L’essentiel en deux phrases
Un sous-traitant ultérieur est une entreprise à laquelle votre prestataire informatique (lui-même sous-traitant) confie à son tour tout ou partie du traitement de vos données. En tant que cabinet d’avocat, vous restez responsable de traitement : si ce tiers inconnu ne respecte pas le RGPD, c’est votre conformité qui est en jeu.
—
Définition complète
Le RGPD — Règlement général sur la protection des données — organise la chaîne de responsabilité autour de trois acteurs.
Le responsable de traitement, c’est vous, le cabinet : vous décidez pourquoi et comment les données de vos clients sont traitées. Le sous-traitant, c’est l’éditeur de votre logiciel de gestion ou l’hébergeur de vos fichiers : il agit sur instruction. Le sous-traitant ultérieur (parfois appelé sous-sous-traitant) est l’entreprise à qui ce sous-traitant délègue lui-même une partie de la prestation — sans que vous l’ayez nécessairement identifiée, et parfois sans que vous en ayez connaissance.
Une analogie utile : imaginez que vous confiez des archives sensibles à un prestataire de stockage. Ce prestataire sous-loue ses entrepôts à une société tierce pour gérer le surplus. Vous n’avez jamais rencontré cette société, vous n’avez aucun contrat avec elle — mais vos archives s’y trouvent. Dans l’univers numérique, c’est exactement ce qui se produit lorsqu’un éditeur de logiciel utilise un service d’infrastructure cloud, un outil d’envoi d’e-mails transactionnels ou une plateforme d’analyse.
L’article 28 du RGPD encadre précisément cette situation. Un sous-traitant ne peut faire appel à un autre sous-traitant qu’avec l’autorisation préalable, spécifique ou générale, du responsable de traitement — c’est-à-dire la vôtre. Si l’autorisation est générale (ce qui est fréquent dans les contrats SaaS), le sous-traitant doit vous informer de tout changement et vous laisser la possibilité de vous y opposer.
—
Pourquoi c’est important pour votre cabinet
Le secret professionnel est en jeu
L’article 66-5 de la loi n° 71-1130 du 31 décembre 1971 protège toutes les confidences faites à un avocat dans l’exercice de ses fonctions. Ce secret couvre l’identité de vos clients, la nature de leurs affaires, les pièces et correspondances du dossier. Dès qu’un sous-traitant ultérieur héberge ou traite ces données — même de façon technique, même sans « lire » les fichiers — il entre dans la chaîne de traitement. Si ce tiers est implanté hors Union européenne sans garanties adéquates, vous êtes potentiellement en infraction à la fois vis-à-vis du RGPD et vis-à-vis de vos obligations déontologiques.
Vous restez responsable, même si vous ne savez pas
C’est le point que beaucoup de cabinets sous-estiment : l’ignorance n’exonère pas. Si un sous-traitant ultérieur subit une violation de données — fuite, ransomware, accès non autorisé — c’est vous qui devez notifier la CNIL dans les 72 heures et informer les personnes concernées si le risque est élevé. La sanction, en cas de manquement, peut atteindre 4 % du chiffre d’affaires annuel mondial ou 20 millions d’euros (le montant le plus élevé est retenu), quelle que soit la taille du cabinet.
Un enjeu lors du choix d’un logiciel
Quand vous évaluez un logiciel avocat ou un logiciel de gestion de cabinet, la question des sous-traitants ultérieurs doit figurer dans votre liste de vérification. Un éditeur sérieux publie la liste de ses sous-traitants (dans sa politique de confidentialité ou ses CGV) et précise leur localisation géographique. Un éditeur qui ne peut pas répondre à cette question n’est pas en mesure de vous aider à tenir votre registre des activités de traitement — obligation pourtant applicable à tous les cabinets, quelle que soit leur taille.
—
Un exemple concret
Prenons un scénario réaliste : vous utilisez un logiciel de gestion de cabinet en mode cloud (SaaS). L’éditeur héberge l’application sur un grand fournisseur d’infrastructure cloud, stocke vos documents dans un service de fichiers distinct, et utilise une solution tierce pour l’envoi automatique de vos e-mails de facturation.
