RGPD éditeur SaaS : obligations et preuves à fournir en 2026

En décembre 2025, la CNIL a sanctionné deux éditeurs de logiciels en dix jours : 1 million d’euros contre MOBIUS SOLUTIONS LTD, ancien prestataire de Deezer (délibération SAN-2025-014 du 11 décembre 2025), puis 1,7 million d’euros contre NEXPUBLICA FRANCE, éditeur du progiciel PCRM utilisé par des maisons départementales des personnes handicapées (SAN-2025-015 du 22 décembre 2025). Dans les deux cas, la société n’était pas responsable de traitement : elle était sous-traitant, et c’est en cette qualité qu’elle a été condamnée. Cinq mois plus tard, le 28 mai 2026, la CNIL publiait une fiche entière sur la qualification des acteurs de l’informatique en nuage, avec des exemples SaaS à chaque page.

Si vous éditez un logiciel en mode SaaS, ces trois textes décrivent votre exposition. Voici ce qu’ils imposent, ce que vos clients vont vous demander de prouver, et comment organiser cette preuve sans y consacrer un juriste à temps plein.

Éditeur SaaS : sous-traitant en principe, responsable pour le reste

La première erreur que je rencontre chez les éditeurs est de penser leur rôle en bloc : « nous sommes sous-traitant, point ». La fiche CNIL du 28 mai 2026 dit exactement l’inverse. Elle raisonne finalité par finalité, en s’appuyant sur les lignes directrices 07/2020 du CEPD sur les notions de responsable du traitement et de sous-traitant, et distingue trois familles de traitements.

La fourniture du service : vous êtes sous-traitant

Pour tout ce qui relève de la mise à disposition du service — hébergement, stockage, exécution des fonctionnalités que le client active —, le client est responsable de traitement et l’éditeur est sous-traitant au sens de l’article 4(8). L’exemple donné par la CNIL est celui d’un CRM en nuage : l’entreprise utilisatrice décide pourquoi et comment les données de ses propres clients sont exploitées ; le fournisseur « exécute uniquement les instructions nécessaires au fonctionnement du CRM ». La CNIL précise un point que les éditeurs invoquent souvent à tort : le fait que le fournisseur décide de la plupart des moyens techniques ne suffit pas à le rendre responsable de traitement. Le choix de la base de données, du langage ou de l’hébergeur relève des moyens non essentiels ; il ne change pas votre qualification.

L’amélioration du service : trois cas, et une sanction pour les illustrer

C’est ici que le raisonnement en bloc devient dangereux. Lorsque l’éditeur exploite les données de ses clients pour améliorer son produit, la CNIL distingue trois hypothèses :

• l’amélioration est décidée par l’éditeur, pour ses propres besoins, à partir des données de plusieurs clients, sans que ceux-ci puissent donner d’instructions : l’éditeur est responsable de traitement et doit disposer de sa propre base légale, informer les personnes et tenir ce traitement dans son registre au titre de l’article 30(1) ;
• l’amélioration est demandée par un client précis, sur ses seules données, selon ses instructions : le client reste responsable et l’éditeur sous-traitant ;
• l’amélioration est définie ensemble, parce qu’elle sert les deux parties : il peut y avoir responsabilité conjointe au sens de l’article 26, avec l’accord de répartition qu’il impose.

La décision MOBIUS montre ce qui arrive quand cette analyse n’est pas faite. La société avait copié les données de Deezer « afin d’améliorer les performances de ses propres services » ; elle soutenait que cette copie entrait dans l’exécution du contrat. La formation restreinte a répondu qu’aucune clause ne l’y autorisait et a retenu un manquement à l’article 29 : traitement en dehors des instructions du responsable. Le RGPD prévoit d’ailleurs la conséquence ultime à l’article 28(10) : le sous-traitant qui détermine lui-même les finalités et les moyens « est considéré comme un responsable du traitement pour ce traitement ». Autrement dit, vous ne cessez pas d’être exposé en sortant du cadre : vous changez de régime, sans avoir préparé aucune des obligations qui vont avec.

