Confidentialité et RGPD entre cabinets

Rédigé par Lana Defontréault, Juriste rédacteur en Droit social chez ÉosPaie — mis à jour le 31 août 2026 — 8 minutes de lecture

Qui est qui dans la chaîne RGPD

Trois rôles distincts se superposent dans une sous-traitance de paie via un cabinet :

Le client final (l’entreprise employeuse) est le responsable de traitement : c’est lui qui détermine les finalités et les moyens du traitement des données de ses salariés.

Le cabinet est sous-traitant au sens du RGPD vis-à-vis de son client : il traite les données de paie pour le compte de ce dernier, dans le cadre de sa lettre de mission.

ÉosPaie, lorsque le cabinet lui délègue la production, devient sous-traitant ultérieur : un sous-traitant du sous-traitant, soumis aux mêmes exigences que le cabinet lui-même vis-à-vis du client final. Le détail du circuit par lequel les données transitent concrètement entre ces trois maillons est couvert sur Comment fonctionne la paie en marque blanche.

L’autorisation préalable du client final, l’étape la plus souvent négligée

C’est le point le plus fréquemment oublié : l’article 28 du RGPD impose que le sous-traitant (le cabinet) ne recrute pas de sous-traitant ultérieur sans l’autorisation écrite préalable, spécifique ou générale, du responsable de traitement (le client final). Concrètement, un cabinet qui sous-traite sa production de paie sans que ses lettres de mission ne prévoient cette autorisation — même générale — se met en situation de non-conformité vis-à-vis de ses propres clients, indépendamment de la qualité du contrat signé avec ÉosPaie.

Attention. Cette autorisation ne se présume pas. Un cabinet qui sous-traite sa paie doit vérifier que ses lettres de mission, ou un avenant, mentionnent explicitement la possibilité de recourir à un sous-traitant ultérieur pour le traitement des données de paie — avant, et non après, la mise en place de la sous-traitance.

Ce que doit contenir le contrat de sous-traitance avec ÉosPaie

L’article 28 du RGPD fixe un contenu minimal obligatoire pour tout contrat de sous-traitance de données personnelles : l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles concernées et les catégories de personnes concernées (ici, les salariés des clients du cabinet), ainsi que les obligations et droits respectifs du responsable de traitement et du sous-traitant. Un contrat de sous-traitance RGPD qui omettrait l’un de ces éléments serait incomplet au regard du texte, quelle que soit par ailleurs la qualité de la relation commerciale.

Les mesures de sécurité exigées

Au-delà du contrat, l’article 32 du RGPD impose au sous-traitant de mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque : confidentialité, intégrité, disponibilité et résilience des systèmes de traitement, ainsi qu’une capacité à restaurer les données en cas d’incident technique. Pour des données aussi sensibles que la paie — rémunération, coordonnées bancaires, parfois des éléments de santé via les arrêts de travail — ce niveau d’exigence n’est pas une option.

En cas de violation de données

Si une violation de données personnelles survient — accès non autorisé, perte de données — le RGPD impose au responsable de traitement de la notifier à la CNIL dans un délai de 72 heures à compter de sa connaissance de l’incident, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes concernées. Cette obligation remonte toute la chaîne : ÉosPaie, en tant que sous-traitant ultérieur, doit informer le cabinet sans délai injustifié dès qu’elle a connaissance d’une violation, pour que le cabinet puisse à son tour informer son client dans les temps — et, le cas échéant, les salariés concernés, qui restent des interlocuteurs du cabinet et non d’ÉosPaie, comme le détaille Quelle relation avec le client final du cabinet.

Les erreurs à éviter sur la conformité RGPD

Erreur n°1 — Sous-traiter sans vérifier l’autorisation dans les lettres de mission

C’est l’erreur la plus fréquente et la plus facile à corriger : une clause d’autorisation générale, ajoutée en amont, suffit à couvrir le recours à un sous-traitant ultérieur pour l’ensemble du portefeuille.

Erreur n°2 — Signer un contrat de sous-traitance incomplet au regard de l’article 28

Un contrat qui ne précise pas l’objet, la durée, la nature, la finalité, le type de données et les catégories de personnes concernées n’est pas conforme, même s’il couvre par ailleurs les aspects tarifaires et opérationnels.

Erreur n°3 — Ne pas anticiper la procédure en cas de violation de données

Le délai de 72 heures pour notifier la CNIL laisse peu de marge. Un cabinet qui découvre cette procédure au moment d’un incident perd un temps précieux qu’une procédure anticipée aurait évité.

Checklist de conformité RGPD avant de sous-traiter

• Autorisation client — les lettres de mission prévoient-elles une autorisation, générale ou spécifique, de recourir à un sous-traitant ultérieur ?
• Contenu du contrat — le contrat avec ÉosPaie précise-t-il l’objet, la durée, la nature, la finalité, le type de données et les catégories de personnes concernées ?
• Mesures de sécurité — les mesures techniques et organisationnelles d’ÉosPaie ont-elles été vérifiées avant signature ?
• Procédure de violation — le circuit d’alerte en cas de violation de données, et le respect du délai de 72 heures, sont-ils clairement définis ?

En résumé

La conformité RGPD d’une sous-traitance de paie tient sur trois piliers : une autorisation client correctement anticipée, un contrat conforme à l’article 28, et des mesures de sécurité vérifiées avant signature. Retour au principe général sur La paie en marque blanche.