Dans cet exemple, vous avez potentiellement trois sous-traitants ultérieurs distincts, chacun susceptible de traiter des données relatives à vos clients : le fournisseur cloud (données hébergées), le service de stockage de fichiers (pièces jointes, actes scannés) et la plateforme d’e-mailing (adresses e-mail, objets de messages).
Votre contrat doit couvrir ces trois acteurs. Il doit préciser qu’ils sont soumis aux mêmes obligations que l’éditeur principal, notamment en matière de sécurité, de confidentialité et de localisation des données. Si l’un de ces services est basé aux États-Unis sans mécanisme de transfert valide — clauses contractuelles types adoptées par la Commission européenne, par exemple — la chaîne de conformité est rompue.
Ce type de vérification est aussi pertinent pour un CRM avocat, un outil de transcription et dictée ou un service d’IA pour avocats : toutes ces solutions s’appuient souvent sur des infrastructures tierces, parfois hébergées hors Europe.
—
À retenir et pièges fréquents
Idée reçue n° 1 : « Mon contrat avec l’éditeur suffit. »
Non. Le contrat de sous-traitance (au sens de l’article 28 du RGPD) doit exister entre vous et l’éditeur, mais il doit aussi prévoir que l’éditeur impose les mêmes obligations à ses propres sous-traitants. Sans cette clause de « répercussion », la chaîne est incomplète.
Idée reçue n° 2 : « Les petits cabinets ne sont pas concernés. »
Faux. Le RGPD s’applique dès le traitement d’une donnée personnelle identifiante — ce qui est le cas dès le premier dossier client. L’obligation de tenir un registre des activités de traitement concerne tous les cabinets ; la seule exception concerne les organismes de moins de 250 personnes dont le traitement est occasionnel et non sensible — ce qui ne correspond pas à l’activité d’un cabinet d’avocat, qui traite fréquemment des données judiciaires ou sensibles.
Idée reçue n° 3 : « L’hébergement en France garantit la conformité. »
L’hébergement sur le territoire français ou européen est un critère favorable, mais insuffisant. Si le sous-traitant ultérieur fait appel à un service de support technique localisé hors UE — ce qui arrive fréquemment — les données peuvent malgré tout circuler vers des pays tiers. Posez la question explicitement lors de la démonstration ou de la négociation contractuelle.
Point de vigilance : la notification de changement.
Lorsque l’autorisation des sous-traitants est générale (clause d’autorisation globale dans le contrat), l’éditeur doit vous informer de tout nouveau sous-traitant ultérieur avec un délai suffisant pour vous y opposer. Vérifiez que cette obligation est bien stipulée dans votre contrat et que vous disposez d’un canal clair pour exercer ce droit.
Pour approfondir votre politique globale de sécurité, les pages RGPD au cabinet et cybersécurité du cabinet complètent utilement ce sujet.
—
Termes liés
- RGPD au cabinet — le cadre général de protection des données pour les avocats
- Cybersécurité du cabinet — mesures techniques et organisationnelles
- Sauvegarde des données — garantir l’intégrité de vos données même en cas d’incident chez un prestataire
- Logiciel de gestion de cabinet — comment évaluer l’offre SaaS sous l’angle de la conformité
- IA pour avocats — les outils d’intelligence artificielle, souvent appuyés sur des LLM (grands modèles de langage) tiers, impliquent eux aussi des sous-traitants ultérieurs à identifier
—
FAQ
Qu’est-ce qu’un sous-traitant ultérieur selon le RGPD ?
C’est une entreprise à laquelle votre prestataire direct (le sous-traitant) confie tout ou partie du traitement de données personnelles dont vous êtes responsable. Le RGPD l’encadre à l’article 28 : le recours à un sous-traitant ultérieur requiert votre autorisation préalable et doit faire l’objet d’obligations contractuelles équivalentes à celles que vous avez imposées à votre sous-traitant direct.
Comment savoir qui sont les sous-traitants ultérieurs de mon logiciel ?
