Quand un sous-traitant devient-il responsable de traitement ?
Pour qui : Vous lisez dans un contrat ou une politique de confidentialité qu’un prestataire utilisera vos données pour améliorer ses services ou entraîner ses modèles. Vous devez dire si c’est permis et qui répond de quoi. Le responsable de traitement est celui qui décide de l’objectif et des moyens ; le sous-traitant agit pour son compte.
Un sous-traitant qui détermine les finalités et les moyens en violation du règlement est considéré comme responsable pour ce traitement (article 28, paragraphe 10). Il répond alors de ce traitement, et peut être sanctionné pour être sorti de vos instructions. Une réutilisation peut aussi être permise : avec votre autorisation écrite, après test de compatibilité, le prestataire devient responsable de ce nouveau traitement.
Le point à vérifier se trouve donc dans vos clauses. Cherchez « amélioration du service » et demandez-vous si vous avez autorisé autre chose qu’un service exécuté pour vous. Selon la CNIL, une autorisation préalable et générale n’est pas légale.
Notre avis
Cherchez dans vos contrats « amélioration du service », « statistiques », « entraînement » et « propres finalités ». Refusez toute autorisation générale. Autorisez seulement une réutilisation précise, après un test écrit de compatibilité, de préférence sur des données anonymisées.
Pourquoi
- Selon la CNIL, un sous-traitant ne réutilise des données pour son compte qu’avec une autorisation écrite et si la réutilisation est compatible avec le traitement initial.
- Vous gardez une charge même en cas d’accord : le test vous revient, ainsi qu’en principe l’information des personnes.
- Dans l’affaire Mobius Solutions, la formation restreinte de la CNIL a écarté l’argument de l’amélioration générale des services, car aucune clause ne l’autorisait.
Ce qui change le choix
L’éditeur vous propose un réglage de refus de réutilisation : activez-le et conservez la preuve. Si le test échoue, refus obligatoire selon la CNIL ; si le prestataire impose quand même la réutilisation, le choix devient de rester ou de partir.
L’ordre à suivre
- Clause absente et pratique inconnue : posez la question par écrit.
- Clause générale de réutilisation : demandez son retrait, car selon la CNIL une autorisation préalable et générale n’est pas légale.
- Réutilisation précise : faites le test de compatibilité, puis accordez ou refusez par écrit.
- Réutilisation constatée sans autorisation : traitez-la comme un incident contractuel et demandez conseil.
Lisez la clause, puis décidez
Les conséquences ci-dessous suivent la page de la CNIL de janvier 2022, qui ne vise pas l’IA en particulier. Nous lui appliquons le même raisonnement.
| Vous lisez | Ce que cela signifie | Votre action |
|---|---|---|
| Rien sur la réutilisation | En principe, le prestataire ne suit que vos instructions. | Posez la question par écrit si les données sont sensibles ou le service alimenté par un modèle. |
| « Le prestataire peut utiliser les données pour améliorer ses services », sans précision | Cela ressemble à une autorisation générale, que la CNIL juge non légale. | Demandez le retrait ou un réglage de refus. |
| Usage précis, données et finalité nommées | Réutilisation qui demande votre autorisation. | Faites le test de compatibilité et décidez par écrit. |
| Données anonymisées avant tout usage | Sous réserve d’une anonymisation réelle, cas que la CNIL cite comme garantie possible. | Demandez la méthode d’anonymisation et le moment où elle intervient. |
| Prospection à partir de vos données | Selon la CNIL, passerait difficilement le test. | Refusez. |
Le test de compatibilité vous revient
Selon la CNIL, vous le menez pour un traitement déterminé, en tenant compte notamment de cinq éléments : le lien entre les finalités, le contexte de la collecte, la nature des données, les conséquences pour les personnes, et les garanties comme le chiffrement ou la pseudonymisation. Si le test échoue, vous devez refuser. S’il réussit, vous restez libre de refuser.
Si vous autorisez, le partage change. Il vous revient en principe d’informer les personnes de cette transmission à un nouveau responsable, et de dire si elles peuvent s’y opposer. Le prestataire doit de son côté avoir une base légale, une durée de conservation, et permettre l’exercice des droits.
La sanction prononcée par la CNIL le 11 décembre 2025
La CNIL a infligé une amende d’un million d’euros à Mobius Solutions, ancien sous-traitant de Deezer. Elle lui reproche d’avoir conservé après la fin du contrat une copie des données de plus de 46 millions d’utilisateurs, de les avoir utilisées hors de toute instruction pour améliorer ses propres services, et de ne pas avoir tenu de registre de sous-traitant. La société soutenait que la copie pouvait entrer dans l’exécution du contrat au titre de l’amélioration générale des services. La formation restreinte a répondu qu’aucune clause ne l’autorisait.
Cette sanction vise le prestataire. Elle ne dit rien du montant qu’une autre affaire appellerait.
Le contrat type ne suffit pas à requalifier
Le CEPD donne l’exemple d’un service de stockage entièrement standardisé, aux conditions non négociables : le client reste responsable et le prestataire reste sous-traitant tant qu’il ne traite pas les données pour lui-même. À l’inverse, un prestataire désigné comme sous-traitant au contrat, qui utilise la base de son client pour développer sa propre activité, devient responsable pour cet usage. Le mot écrit au contrat ne tranche pas.