La sécurité « du » nuage : vos propres traitements

Troisième famille, la plus souvent oubliée dans les registres d’éditeurs : les données traitées pour sécuriser la plateforme elle-même. Journaux de connexion à la console, données d’authentification des administrateurs clients, télémétrie de détection d’anomalies, suivi de consommation de ressources pour repérer un minage pirate. La CNIL considère qu’en règle générale le fournisseur est responsable de ces traitements, parce qu’ils bénéficient à l’ensemble des clients, que la finalité est définie par lui seul et qu’il en détermine les moyens. À l’inverse, la sécurité « dans » le nuage — le chiffrement, les habilitations et la journalisation que chaque client paramètre pour ses propres données — reste sous la responsabilité du client, l’éditeur intervenant comme sous-traitant.

Le tableau ci-dessous résume la grille de lecture à appliquer, traitement par traitement, avant toute rédaction contractuelle.

Traitement	Qualification de l’éditeur	Conséquence documentaire
Fourniture du service (hébergement, fonctionnalités)	Sous-traitant	Contrat art. 28(3), registre art. 30(2)
Amélioration du produit décidée seul, données de plusieurs clients	Responsable de traitement	Base légale, information, registre art. 30(1), éventuellement AIPD
Amélioration demandée par un client sur ses données	Sous-traitant	Instruction documentée dans le contrat
Amélioration co-définie avec le client	Responsable conjoint possible	Accord art. 26
Sécurité de la plateforme (journaux, télémétrie, comptes administrateurs)	Responsable de traitement	Base légale (intérêt légitime), information, registre art. 30(1)
Sécurité paramétrée par le client sur ses données	Sous-traitant	Matrice de responsabilités annexée au contrat
Données de vos propres salariés, prospects, facturation	Responsable de traitement	Conformité classique

La CNIL ajoute une consigne que je fais mienne depuis longtemps : en cas de doute, documentez le raisonnement qui a conduit à la qualification. Un contrôleur qui trouve une analyse écrite, même discutable, ne vous traite pas comme un contrôleur qui ne trouve rien.

Le contrat de l’article 28(3), vu du côté de l’éditeur

Dans la relation SaaS, c’est presque toujours l’éditeur qui rédige le contrat de sous-traitance — le « DPA » — parce qu’il ne peut pas négocier un texte différent avec chacun de ses centaines de clients. Cette position a un avantage (vous maîtrisez le texte) et un piège (vous répondez de ses lacunes). L’affaire DEDALUS BIOLOGIE l’a rappelé : dans sa délibération SAN-2022-009 du 15 avril 2022, la CNIL a sanctionné cet éditeur de logiciels de laboratoires à hauteur de 1,5 million d’euros après une fuite concernant près de 500 000 personnes, en retenant notamment que ses conditions générales de vente et ses contrats de maintenance ne contenaient pas les mentions de l’article 28(3). Le manquement contractuel a été retenu en tant que tel, à côté des manquements de sécurité.

Les huit clauses obligatoires

L’article 28(3) impose que le contrat fixe l’objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes, puis qu’il prévoie huit engagements du sous-traitant :

1. ne traiter que sur instruction documentée du responsable, y compris pour les transferts hors UE, sauf obligation légale (art. 28(3)(a)) ;
2. garantir la confidentialité des personnes autorisées (b) ;
3. prendre les mesures de sécurité de l’article 32 © ;
4. respecter les conditions de recours à un sous-traitant ultérieur (d) ;
5. aider le responsable à répondre aux demandes d’exercice des droits (e) ;
6. l’aider à respecter les articles 32 à 36 : sécurité, notification des violations, AIPD (f) ;
7. supprimer ou restituer les données à la fin de la prestation, et détruire les copies (g) ;
8. mettre à disposition les informations nécessaires pour démontrer la conformité et permettre les audits, et signaler toute instruction qui lui paraît illicite (h).

Si vous ne voulez pas rédiger, la Commission européenne a adopté des clauses contractuelles types entre responsables et sous-traitants par la décision d’exécution (UE) 2021/915 du 4 juin 2021, prise sur le fondement de l’article 28(7). Elles sont peu utilisées en pratique parce qu’elles sont rigides, mais elles constituent un excellent test : si votre DPA maison couvre moins que ces clauses, il est incomplet.

