Quel modèle pour le registre d’un sous-traitant, sans modèle de la CNIL ?
Pour qui : Vous êtes prestataire, agence ou éditeur de logiciel en ligne, et vous traitez des données pour vos clients. Vous devez tenir le registre de l’article 30, paragraphe 2, et le modèle de la CNIL ne correspond pas à votre rôle.
Aucun modèle CNIL dédié au sous-traitant n’apparaît dans ce que nous avons lu le 5 novembre 2026, alors faites le vôtre. Une feuille suffit au départ : une ligne par client et par catégorie de traitement, avec les champs de l’article 30, paragraphe 2.
N’adaptez pas le modèle de responsable de traitement. Son tutoriel vise ce rôle, et ses champs vous demandent des finalités et des durées que vous n’avez pas décidées. Si vous traitez aussi vos propres données, pour votre paie ou vos clients par exemple, gardez ce modèle pour ce second registre.
Notre avis
Construisez votre fichier, une ligne par client et par catégorie de traitement. N’adaptez pas le modèle de la CNIL : il vous ferait remplir les finalités et les durées, qui relèvent de vos clients.
Pourquoi
- Le registre du sous-traitant demande chaque client et ses traitements, ce que le modèle ODS ne prévoit pas.
- Le modèle de responsable vous pousserait à répondre à la place du client.
- Une ligne par couple client et activité permet de répondre vite quand un client vous interroge, et de filtrer.
Ce qui change le choix
Rattacher les activités aux clients devient votre travail principal, ou chaque client impose ses propres instructions à suivre. Aucun texte ne fixe de nombre de clients : ce signal est notre repère.
L’ordre à suivre
- Peu de clients, activités stables : votre propre fichier, une ligne par client et par catégorie de traitement.
- Vous décidez aussi pour vos propres données : deux registres.
- Très nombreux clients aux instructions variables : un outil multi-clients se justifie.
Pourquoi le modèle de responsable vous égare
Le guide de la CNIL pour les sous-traitants date de septembre 2017 et renvoie à un modèle dans son guide en six étapes. La page correspondante que nous avons ouverte propose le même modèle simplifié de registre, sans version pour sous-traitant.
| Information | Registre du responsable | Registre du sous-traitant |
|---|---|---|
| Vos coordonnées et celles du délégué | Oui | Oui |
| Chaque client pour le compte duquel vous agissez | Sans objet | Oui, avec ses coordonnées et son représentant le cas échéant |
| Vos propres sous-traitants | Parmi les destinataires | Nom et coordonnées, selon la CNIL |
| Traitements réalisés | Finalités et catégories de personnes et de données | Catégories de traitements effectués pour chaque client |
| Transferts hors de l’Union | Oui | Oui |
| Durées de conservation | Dans la mesure du possible | Absentes de la liste |
| Mesures de sécurité | Dans la mesure du possible | Dans la mesure du possible |
Le fichier à créer
Placez vos coordonnées, celles de votre représentant éventuel et de votre délégué en tête de feuille. La CNIL raisonne par fiche et par catégorie d’activités. Notre proposition reprend la même information en une ligne par couple client et activité, pour pouvoir filtrer. Le classement relève de votre choix : le texte n’impose que le contenu.
- Client : nom, coordonnées, représentant le cas échéant. Article 30, paragraphe 2, point a.
- Catégorie d’activité : hébergement, maintenance, envoi de messages, par exemple. Exemples repris de la CNIL.
- Opérations réalisées pour ce client : collecte d’adresses, envoi, gestion des désabonnements. Article 30, paragraphe 2, point b.
- Vos sous-traitants pour cette activité : nom et coordonnées. Liste de la CNIL.
- Transferts hors de l’Union : pays et, dans les cas particuliers visés, garanties. Article 30, paragraphe 2, point c.
- Mesures de sécurité : description générale, dans la mesure du possible. Article 30, paragraphe 2, point d.
Exemple fictif : combien de lignes ?
Exemple fictif : une agence a 3 clients. Elle héberge le site des trois et envoie des messages pour deux d’entre eux : 3 + 2 = 5 lignes. Notre avis : ajoutez la référence du contrat, utile sans être exigée par l’article 30.
