La plupart des cabinets d'avocats sous-estiment le nombre de prestataires numériques qui traitent, à un moment ou un autre, des données de leurs clients. Logiciel de gestion, hébergeur, solution de sauvegarde, messagerie, visioconférence, outil de facturation, expert-comptable connecté au logiciel : chacun de ces intervenants est potentiellement un sous-traitant au sens du RGPD. Sans cartographie, impossible de savoir où sont réellement exposées les données du cabinet.
Qu'est-ce qu'un sous-traitant au sens du RGPD ?
Le RGPD distingue deux rôles : le responsable de traitement, qui décide des finalités et des moyens du traitement (le cabinet, pour les données de ses clients), et le sous-traitant, qui traite des données personnelles pour le compte du responsable de traitement, sur instruction de celui-ci. Cette relation est encadrée par l'article 28 du RGPD, qui impose un contrat écrit entre les deux parties.
Un point souvent mal identifié : un prestataire est un sous-traitant dès qu'il a un accès technique aux données, même s'il ne les consulte jamais activement. Un hébergeur qui stocke les sauvegardes chiffrées du cabinet, sans jamais ouvrir un fichier, reste un sous-traitant au sens du RGPD.
Responsable de traitement
Le cabinet, qui détermine pourquoi et comment les données de ses clients sont traitées.
Sous-traitant
Le prestataire qui traite ces données sur instruction du cabinet, sans en déterminer les finalités.
Quels prestataires du cabinet sont concernés en pratique ?
La liste est souvent plus longue que ce qu'un cabinet imagine spontanément. Voici les catégories les plus fréquentes :
Toujours sous-traitants
- → Éditeur du logiciel de gestion de cabinet
- → Hébergeur des données et des sauvegardes
- → Prestataire de signature électronique
- → Solution de messagerie professionnelle
- → Outil de visioconférence utilisé avec les clients
- → Prestataire informatique en télémaintenance
Souvent oubliés
- → Expert-comptable ayant un accès direct au logiciel
- → Prestataire de dictée vocale ou de transcription
- → Solution d'envoi de SMS ou de relance automatisée
- → Outil d'emailing ou de newsletter du cabinet
- → Prestataire d'archivage physique des dossiers papier
- → Société de recouvrement amiable, si mandatée
⚠️ Attention : un logiciel « gratuit » ou un outil personnel utilisé ponctuellement par un collaborateur (messagerie personnelle, service de transfert de fichiers non professionnel) reste, en pratique, un sous-traitant potentiel — souvent sans aucun contrat, ce qui constitue un manquement à l'article 28 du RGPD.
Que doit contenir le contrat de sous-traitance ?
L'article 28.3 du RGPD liste précisément les clauses obligatoires que doit contenir tout contrat liant un cabinet à un sous-traitant :
✓ L'objet, la durée et la nature du traitement
✓ Les instructions documentées du responsable de traitement
✓ L'obligation de confidentialité du personnel
✓ Les mesures de sécurité mises en œuvre (article 32)
✓ L'encadrement du recours à des sous-traitants ultérieurs
✓ L'assistance pour répondre aux demandes d'exercice des droits
✓ La notification des violations de données
✓ La restitution ou suppression des données en fin de contrat
💡 Bon à savoir : une simple mention dans les conditions générales d'utilisation d'un logiciel ne suffit généralement pas à couvrir l'ensemble de ces exigences. Un document dédié — annexe RGPD ou DPA (Data Processing Agreement) — est la pratique la plus solide.
Comment cartographier ses sous-traitants ? Méthode en 4 étapes
1. Lister tous les outils numériques utilisés par le cabinet
En incluant les outils utilisés par chaque collaborateur, pas seulement les abonnements souscrits au nom du cabinet. Une revue avec chaque poste est souvent nécessaire pour ne rien oublier.
2. Qualifier chaque outil
Traite-t-il des données personnelles de clients, de parties adverses, de salariés ? Si oui, il s'agit d'un sous-traitant à documenter, quelle que soit son importance apparente.