Consultez la politique de confidentialité ou les conditions générales de votre éditeur : un prestataire conforme au RGPD y publie la liste de ses sous-traitants avec leur localisation. À défaut, posez la question directement avant de signer ou de renouveler votre contrat. Si l’éditeur ne peut pas répondre, c’est un signal d’alerte.
Mon cabinet est-il responsable en cas de violation chez un sous-traitant ultérieur ?
Oui, dans la mesure où vous êtes responsable de traitement. C’est à vous de notifier la CNIL en cas de violation affectant des données personnelles, et d’informer les personnes concernées si le risque est élevé. La responsabilité civile du sous-traitant peut être engagée à votre égard, mais cela ne vous dispense pas de vos propres obligations.
L’hébergement en Europe suffit-il à sécuriser la chaîne de sous-traitance ?
Non. L’hébergement européen est un bon point de départ, mais d’autres fonctions — support, maintenance, analyse — peuvent être assurées depuis des pays tiers. Vérifiez systématiquement la localisation de chaque maillon de la chaîne et les mécanismes de transfert applicables (clauses contractuelles types, décision d’adéquation de la Commission européenne).
Dois-je mentionner les sous-traitants ultérieurs dans mon registre des activités de traitement ?
Oui. Votre registre doit identifier les destinataires des données, y compris les sous-traitants et leurs éventuels sous-traitants ultérieurs. C’est la documentation minimale attendue par la CNIL pour démontrer votre conformité. Pour toute question sur la tenue de votre registre dans votre situation propre, rapprochez-vous de votre délégué à la protection des données (DPO) ou de votre ordre.
La question des sous-traitants ultérieurs concerne-t-elle aussi les outils d’IA ?
Absolument. Un outil d’IA pour avocats — qu’il s’agisse de recherche juridique par IA, d’aide à la rédaction ou de transcription et dictée — s’appuie généralement sur un LLM (grand modèle de langage) fourni par un tiers, souvent une entreprise américaine. Ce tiers est un sous-traitant ultérieur. Vérifiez s’il est soumis à des garanties adéquates avant d’y faire transiter des données couvertes par le secret professionnel.
Puis-je refuser qu’un sous-traitant ultérieur soit ajouté en cours de contrat ?
Oui, si votre contrat prévoit une autorisation générale assortie d’un droit d’opposition. L’éditeur doit vous informer de tout nouveau sous-traitant en temps utile. Si vous vous opposez et que l’éditeur maintient le recours à ce tiers, vous pouvez considérer que les conditions contractuelles ne sont plus respectées — ce qui peut ouvrir un droit à résiliation. Consultez les termes précis de votre contrat et, si nécessaire, un conseil juridique pour votre situation particulière.
—
Conclusion
La notion de sous-traitant ultérieur est l’un des angles morts les plus fréquents de la conformité RGPD dans les cabinets d’avocats. Elle n’est pas réservée aux grandes structures : dès qu’un logiciel SaaS, un outil d’IA ou un service cloud traite des données de dossiers clients, une chaîne de sous-traitance existe — et vous en êtes le maillon responsable.
La bonne pratique est simple à formuler, un peu plus exigeante à mettre en œuvre : avant de signer avec un éditeur, demandez la liste complète de ses sous-traitants, leur localisation et les mécanismes contractuels qui les encadrent. Intégrez ces éléments à votre registre. Prévoyez une clause d’information en cas de changement. Et revisitez cette liste à chaque renouvellement ou évolution de votre outillage.
Pour faire le point sur les solutions utilisées dans votre cabinet et leur adéquation à vos obligations, Avocat.com propose un diagnostic gratuit en quatre questions — environ deux minutes — qui oriente vers les options adaptées à votre profil : le diagnostic. Vous trouverez également sur la page RGPD au cabinet un guide complet des obligations applicables, et sur la page cybersécurité du cabinet les mesures techniques à mettre en place pour sécuriser l’ensemble de la chaîne.
—
Avocat.com est un guide indépendant de solutions professionnelles pour avocats et cabinets. Nous ne fournissons pas de conseil juridique. Certains liens peuvent être des liens partenaires, toujours signalés comme tels.