Le signal qui fait passer à un outil
Le fichier cesse de suffire quand vous ne savez plus, pour un client donné, ce qui a changé et qui vous l’a demandé. Si rattacher les activités aux clients devient votre travail principal sur un trimestre, comparez un outil multi-clients. Vérifiez qu’il sépare bien vos clients de vos propres traitements.
Limites de cette page
Nous n’avons pas parcouru tout le guide de 2017 : un modèle pour sous-traitant peut exister ailleurs. La dérogation pour les organisations de moins de 250 employés est étroite : ne partez pas d’elle pour ne rien tenir.
Prochaine action
Créez une ligne par client et par catégorie de traitement, en commençant par vos trois plus gros clients. Si vous décidez aussi pour vos propres données, ouvrez un second registre à partir du modèle de la CNIL.
Preuves et sources
Lu le 5 novembre 2026 : la page CNIL sur le registre, datée du 13 avril 2018 ; l’article 30 du RGPD dans le texte publié par la CNIL ; le guide du sous-traitant de septembre 2017 ; la page CNIL « Cartographier vos traitements » ; le fichier ODS de la CNIL et son tutoriel.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 30, paragraphe 2, impose au sous-traitant un registre des catégories d’activités menées pour le compte du responsable, avec le nom et les coordonnées de chaque responsable, les catégories de traitements effectués pour chacun, les transferts et, dans la mesure du possible, une description générale des mesures de sécurité.
Portée : Texte publié par la CNIL.
Réserve : Numéros de paragraphe rétablis d’après l’ordre du texte.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : Le registre des activités de traitement | CNIL Page datée du 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL explique qu’une fiche s’établit par catégorie d’activités, comme l’hébergement, la maintenance ou l’envoi de messages, et cite le nom et les coordonnées des sous-traitants auxquels l’organisme fait appel.
Portée : Page CNIL datée du 13 avril 2018.
Réserve : Présentation pratique de la CNIL.
- CNIL : Le registre des activités de traitement | CNIL Page datée du 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le tutoriel du modèle ODS vise les traitements mis en œuvre en tant que responsable de traitement, et le fichier ne contient pas d’onglet pour le registre du sous-traitant.
Portée : Cinq onglets du fichier lu le 5 novembre 2026.
Réserve : Une nouvelle version peut changer ce point.
- CNIL : Modèle de registre simplifié (registre-traitement-simplifie.ods) Métadonnée dc:date du fichier : 18 février 2020. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le guide du sous-traitant de la CNIL, édité en septembre 2017, renvoie à un modèle dans son guide en six étapes, et la page « Cartographier vos traitements » lue le 5 novembre 2026 propose le modèle simplifié de registre, sans version dédiée au sous-traitant.
Portée : Passage sur le registre du guide et page CNIL.
Réserve : Identification de cette page comme l’étape visée : déduite du titre.
- CNIL : RGPD - Guide sous-traitant Édition septembre 2017. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Cartographier vos traitements de données personnelles | CNIL date non trouvée sur la page lue le 5 novembre 2026. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL recommande à un organisme à la fois responsable de traitement et sous-traitant de tenir deux registres.
Portée : Page CNIL et guide de 2017.
Réserve : Le texte demande de distinguer clairement les activités.
- CNIL : Le registre des activités de traitement | CNIL Page datée du 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
- CNIL : RGPD - Guide sous-traitant Édition septembre 2017. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Exemple fictif : une agence qui héberge le site de 3 clients et envoie des messages pour 2 d’entre eux obtient 3 + 2 = 5 lignes.
Portée : Organisation fictive.
Réserve : Le nombre réel dépend de vos activités.
Daté du 5 novembre 2026.
Notre méthode. La ligne par couple client et activité, la référence du contrat et le signal de bascule vers un outil sont nos propositions : l’article 30 fixe le contenu et n’impose pas ce classement.
Portée : Sous-traitants qui démarrent leur registre.
Réserve : Aucun outil multi-clients n’a été essayé.
Daté du 5 novembre 2026.