Données personnelles : comment répartir justement le risque entre client et prestataire ?

‍De nombreux prestataires SaaS sont aujourd’hui confrontés à une exigence récurrente lors des négociations contractuelles : celle d’assumer le risque de sanction administrative prononcée à l’encontre de leur client responsable de traitement, en cas de manquement au RGPD. Cette demande se traduit généralement par la suppression du plafond de responsabilité pour les violations de données personnelles, ou l’instauration d’un plafond spécifique, très élevé. Est-ce raisonnable ? Est-ce justifiable juridiquement ? Rien n’est moins sûr.

Le RGPD repose sur un principe clair : le responsable de traitement demeure seul responsable du respect de ses obligations en matière de traitement de données. Le sous-traitant, quant à lui, est responsable de ses propres manquements, en particulier lorsqu’il agit en dehors des instructions documentées du responsable de traitement. L’article 82 du RGPD distingue délibérément les deux types de responsabilité : chacun est responsable du dommage qu’il a causé.

Dès lors, exiger qu’un prestataire SaaS indemnise le client pour une sanction prononcée à son encontre revient à imposer une responsabilité déconnectée des faits et contraire à la logique du RGPD. Le raisonnement tient encore moins lorsque le client demande que ce risque soit couplé à une responsabilité sans plafond.

La question de l’assurabilité des sanctions pécuniaires prononcées par les autorités administratives a été réactivée en mars 2025 par l’ACPR, qui a rappelé que ces sanctions ne peuvent pas être couvertes par une assurance. Même si ce rappel ne portait pas directement sur la CNIL, il réaffirme un principe général : les amendes ayant une portée punitive ne sont pas assurables en droit français.

En matière de RGPD, les sanctions de l’article 83 sont également fondées sur la conduite des parties. Les autorités de contrôle tiennent compte du rôle, des manquements spécifiques et du comportement coopératif ou non de chaque acteur. En pratique, lorsqu’un client responsable de traitement est sanctionné, c’est le plus souvent parce qu’il n’a pas suffisamment supervisé son sous-traitant, n’a pas mis en place les mesures contractuelles et organisationnelles adéquates, ou n’a pas réagi de façon appropriée aux défaillances signalées. Ce sont généralement ces manquements que la CNIL sanctionne, en tant que défaillance de gouvernance. Autrement dit, la sanction est liée à la propre défaillance du client dans la mise en œuvre de ses obligations de supervision.

Cela ne signifie pas que le prestataire est exonéré de toute responsabilité : il peut engager sa responsabilité contractuelle, ou même faire l’objet d’une sanction directe s’il a manqué à ses propres obligations en tant que sous-traitant. Mais dans ce cas, la sanction vise le prestataire directement, et non le client. Il n’y a donc pas lieu defaire supporter au prestataire l’amende infligée au client, dès lors qu’elle sanctionne en réalité un manquement propre au client.

Cela n’exclut pas, en théorie, des clauses d’indemnisation ou de partage du risque. Mais leur efficacité juridique est incertaine, en particulier si elles tendent à faire supporter une faute manifeste d’une partie à l’autre. Un tribunal pourrait refuser d’appliquer unetelle clause si elle viole les principes de justice contractuelle ou si elle heurte l’ordre public. Cela ne signifie pas qu’elles doivent être exclues d’emblée, mais qu’elles doivent rester strictement proportionnées aux circonstances, au rôle et à la faute réelle du prestataire.

Les prestataires SaaS ont tout intérêt à structurer leur position contractuelle en s’appuyant sur des arguments à la fois juridiques et opérationnels, mêlant principes de responsabilité et leviers de réassurance :

- Ils ne sont pas des assureurs : leur mission est de fournir un service conforme, sécurisé et auditable, mais non de garantir l’ensemble des obligations du client. Lorsqu’un client choisit d’externaliser un traitement de données, c’est généralement parce qu’il ne dispose pas en interne des ressources, outils ou compétences nécessaires. Cela ne signifie pas pour autant qu’il peut s’exonérer totalement de sa responsabilité. Il est légitime que chaque partie assume la part de risque qui lui revient, en fonction de son rôle et de son niveau d’intervention. Faire porter l’intégralité du risque à un prestataire sans ajustement de prix ou de périmètre n’est ni équitable, ni économiquement cohérent.

‍

- La plupart des prestataires mettent en place des mesures de sécurité robustes et auditables, souvent conformes aux standards de référence du marché (ISO 27001, SOC 2, etc.). Ces dispositifs traduisent un niveau d’exigence rarement atteint en interne sans investissements spécifiques ou ressources dédiées.

‍

- Ils sont ouverts à la transparence, en acceptant des audits, en répondant aux questionnaires de conformité, et en offrant des garanties contractuelles raisonnables. Autant de mécanismes de contrôle qu’ils mettent en œuvre pour rassurer leurs clients.

‍

- Dans certains cas, les données traitées peuvent être peu critiques (anonymisées, pseudonymisées, non sensibles) ou les usages très encadrés. Ces éléments doivent logiquement être pris en compte dans l’analyse du risque et le calibrage des engagements contractuels.

Enfin, un point essentiel mérite d’être souligné : le niveau de responsabilité contractuelle doit rester proportionné àla valeur du contrat. Il paraît déraisonnable, en équité comme en droit, d’imposer une responsabilité illimitée à un prestataire pour un contrat de quelques milliers d’euros par an, alors même que le risque est souvent mutualisé et maîtrisé techniquement.

Refuser une responsabilité illimitée ne revient pas à se soustraire à ses obligations. Les prestataires doivent pouvoir proposer des alternatives équilibrées : responsabilité plafonnée, engagement de moyens renforcés, auditabilité, notification rapide d’incident, coopération encas d’enquête, etc.

Pour les clients, l’enjeu est de sécuriser leurs obligations en tant que responsables de traitement, sans transférer de manière déraisonnable les conséquences de leurs propres choix ou de leur gouvernance interne.

Une négociation responsable suppose de ne pas confondre obligation de conformité et obligation de résultat, ni responsabilité contractuelle et couverture assurantielle. C’est dans cette juste répartition des rôles et des risques que se construit une relation de confiance durable entre client et prestataire, au service d’une conformité effective et réaliste.La collaboration active entre les parties, en amont comme en aval du contrat, est souvent la meilleure assurance d’une conformité durable. Un échange transparent sur la nature des données traitées, les garanties mises en place et les rôles respectifs permet souvent d’aboutir à une solution équilibrée, au bénéfice des deux parties.

Pour toute question ou accompagnement, n’hésitez pas à nous solliciter en écrivant à  cchance@squairlaw.com.

‍

Caroline Chancé, avocate associée chez Squair