Les cinq points où les DPA d’éditeurs échouent

Après vingt ans à relire des contrats de ce type, les lacunes se concentrent toujours aux mêmes endroits.

Les instructions. Un DPA qui renvoie aux « instructions écrites du client » sans les définir est une bombe à retardement : vos clients ne vous écriront jamais d’instructions, et le contrôleur vous demandera où elles sont. La bonne pratique consiste à stipuler que le contrat, la documentation produit et le paramétrage effectué par le client dans l’interface constituent ensemble les instructions documentées. Toute utilisation des données qui n’en relève pas — analyse d’usage inter-clients, entraînement d’un modèle, statistiques commerciales — doit être soit exclue, soit qualifiée de traitement propre de l’éditeur, avec le régime qui va avec.

Les sous-traitants ultérieurs. J’y reviens dans la section suivante, mais notez déjà que la simple mention « l’éditeur peut recourir à des sous-traitants » ne satisfait pas l’article 28(2).

Les audits. L’article 28(3)(h) donne au client un droit à l’information et à l’audit ; il ne dit pas comment. Un DPA bien conçu organise deux niveaux : la mise à disposition annuelle de rapports (certification ISO 27001, rapport d’audit indépendant, synthèse de tests d’intrusion), puis un audit sur site à la charge du client, sur préavis, une fois par an, pour ce que les rapports ne couvrent pas. Refuser tout audit est illicite ; accepter un audit sans limite est intenable quand on a trois cents clients.

La fin du contrat. MOBIUS a été sanctionnée sur l’article 28(3)(g) pour avoir conservé une copie des données de plus de 46 millions d’utilisateurs après la fin de la relation — copie réalisée, selon la société, par trois salariés à son insu, sur un environnement de non-production. La formation restreinte a retenu que la société répondait de leurs actes. Votre clause de réversibilité doit donc fixer une période de récupération, une date d’effacement, le sort des sauvegardes (avec leur délai de rotation) et la remise d’une attestation d’effacement. Et votre procédure interne doit garantir que la clause est exécutée, environnements de test compris. Le guide sur l’effacement sécurisé des données détaille les méthodes et la preuve à conserver.

Les transferts. Le DPA doit indiquer où les données sont hébergées et traitées, y compris par le support technique, et sur quel fondement du chapitre V reposent les éventuels transferts hors UE. Le contrat SaaS commercial et le DPA doivent dire la même chose ; c’est rarement le cas quand ils ont été rédigés par deux personnes différentes.

Sous-traitants ultérieurs : la chaîne dont vous répondez

Un SaaS ne tourne jamais seul. Hébergeur, CDN, service d’envoi d’e-mails, outil de support, prestataire de sauvegarde, parfois un fournisseur d’IA : chacun est un sous-traitant ultérieur au sens de l’article 28(2) dès lors qu’il accède aux données de vos clients.

Le RGPD pose deux règles. D’abord, aucun sous-traitant ultérieur sans autorisation écrite préalable, spécifique ou générale, du responsable ; en cas d’autorisation générale, vous devez l’informer de tout ajout ou remplacement et lui laisser la possibilité d’émettre des objections (art. 28(2)). Ensuite, vous devez imposer au sous-traitant ultérieur, par contrat, les mêmes obligations que celles du DPA, et vous demeurez pleinement responsable envers votre client de l’exécution de ces obligations par lui (art. 28(4)).

L’avis 22/2024 du CEPD, adopté en octobre 2024 à la demande de l’autorité danoise, a précisé ce que le client est en droit d’attendre de vous. Le responsable doit disposer à tout moment de l’identité — nom, adresse, personne de contact — de tous les sous-traitants de la chaîne, quel que soit le rang. Il doit vérifier que chacun présente des garanties suffisantes au sens de l’article 28(1), l’étendue de cette vérification dépendant du risque du traitement. Il n’est pas tenu de réclamer systématiquement les contrats conclus entre vous et vos propres prestataires, mais il peut le faire lorsque c’est nécessaire à sa responsabilité ; le CEPD indique que le sous-traitant initial doit alors les lui transmettre, le cas échéant expurgés des informations commerciales sensibles.