Exemple : un logiciel de recrutement
Quand l’éditeur agit sur vos instructions, c’est un sous-traitant. Le registre, l’information du candidat et la durée de conservation restent à votre charge. Si ses conditions prévoient d’utiliser les CV pour entraîner son propre modèle, cela devient une réutilisation au sens ci-dessus : elle demande votre test, votre accord écrit et l’information des candidats. Nous n’avons lu aucune règle propre aux logiciels de recrutement, et cette lecture est donc notre application du raisonnement général.
Limites de cette page
La qualification se juge sur les faits de chaque service. La page de la CNIL date de janvier 2022 et ne traite pas spécifiquement de l’entraînement de modèles d’IA. La sanction a été lue dans la présentation qu’en fait la CNIL, sans lecture de la délibération, et nous n’avons pas recherché de recours éventuel. Pour une réutilisation déjà constatée, l’enjeu justifie de consulter un conseil.
Prochaine action
Cherchez « amélioration du service », « statistiques », « entraînement » et « propres finalités » dans vos trois contrats les plus exposés. Pour chaque résultat, écrivez : refus, question à poser, ou test à mener.
Preuves et sources
Lu le 5 novembre 2026 : l’article 28 du RGPD dans le texte publié par la CNIL, la page de la CNIL sur la réutilisation de données par un sous-traitant, datée du 11 janvier 2022, sa présentation de la sanction du 11 décembre 2025 contre Mobius Solutions, datée du 19 décembre 2025, et les lignes directrices 07/2020 du CEPD (version 2.1).
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. Sans préjudice des articles 82 à 84, un sous-traitant qui détermine, en violation du règlement, les finalités et les moyens du traitement est considéré comme un responsable du traitement pour ce traitement.
Portée : Article 28, paragraphe 10.
Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon la CNIL, un sous-traitant ne peut réutiliser des données pour son propre compte que si cette réutilisation est compatible avec le traitement initial et si le responsable l’a autorisée par écrit, et le sous-traitant devient alors responsable de ce nouveau traitement.
Portée : Page datée du 11 janvier 2022.
Réserve : Sauf texte national ou européen imposant le traitement au sous-traitant.
- CNIL : Sous-traitants : la réutilisation de données confiées par un responsable de traitement 11 janvier 2022. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, le test de compatibilité se mène pour un traitement déterminé et une autorisation préalable et générale de réutilisation n’est pas légale ; si le test n’est pas satisfait le responsable doit refuser, s’il l’est il reste libre de son accord.
Portée : Page datée du 11 janvier 2022, article 6, paragraphe 4 du RGPD cité.
Réserve : Doctrine de la CNIL.
- CNIL : Sous-traitants : la réutilisation de données confiées par un responsable de traitement 11 janvier 2022. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL écrit qu’une réutilisation pour améliorer des prestations de cloud pourrait être compatible sous réserve de garanties telles que l’anonymisation, et qu’une réutilisation pour de la prospection commerciale satisferait difficilement le test.
Portée : Exemple de la page CNIL.
Réserve : Exemple, sans valeur de règle générale.
- CNIL : Sous-traitants : la réutilisation de données confiées par un responsable de traitement 11 janvier 2022. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, il revient en principe au responsable initial d’informer les personnes de la transmission à un nouveau responsable pour une nouvelle finalité, et le sous-traitant devenu responsable doit notamment disposer d’une base légale, définir une durée de conservation et permettre l’exercice des droits.
Portée : Page datée du 11 janvier 2022.
Réserve : L’information peut être déléguée au sous-traitant s’il détient les coordonnées.
- CNIL : Sous-traitants : la réutilisation de données confiées par un responsable de traitement 11 janvier 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le 11 décembre 2025, la CNIL a infligé une amende d’un million d’euros à Mobius Solutions, ancien sous-traitant de Deezer, pour avoir conservé après la fin du contrat une copie des données de plus de 46 millions d’utilisateurs, les avoir utilisées hors instruction pour améliorer ses propres services, et n’avoir pas tenu de registre de sous-traitant.
Portée : Présentation de la CNIL du 19 décembre 2025, délibération SAN-2025-014 citée.
Réserve : Délibération elle-même non lue ; recours éventuel non recherché.
- CNIL : Violation de données : sanction d'un million d'euros à l'encontre de la société MOBIUS SOLUTIONS LTD 19 décembre 2025 ; décision du 11 décembre 2025. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La formation restreinte de la CNIL a considéré qu’aucune clause contractuelle n’autorisait Mobius Solutions à utiliser les données pour l’amélioration générale de ses services sans instruction préalable.
Portée : Présentation de la CNIL.
Réserve : Cas précis, sans valeur de barème.
- CNIL : Violation de données : sanction d'un million d'euros à l'encontre de la société MOBIUS SOLUTIONS LTD 19 décembre 2025 ; décision du 11 décembre 2025. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, un prestataire de stockage entièrement standardisé, aux conditions imposées, reste sous-traitant tant qu’il ne traite pas les données pour ses propres finalités, alors qu’un prestataire désigné sous-traitant qui utilise la base client pour développer sa propre activité devient responsable pour cet usage.
Portée : Lignes directrices 07/2020, version 2.1, point 81 et exemples.
Réserve : Exemples du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Appliquer le raisonnement de la réutilisation à l’entraînement d’un modèle sur des CV ou d’autres données clients est notre déduction : la page de la CNIL ne vise pas l’IA.
Portée : Logiciels intégrant de l’IA, recrutement compris.
Réserve : Une doctrine propre à l’IA peut préciser ce point.
- CNIL : Sous-traitants : la réutilisation de données confiées par un responsable de traitement 11 janvier 2022. Lu le 5 novembre 2026. Document d’origine.