Agence web : vous êtes sous-traitant RGPD sans le savoir (art. 28)
Vous hébergez ou maintenez les sites de vos clients ? Au sens de l'article 28 du RGPD, vous êtes sous-traitant — avec des obligations propres : DPA, registre art. 30.2, double casquette. Le guide complet, pour les agences web et les prestataires.
L'article 28 vous impose 4 obligations concrètes que la plupart des agences web ignorent : un DPA avec chaque client, un second registre art. 30.2, la cartographie de vos sous-traitants ultérieurs (hébergeur, sauvegarde, CDN), et un dispositif d'assistance client en cas de violation. Une à deux journées de travail, un statut juridique assaini, et un argument commercial qu'aucun de vos concurrents ne propose encore.
Vous avez peut-être déjà fait le tour de vos obligations RGPD : un registre des traitements pour vos clients et votre facturation, une politique de confidentialité sur votre site, un bandeau cookies correct. Bon élève. Et pourtant, si votre agence héberge, maintient ou administre les sites de ses clients, il vous manque très probablement la moitié du tableau — la moitié que presque toutes les agences web oublient.
Quand le site de votre client boulanger reçoit une commande, un message via le formulaire de contact ou une inscription à sa newsletter, ces données personnelles transitent par des systèmes que vous administrez. Vous les traitez. Mais pas pour votre compte : pour le sien. Et ce simple fait change tout votre statut juridique.
La double casquette que personne ne vous a expliquée
Le RGPD distingue deux rôles, et vous portez les deux en même temps :
| Casquette | Pour quelles données ? | Vos obligations principales |
|---|---|---|
| Responsable de traitement | VOS données : vos clients, votre prospection, vos salariés, vos candidatures, votre site | Registre des traitements (art. 30.1), bases légales, information des personnes, durées de conservation |
| Sous-traitant | Les données que vous traitez pour le compte de vos clients : visiteurs et clients de leurs sites | Contrat de sous-traitance — le fameux DPA (art. 28) — et un second registre (art. 30.2) |
La première casquette, vous la connaissez. C'est la seconde qui passe sous les radars : le mot « sous-traitant » évoque le BTP, pas une agence web. Pourtant la définition de l'article 4 est limpide : est sous-traitant quiconque « traite des données à caractère personnel pour le compte du responsable du traitement ». Héberger le site d'un client, gérer sa base WordPress, faire ses sauvegardes, intervenir en maintenance sur sa boutique en ligne : tout cela, c'est traiter des données pour son compte.
Ce que l'article 28 vous impose concrètement
1. Un contrat de sous-traitance (DPA) avec chaque client
Ce n'est pas une option ni une bonne pratique : c'est une obligation légale, pour vous comme pour votre client. Le DPA (Data Processing Agreement) doit préciser, entre autres : l'objet et la durée du traitement, la nature des données, le fait que vous n'agissez que sur instruction documentée du client, vos engagements de confidentialité et de sécurité, l'assistance que vous lui devez, et le sort des données en fin de contrat (restitution ou suppression).
Bonne nouvelle : un DPA bien fait est aussi un argument commercial. Vos clients les plus structurés — et leurs avocats — finiront par vous le demander. Celui qui le propose spontanément inspire confiance ; celui qui découvre le sujet en réunion la perd.
2. Le registre des activités de sous-traitance (art. 30.2)
Vous connaissez le registre de l'article 30.1, celui de vos propres traitements. L'article 30.2 en exige un second, en miroir : la liste de vos clients (les responsables de traitement), les catégories de traitements que vous opérez pour chacun, les éventuels transferts hors UE, et les mesures de sécurité mises en œuvre. Une agence de quinze clients en infogérance doit pouvoir présenter quinze lignes claires.