En pratique, cela impose à l’éditeur quatre choses : une liste publique de sous-traitants ultérieurs à jour (nom, service, localisation des données, fondement de transfert), un mécanisme de notification des changements avec un préavis raisonnable — trente jours est devenu l’usage — et une procédure d’objection dont l’issue (résiliation sans pénalité, en général) est prévue à l’avance, des contrats de flux descendant signés avec chacun, et une vérification documentée de leurs garanties. Les grands hébergeurs publient leurs propres DPA et listes de sous-traitants ; les guides sur AWS, Azure et GCP et sur OVHcloud vous aideront à vérifier que ce que vous promettez à vos clients est effectivement couvert en amont. Le modèle de questionnaire sous-traitants sert dans les deux sens : c’est celui que vous recevrez, et celui que vous devriez envoyer à vos propres prestataires.

Le registre de l’article 30(2) : l’oubli qui coûte cher

Troisième manquement retenu contre MOBIUS : l’absence de registre des activités de traitement. La CNIL a rappelé qu’un « sous-traitant qui traite des données pour le compte d’un responsable de traitement doit également tenir un registre des données sous-traitées ».

Le contenu est fixé par l’article 30(2) et il est plus court que celui du responsable : pour chaque client, le nom et les coordonnées du client et de son éventuel DPO, les vôtres, les catégories de traitements effectués pour son compte, les transferts hors UE avec leurs garanties, et une description générale des mesures de sécurité. L’exemption de l’article 30(5) pour les entreprises de moins de 250 salariés ne vous sera d’aucun secours : elle ne joue que si le traitement est occasionnel, ce qu’un SaaS n’est jamais.

Deux précisions pratiques. D’une part, ce registre « sous-traitant » ne dispense pas du registre « responsable » de l’article 30(1) pour vos traitements propres : salariés, prospects, facturation, sécurité de la plateforme, amélioration du produit lorsque vous en êtes responsable. Un éditeur tient donc deux registres, ou un registre à deux volets. D’autre part, le registre sous-traitant se déduit presque entièrement de votre base clients et de votre liste de sous-traitants ultérieurs ; le tenir à la main est un choix, pas une fatalité. Le modèle de registre sous-traitant vous donne la structure ; c’est ce type de registre que Legiscope génère et maintient à jour à partir de vos contrats, ce qui devient utile au-delà d’une cinquantaine de clients.

Sécurité : l’état de l’art, et la preuve que vous l’appliquez

L’article 32 s’adresse au responsable et au sous-traitant, dans les mêmes termes. La décision NEXPUBLICA montre comment la CNIL l’applique à un éditeur. La formation restreinte a relevé que les vulnérabilités du progiciel « relevaient pour la plupart d’une méconnaissance de l’état de l’art et de principes élémentaires en matière de sécurité », qu’elles étaient connues et identifiées par la société grâce à plusieurs rapports d’audits, et qu’elles n’ont été corrigées qu’après les violations. Elle a jugé la situation aggravée par le fait que la société est spécialisée dans le conseil en systèmes et logiciels. L’amende — 1,7 million d’euros — tient compte de la sensibilité des données, qui révélaient un handicap.

La leçon dépasse ce dossier : un audit de sécurité dont les conclusions ne sont pas suivies d’effet est une pièce à charge. Si vous commandez des tests d’intrusion, tenez un plan de remédiation daté, avec un responsable et une échéance par vulnérabilité, et conservez la preuve de la correction. Le guide sur la gestion des correctifs décrit une méthode qui tient dans le temps.

Reste la question de la répartition. La fiche CNIL du 28 mai 2026 en donne la clé : sécurité « du » nuage (vos serveurs, votre réseau, vos correctifs, votre isolation entre clients) contre sécurité « dans » le nuage (les habilitations, le chiffrement et la journalisation que le client paramètre). La CNIL insiste sur le fait que les deux sont liées : « une faille dans la sécurité du nuage peut compromettre la sécurité dans le nuage, malgré les mesures prises par les clients » — c’est exactement le scénario NEXPUBLICA. Je recommande d’annexer au DPA une matrice de responsabilités qui, pour chaque mesure (authentification multifacteur, chiffrement, sauvegardes, journalisation, gestion des accès, tests), dit qui fait quoi. Le modèle de responsabilité partagée en détaille la logique. Sans cette matrice, chaque partie croit que l’autre s’en occupe, et le contrôleur constate que personne ne s’en occupait.