3. Vérifier l'existence d'un contrat conforme
Demander la copie du contrat ou de l'annexe RGPD à chaque prestataire s'il n'est pas déjà en votre possession. Beaucoup d'éditeurs mettent ce document à disposition sur simple demande, voire en libre accès.
4. Consigner la cartographie dans le registre des traitements
Chaque traitement du registre doit mentionner les sous-traitants impliqués. Voir notre modèle de registre des traitements pour cabinet d'avocats.
Que vérifier au-delà du contrat ?
Le contrat de sous-traitance est nécessaire, mais il ne suffit pas à garantir seul une conformité réelle. Trois points méritent une attention particulière :
🌍
Localisation
Où sont hébergées les données, et quelle est la nationalité réelle du prestataire ? Voir notre article sur l'hébergement France ou UE.
🔗
Sous-traitance en cascade
Le prestataire fait-il lui-même appel à d'autres sous-traitants (hébergement, support, analytics) ? Le contrat doit encadrer cette sous-traitance ultérieure.
🔄
Revue périodique
La liste des outils évolue en permanence (nouveaux abonnements, outils abandonnés). Une revue annuelle évite que la cartographie devienne obsolète.
⚠️ À retenir : en cas de violation de données chez un sous-traitant, la responsabilité du cabinet en tant que responsable de traitement reste engagée envers ses clients et la CNIL. Un contrat solide facilite la notification et la gestion de l'incident, mais ne transfère pas cette responsabilité.
Cette cartographie s'inscrit naturellement dans une démarche RGPD plus large, détaillée dans notre guide RGPD cabinet d'avocats 2026, et complète les recommandations formulées dans notre article sur le secret professionnel et le cloud.
💡 Bon à savoir : la cartographie des sous-traitants n'est pas un exercice ponctuel réservé à la mise en conformité initiale. Chaque nouvel outil adopté par un collaborateur — même à l'essai, même gratuit — doit déclencher la même vérification : traite-t-il des données personnelles du cabinet, et si oui, existe-t-il un contrat conforme à l'article 28 ? C'est souvent lors du remplacement d'un outil existant, plutôt qu'à son adoption initiale, que l'on découvre l'absence d'un contrat resté introuvable pendant des années.
Chez NetJuris
Un contrat de sous-traitance RGPD clair, une localisation documentée et des mesures de sécurité détaillées sont fournis à chaque cabinet client, facilitant la tenue de votre propre cartographie. Découvrez nos fonctionnalités.
Démarrer l'essai gratuit · Demander une démo · Voir les tarifs
FAQ
Un expert-comptable qui accède au logiciel du cabinet est-il un sous-traitant ?
Oui, dès lors qu'il accède à des données personnelles (identité des clients, montants facturés) pour le compte du cabinet. Un contrat ou une clause dédiée doit encadrer cet accès, même s'il s'agit d'un professionnel réglementé par ailleurs.
Combien de temps faut-il pour cartographier tous ses sous-traitants ?
Pour un cabinet de taille moyenne, un premier inventaire sérieux prend généralement quelques heures, réparties entre la liste des outils et la collecte des contrats existants. L'essentiel est d'aboutir à un document vivant, mis à jour à chaque nouvel outil adopté.
Que faire si un prestataire refuse de fournir son contrat de sous-traitance ?
C'est un signal d'alerte sérieux. Un prestataire sérieux et conforme dispose de ce document et le transmet sans difficulté. En l'absence de réponse satisfaisante, il est prudent d'envisager un changement de prestataire pour les traitements les plus sensibles.
La cartographie des sous-traitants doit-elle être communiquée aux clients ?
Elle n'a pas à être transmise systématiquement, mais elle doit être disponible en cas de demande légitime d'un client ou de contrôle de la CNIL. La politique de confidentialité du cabinet peut en mentionner les grandes catégories.
Publié le 2026-03-28. Contenu informatif destiné aux professionnels du droit ; il ne constitue pas une consultation juridique. Pour l'analyse précise de vos contrats de sous-traitance, référez-vous au texte du Règlement (UE) 2016/679 et aux ressources de la CNIL.