3. Vos sous-traitants ultérieurs
Vous hébergez chez OVH, Scaleway ou o2switch ? Pour les données de vos clients, ces hébergeurs sont vos sous-traitants ultérieurs. Vous devez les déclarer, obtenir l'autorisation (générale ou spécifique) de vos clients pour y recourir, et leur imposer contractuellement les mêmes obligations que les vôtres — en pratique, le DPA de votre hébergeur fait le travail, encore faut-il l'avoir lu et archivé.
4. L'assistance à votre client
Demande d'effacement reçue par votre client ? C'est peut-être dans votre base qu'il faut supprimer. Violation de données sur son site ? Vous devez la lui notifier dans les meilleurs délais — c'est lui qui a 72 heures pour prévenir la CNIL, et il ne peut pas tenir ce délai si vous mettez une semaine à l'alerter. L'article 28 fait de vous un maillon actif de sa conformité.
« Et si je ne fais rien ? »
Trois risques, du plus probable au plus coûteux. D'abord le risque commercial : les appels d'offres et les grands comptes exigent désormais DPA et garanties art. 28 — sans eux, vous êtes éliminé avant d'avoir présenté votre travail. Ensuite le risque contractuel : en cas d'incident chez un client, l'absence de DPA se retourne contre les deux parties, et votre responsabilité peut être engagée directement. Enfin le risque réglementaire : depuis 2018, le sous-traitant est directement sanctionnable par la CNIL — jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les manquements à l'article 28 et au registre de l'article 30.
Le RGPD n'a pas inventé ces responsabilités pour embêter les agences : il a simplement écrit noir sur blanc ce que vos clients vous confient déjà en silence — leurs données, et celles de leurs propres clients.
Votre plan d'action en 6 étapes
✅ La mise en conformité « casquette sous-traitant »
- Listez vos clients en infogérance — tous ceux dont vous hébergez, maintenez ou administrez un système contenant des données personnelles.
- Créez votre registre art. 30.2 — une fiche par client : catégories de traitements et de données, transferts éventuels, mesures de sécurité.
- Signez un DPA avec chacun — partez d'un modèle solide et adaptez-le ; pour les nouveaux clients, intégrez-le directement à votre contrat de prestation.
- Cartographiez vos sous-traitants ultérieurs — hébergeur, outil de sauvegarde, CDN... Récupérez et archivez leurs DPA.
- Documentez vos mesures de sécurité (art. 32) — chiffrement, accès, sauvegardes, journalisation : une fiche d'une page que vous annexez au DPA.
- Préparez le scénario violation — qui alerte qui, en combien de temps, avec quelles informations. Le jour J, on ne réfléchit pas, on déroule.
Comptez une à deux journées de travail pour une agence de taille moyenne — un investissement modeste pour un statut juridique assaini et un argument commercial que la plupart de vos concurrents n'ont pas encore.
L'outil qui gère votre double casquette
Vision RGPD intègre nativement le registre de sous-traitance art. 30.2, le modèle de DPA, la grille d'évaluation prestataires/HDS, une GED qui classe vos DPA signés et exporte le dossier de preuve complet (ZIP + bordereau), et un guide de 31 chapitres qui raconte... la mise en conformité d'une agence web. 100 % local, sans abonnement, 149 € à vie.
Pour finir
Cet article décrit le chemin que nous avons nous-mêmes parcouru : une agence qui a découvert sa casquette de sous-traitant, puis a construit l'outil qu'elle aurait aimé avoir. Si vous gérez les sites de vos clients, vous êtes dans la même situation que nous il y a trois ans — sauf que vous avez maintenant la roadmap.
Cet article est une vulgarisation et ne constitue pas un conseil juridique. Pour une situation complexe, rapprochez-vous d'un avocat ou d'un DPO certifié.
Téléchargez Vision RGPD en essai gratuit (30 jours)
Lʼoutil utilisé dans ce récit. 100 % local sur votre PC Windows, aucune donnée ne quitte votre machine. Si vous adoptez, lʼachat est unique à 149 €, à vie.
Windows 10/11 · 18 MB · vérification SHA256 fournie