Violation de données : votre client a 72 heures, vous n’en avez pas

L’article 33(2) impose au sous-traitant de notifier au responsable de traitement toute violation « dans les meilleurs délais » après en avoir pris connaissance. Le délai de 72 heures de l’article 33(1) court pour votre client, à compter du moment où il en a connaissance ; votre lenteur consomme son délai. C’est pourquoi les DPA d’entreprises fixent presque toujours un délai contractuel de 24 à 48 heures pour l’information du client. Acceptez-le, mais organisez-vous pour le tenir.

Le scénario publié par la CNIL le 27 mai 2026, « Cyberattaque : le sous-traitant au centre de la crise », décrit précisément la situation d’un éditeur de solution en nuage compromis par ingénierie sociale. Il en ressort une double casquette : l’éditeur notifie à la CNIL la violation qu’il subit en tant que responsable (les données de ses propres salariés, par exemple), et il informe en tant que sous-traitant chacun de ses clients pour qu’ils notifient à leur tour. La CNIL y décrit plusieurs bonnes pratiques que je conseille de préparer avant l’incident, pas pendant :

• un guide de notification à destination des clients, prévoyant qu’ils citent dans leur propre notification le numéro de celle déposée par l’éditeur, afin que la CNIL relie les dossiers ;
• une version adaptée pour les clients étrangers, avec les coordonnées de leur autorité de contrôle ;
• une ligne téléphonique dédiée, tenue par des personnes formées ;
• la possibilité de notifier pour le compte des clients, en leur nom et avec leur accord formel uniquement, lorsque l’éditeur dispose de toutes les informations utiles ;
• un traitement en deux temps : d’abord la violation de disponibilité causée par la coupure du service, puis, une fois le périmètre établi, la violation de confidentialité pour les clients concernés ;
• une trame de message aux personnes concernées lorsque le risque est élevé, construite en questions-réponses.

Le guide de notification et le modèle de notification CNIL sont conçus pour le responsable de traitement ; l’éditeur avisé les fournit à ses clients dans son kit de crise, avec le registre des violations qu’il tient lui-même.

Hébergement, transferts et représentation

Trois questions reviennent dans tous les questionnaires clients : où sont les données, qui peut y accéder, et sur quel fondement.

La localisation dans l’Union ne suffit pas à clore le sujet si votre support de niveau 2, votre fournisseur de supervision ou votre outil de ticketing accèdent aux données depuis un pays tiers : un accès à distance est un transfert. Vers les États-Unis, un prestataire certifié au titre du Data Privacy Framework est couvert par la décision d’adéquation du 10 juillet 2023, que le Tribunal de l’UE a confirmée en rejetant le recours Latombe le 3 septembre 2025 ; la prudence commande néanmoins de conserver les clauses contractuelles types en filet de sécurité, avec l’analyse d’impact de transfert correspondante. Si vous hébergez des données de santé pour des clients français, la certification HDS s’impose à vous ou à votre hébergeur ; pour les acheteurs publics et les secteurs sensibles, la qualification SecNumCloud est de plus en plus demandée. L’article 48 et la question des injonctions étrangères — le CLOUD Act américain en tête — méritent une réponse écrite dans votre documentation, car elle vous sera posée.

Enfin, un rappel qui découle directement de l’affaire MOBIUS : un éditeur établi hors de l’Union qui traite des données de personnes se trouvant dans l’Union reste soumis au RGPD lorsque ses traitements consistent en un suivi de leur comportement (art. 3(2)(b)) — la CNIL a retenu cette qualification pour l’analyse et la segmentation des utilisateurs de Deezer —, sans bénéficier du guichet unique. Il doit alors désigner un représentant dans l’Union en application de l’article 27, obligation qui pèse aussi sur les sous-traitants. Et, quelle que soit sa localisation, un éditeur dont l’activité de base consiste à traiter à grande échelle des données sensibles ou à suivre systématiquement des personnes doit désigner un DPO : l’article 37(1) vise expressément le sous-traitant.

