Fiche vérifiée en septembre 2026 · lecture : 6 min
Données clients et sous-traitance : ce que le RGPD impose au donneur d’ordre
Confier sa relation client, c’est confier les données de ses clients. Cette phrase paraît évidente et ses conséquences le sont beaucoup moins : vous restez responsable du traitement, le prestataire devient votre sous-traitant, et cette répartition des rôles commande tout le reste du contrat.
Responsable ou sous-traitant : la distinction qui commande tout
Le RGPD distingue deux rôles. Le responsable du traitement décide pourquoi et comment les données sont traitées : c’est vous, puisque ce sont vos clients et votre finalité. Le sous-traitant traite pour le compte du responsable : c’est le prestataire.
Cette répartition n’est pas un choix contractuel, elle découle des faits. Un prestataire qui ne fait qu’exécuter vos instructions est sous-traitant, même si le contrat dit autre chose. Et la conséquence est directe : si les obligations ne sont pas respectées, votre responsabilité est engagée, pas seulement la sienne.
C’est pour cette raison qu’une externalisation de service client ne se délègue pas au service achats seul. Quelqu’un doit lire le volet données, et ce n’est pas une formalité administrative. Le contrat d’un plateau externalisé place d’ailleurs ces clauses parmi les cinq points sur lesquels il se juge.
Ce que le contrat doit contenir
Ce que dit le règlement
Le responsable du traitement ne fait appel qu’à des sous-traitants présentant des garanties suffisantes. Le traitement par un sous-traitant est régi par un contrat qui définit l’objet, la durée, la nature et la finalité du traitement, et qui prévoit notamment le traitement sur instruction documentée, la confidentialité, la sécurité, la restitution ou la suppression des données en fin de contrat, et la fourniture des informations nécessaires aux audits (RGPD, article 28).
Traduit en points à vérifier dans une proposition, cela donne une liste courte et vérifiable.
- L’objet et la durée du traitement : pour quoi faire, et jusqu’à quand.
- Les instructions documentées : le prestataire n’agit que sur vos instructions, et elles sont écrites.
- La confidentialité : les personnes autorisées s’y engagent.
- La sécurité : les mesures prises, décrites et non simplement affirmées.
- La restitution ou la suppression en fin de contrat, à votre choix, avec un délai.
- Les audits : le prestataire fournit les informations nécessaires pour démontrer le respect de ses obligations.
La sous-traitance en cascade, le point le plus souvent négligé
Un prestataire qui confie tout ou partie du travail à un autre prestataire crée une chaîne à trois, et le règlement encadre précisément cette situation.
Le sous-traitant ne recrute pas un autre sous-traitant sans votre autorisation écrite préalable, spécifique ou générale. En cas d’autorisation générale, il vous informe de tout ajout ou remplacement, et vous pouvez vous y opposer. Les mêmes obligations de protection des données sont imposées par contrat au second sous-traitant, et si celui-ci ne les remplit pas, le sous-traitant initial demeure pleinement responsable devant vous (RGPD, article 28, paragraphes 2 et 4).
En pratique, cette clause est celle qu’il faut regarder quand un prestataire annonce une capacité d’absorption qu’il ne peut manifestement pas tenir avec ses seules équipes. La question n’est pas indiscrète : elle est prévue par le texte.
Quand le traitement sort de l’Union européenne
Si le plateau, ou une partie de la chaîne, est situé hors de l’Union, un cadre supplémentaire s’ajoute. Il ne remplace pas l’article 28 : il s’y ajoute.
Un transfert vers un pays tiers ne peut avoir lieu que si les conditions du chapitre V sont respectées (RGPD, article 44). Deux voies existent. Soit la Commission européenne a constaté que le pays assure un niveau de protection adéquat (article 45) ; soit, à défaut, le transfert repose sur des garanties appropriées, dont les clauses types de protection des données adoptées par la Commission (article 46).
La liste des pays reconnus adéquats est publique et courte, et les destinations habituelles des plateaux francophones n’y figurent pas (Commission européenne, décisions d’adéquation). La page France ou offshore détaille cet arbitrage et les questions à poser au moment de choisir.
Deux points propres à la relation client
Au-delà du socle commun à toute sous-traitance, deux sujets reviennent spécifiquement quand il s’agit d’un service client.
Les enregistrements d’appels. La CNIL retient que l’écoute et l’enregistrement supposent une nécessité reconnue et restent proportionnés, écarte les dispositifs permanents ou systématiques, et exige que les salariés comme leurs interlocuteurs soient informés, l’interlocuteur devant connaître son droit d’opposition avant la fin de la conversation (CNIL, écoute et enregistrement des appels). La page qui porte cette doctrine est signalée par la CNIL comme en cours de mise à jour : elle décrit une pratique attendue, elle ne se cite pas comme un texte de loi.
Les pièces jointes des réclamations. Un client qui conteste envoie souvent une photo, un justificatif, parfois un document qui en dit long sur sa situation. Ces pièces s’accumulent, et presque aucun contrat ne dit ce qu’elles deviennent une fois le dossier clos. C’est une question à poser explicitement, avec un délai de suppression. Le centre de contact externalisé reprend ce point dans la liste des clauses à lire.
Mis à jour le 12 septembre 2026. Textes vérifiés en septembre 2026.
Questions fréquentes
Qui est responsable des données de mes clients quand j’externalise ?
Mon prestataire peut-il sous-traiter à son tour ?
Que doit prévoir le contrat de sous-traitance ?
Que deviennent les pièces jointes envoyées par mes clients ?
Poser le volet données avant de choisir
Décrivez le type de données que le prestataire devra voir pour répondre : un professionnel de la relation client vous répond avec un périmètre et le cadre applicable.