protection des données ;
- b) les catégories de traitements effectués pour le compte de chaque responsable du traitement ;
- c) le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale […] ainsi que les documents attestant de l'existence de garanties appropriées ;
- d) dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles […].
Quatre différences avec le registre du responsable
| Critère | Registre du responsable (§1) | Registre du sous-traitant (§2) |
|---|---|---|
| Unité de description | Le traitement (une finalité) | La catégorie de traitement, par client |
| Finalité | Obligatoire | Non exigée — elle appartient au client |
| Personnes concernées et données | Obligatoire | Non exigée explicitement |
| Clients / responsables | Sans objet | Chacun nommé, avec ses coordonnées |
La sous-traitance ultérieure : le point qui coûte cher
Si vous confiez une partie du traitement à un autre prestataire (hébergeur, outil d'emailing, service de sauvegarde), vous devez une autorisation écrite du responsable (article 28 §2) et vous restez pleinement responsable devant lui (article 28 §4). Votre registre de sous-traitant doit donc refléter votre propre chaîne d'outils : chaque SaaS que vous utilisez pour servir vos clients est un sous-traitant ultérieur.
Transferts : les prouver, pas les affirmer
Le point c) exige les « documents attestant de l'existence de garanties appropriées ». Un registre qui écrit « CCT » sans référencer la version des clauses, la date de signature et le module retenu ne prouve rien. Consultez le détail des mécanismes de transfert par SaaS.
Tenir les deux registres sans double saisie
Le palier Agence de RoPA Pilot gère jusqu'à dix organisations dans le même navigateur : une par client responsable, plus la vôtre. Chaque registre a son cartouche, son historique horodaté et son export PDF en marque blanche — utile quand le livrable porte le logo du cabinet.
À lire ensuite
Votre registre article 30, construit depuis la réalité
L'extension est gratuite : détection illimitée, fiches illimitées, exports CSV et JSON illimités.