Au-delà du RGPD : Data Act, NIS2, CRA, AI Act

Le RGPD n’est plus le seul texte que vos clients invoqueront dans une négociation.

Le Data Act (règlement (UE) 2023/2854) s’applique depuis le 12 septembre 2025 et son chapitre VI encadre le changement de fournisseur de services de traitement de données, SaaS compris : information précontractuelle, préavis de résiliation plafonné, période de récupération des données, obligation de coopérer avec le fournisseur suivant, et suppression progressive des frais de changement, qui disparaissent entièrement le 12 janvier 2027. Le guide sur la portabilité cloud sous le Data Act détaille ces obligations, qui s’ajoutent à la clause de réversibilité de l’article 28(3)(g) sans se confondre avec elle. La répartition des rôles entre éditeur et hébergeur y est traitée dans l’article sur le Data Act et les sous-traitants cloud.

La directive NIS2 inclut les fournisseurs de services d’informatique en nuage parmi les entités de l’infrastructure numérique ; un éditeur SaaS de taille moyenne ou grande peut donc relever de ses obligations de gestion des risques et de notification, sous réserve du périmètre exact retenu par la loi de transposition française, dont l’examen se poursuivait à la date de rédaction. Le guide NIS2 et l’article sur la sous-traitance sécurité sous NIS2 et RGPD vous permettent de vérifier votre situation. Le Cyber Resilience Act, lui, ne s’applique au SaaS que par exception, pour les solutions de traitement de données à distance indissociables d’un produit ; le point est traité dans le guide CRA pour les éditeurs SaaS. Enfin, si votre produit intègre des fonctions d’IA, les clauses de sous-traitance IA et la question de l’entraînement sur les données clients — qui renvoie directement à l’analyse « amélioration du service » de la CNIL — deviennent des points de négociation systématiques.

Le dossier de confiance : ce que vos clients vont vous demander

Depuis deux ou trois ans, la due diligence RGPD des acheteurs s’est professionnalisée. Un DPO de PME envoie un questionnaire de trente questions ; un grand compte en envoie deux cents. Le tableau suivant rassemble les pièces qui reviennent dans la quasi-totalité des dossiers, avec le fondement qui les justifie. Constituez ce dossier une fois, tenez-le à jour, et votre cycle de vente raccourcira d’autant.

Pièce demandée	Fondement	Fréquence de mise à jour
DPA conforme à l’art. 28(3), versionné	Art. 28(3), (7)	À chaque évolution du service
Liste des sous-traitants ultérieurs avec localisation et fondement de transfert	Art. 28(2), (4) ; avis CEPD 22/2024	En continu, avec notification des changements
Extrait du registre art. 30(2) pour le client	Art. 30(2)	Annuelle
Description des mesures de sécurité et matrice de responsabilités	Art. 28(3)©, 32	Annuelle
Certification ou rapport d’audit indépendant (ISO 27001, rapport d’assurance, HDS le cas échéant)	Art. 28(3)(h), 32(3)	À chaque renouvellement
Synthèse des tests d’intrusion et plan de remédiation	Art. 32	Annuelle
Procédure de gestion des violations et kit client	Art. 33(2)	Annuelle et après chaque incident
Procédure de réversibilité et attestation d’effacement type	Art. 28(3)(g) ; Data Act ch. VI	Annuelle
Analyse de transfert pour chaque pays tiers	Art. 44 à 49	À chaque changement de prestataire
Coordonnées du DPO ou du référent, et du représentant UE le cas échéant	Art. 27, 37	À chaque changement

Ce dossier est aussi votre meilleure défense en cas de contrôle. La responsabilité du sous-traitant est bornée par l’article 82(2) : il ne répond du dommage que s’il a manqué aux obligations qui lui incombent spécifiquement ou s’il a agi en dehors des instructions licites du responsable. Mais l’article 83(4)(a) permet de le sanctionner directement, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial, pour les manquements aux articles 25 à 39 — donc 28, 29, 30, 32 et 33, ceux-là mêmes retenus contre DEDALUS, MOBIUS et NEXPUBLICA. Le panorama des sanctions CNIL 2026 montre que la CNIL n’hésite plus à viser l’éditeur plutôt que, ou en plus de, ses clients.

