Le lexique pour comprendre et agir

Sous-traitant au sens du RGPD

Le sous-traitant traite des données personnelles pour le compte d’un responsable du traitement, dans le cadre des instructions et conditions applicables.

Notion comptable, fiscale ou juridique · Rédaction Fiduciaires Luxembourg · Révisé le

Comprendre le périmètre

Définition et points à distinguer

Le rôle se détermine selon les opérations réelles. Un cabinet peut avoir des rôles différents selon ses traitements ; les contrats, accès, mesures de sécurité et recours à d’autres prestataires doivent refléter cette analyse.

Dans votre dossier

Ce que cela change en pratique

Un sous-traitant traite des données personnelles pour le compte d’un responsable du traitement, selon ses instructions. La qualification dépend du rôle réel, pas uniquement du titre du contrat. L’accord doit encadrer les instructions, la confidentialité, la sécurité et le recours à d’autres sous-traitants selon les exigences applicables. Une entreprise doit pouvoir comprendre où vont ses données et comment elles seront restituées ou supprimées.

Une situation pour comprendre

Exemple pédagogique

Une société utilise un prestataire pour gérer la paie. Elle analyse les rôles et encadre le traitement des données des salariés dans l’accord approprié.

Situation fictive, présentée pour illustrer la notion.

Préparer la suite

Les points à vérifier

  • Qualifier les rôles réels
  • Encadrer les instructions et la sécurité
  • Prévoir la sortie et les sous-traitants ultérieurs

La question pratique

Pour aller plus loin

Un prestataire informatique est-il toujours sous-traitant au sens du RGPD ?

Le rôle dépend de ce qu’il fait réellement et des décisions qu’il prend sur les finalités et moyens du traitement. La qualification doit être analysée pour la prestation concernée. Une même relation peut comporter des rôles différents selon les traitements. Le contrat doit refléter cette analyse plutôt que reprendre automatiquement une étiquette standard.

Relier les notions

Les termes à connaître aussi

Poursuivez avec les notions, interlocuteurs et démarches liés à ce sujet.

RGPD — protection des données personnellesLe règlement général sur la protection des données encadre les traitements de données personnelles dans son champ d’application.Minimisation des donnéesPrincipe consistant à limiter les données personnelles utilisées à celles qui sont nécessaires à l’objectif poursuivi.Réversibilité des données comptablesLa réversibilité désigne la possibilité de récupérer les documents et données utiles pour poursuivre la gestion avec un autre outil ou prestataire.Commission nationale pour la protection des données (CNPD)La CNPD est l’autorité luxembourgeoise de contrôle de la protection des données. Elle informe, contrôle et traite notamment les réclamations dans le champ de ses compétences.Notification d’une violation de données personnellesUne violation de données peut toucher leur confidentialité, leur intégrité ou leur disponibilité. Le responsable du traitement doit évaluer l’incident et les obligations de notification prévues par le RGPD.Office des signalementsL’Office des signalements informe et oriente dans le cadre de la protection des personnes signalant des violations du droit. Son rôle s’inscrit dans le dispositif luxembourgeois de protection des lanceurs d’alerte.

Passer à la pratique

Approfondir avec nos guides

Guide pratiqueGDPR-CARPA : comprendre la portée d’une certification RGPDGuide pratiqueDonnées personnelles et fiduciaire : encadrer les échanges de documents

Sources et vérification

Références consultées le 20 septembre 2026. Les démarches officielles précisent les conditions et exceptions applicables.

Ce guide explique une démarche générale. Les règles applicables dépendent de votre situation ; il ne constitue pas une consultation personnalisée. Signaler une correction.

Une définition vous donne un repère. Pour examiner votre situation, précisez votre question auprès d’un professionnel.