Vos clients vous envoient des questionnaires RGPD, et chacun réclame les mêmes pièces. Legiscope construit et maintient votre registre sous-traitant à partir de vos contrats, audite vos DPA contre l’article 28(3), tient votre liste de sous-traitants ultérieurs et horodate chaque preuve — pour que votre dossier de confiance soit prêt avant la prochaine demande. Demander une démo Legiscope →

Ce qu’il faut retenir

• Un éditeur SaaS est sous-traitant pour la fourniture du service, mais responsable de traitement pour la sécurité de sa plateforme et, souvent, pour l’amélioration de son produit : la fiche CNIL du 28 mai 2026 impose une analyse finalité par finalité, à documenter.
• Le DPA de l’article 28(3) est votre texte : DEDALUS a été sanctionnée pour des CGV qui ne contenaient pas les mentions obligatoires, MOBIUS pour un usage des données hors instruction et une conservation après la fin du contrat.
• Le registre de l’article 30(2) est obligatoire pour tout sous-traitant, sans exemption possible pour un service continu ; son absence a été sanctionnée en décembre 2025.
• Un audit de sécurité non suivi d’effet aggrave la sanction : NEXPUBLICA a écopé de 1,7 million d’euros pour des vulnérabilités connues et non corrigées avant la fuite.
• Sous-traitants ultérieurs, notification des violations sous 24 à 48 heures, réversibilité, transferts et Data Act : préparez un dossier de confiance unique plutôt que de répondre client par client.

FAQ

Un éditeur SaaS est-il toujours sous-traitant au sens du RGPD ?

Non. Il est sous-traitant pour la fourniture du service à ses clients, mais responsable de traitement pour ses propres traitements : données de ses salariés et prospects, sécurité de la plateforme (journaux, télémétrie, comptes administrateurs) et, lorsqu’il décide seul d’exploiter les données de plusieurs clients pour améliorer son produit, ce traitement d’amélioration. La CNIL a détaillé cette grille dans sa fiche du 28 mai 2026 sur les acteurs de l’informatique en nuage.

Un éditeur SaaS doit-il tenir un registre des activités de traitement ?

Oui, à deux titres. Comme sous-traitant, il tient le registre de l’article 30(2) pour les traitements effectués pour le compte de chaque client ; comme responsable, celui de l’article 30(1) pour ses traitements propres. L’exemption des entreprises de moins de 250 salariés ne s’applique pas à un traitement régulier comme un service SaaS. L’absence de registre sous-traitant a été sanctionnée par la CNIL dans la décision MOBIUS du 11 décembre 2025.

Peut-on utiliser les données des clients pour améliorer le logiciel ?

Seulement dans un cadre défini à l’avance. Si l’amélioration est décidée par l’éditeur seul, à partir des données de plusieurs clients, il agit comme responsable de traitement et doit disposer d’une base légale, informer les personnes et documenter ce traitement. S’il le fait sans clause ni instruction, il viole l’article 29, comme l’a jugé la CNIL dans l’affaire MOBIUS. Une clause de DPA autorisant l’usage de données agrégées ou anonymisées, avec un périmètre précis, est la voie la plus sûre.

Quel délai de notification d’une violation un éditeur doit-il accepter dans son DPA ?

L’article 33(2) impose une information « dans les meilleurs délais » du responsable de traitement, qui dispose ensuite de 72 heures pour notifier la CNIL. En pratique, un délai contractuel de 24 à 48 heures après la prise de connaissance est devenu la norme dans les contrats d’entreprise. L’important est de préparer le kit de crise — guide de notification, modèle de message, point de contact — décrit par la CNIL dans son scénario du 27 mai 2026, pour être capable de tenir ce délai.