![\"RGPD](\"https:\/\/nouvelhorizonconseil.com\/wp-content\/uploads\/2026\/08\/RGPD-pour-les-editeurs-de-logiciels-SaaS-privacy-by-design-DPA-et-obligations-de-sous-traitant-300x163.png\")
En d\u00e9cembre 2025, la CNIL a sanctionn\u00e9 coup sur coup deux \u00e9diteurs de logiciels. Ni l’un ni l’autre n’\u00e9tait responsable de traitement.<\/p>\r\nEn d\u00e9cembre 2025, la CNIL a sanctionn\u00e9 coup sur coup deux \u00e9diteurs de logiciels. Ni l’un ni l’autre n’\u00e9tait responsable de traitement.<\/p>\r\n
Mobius Solutions, d’abord : 1 million d’euros. L’entreprise \u00e9ditait la solution technique utilis\u00e9e par Deezer pour ses campagnes publicitaires personnalis\u00e9es, sans d\u00e9cider ni des finalit\u00e9s ni des donn\u00e9es collect\u00e9es. Il lui a \u00e9t\u00e9 reproch\u00e9 d’avoir conserv\u00e9 une copie des donn\u00e9es de plus de 46 millions d’utilisateurs apr\u00e8s la fin du contrat, de les avoir exploit\u00e9es pour am\u00e9liorer ses propres services sans instruction de son client, et de n’avoir tenu aucun registre en qualit\u00e9 de sous-traitant. Trois manquements purement contractuels et documentaires.<\/p>\r\n
11 jours plus tard, Nexpublica France \u00e9copait de 1,7 million d’euros. M\u00eame position dans la cha\u00eene : \u00e9diteur d’un progiciel de gestion de la relation usagers dans l’action sociale, utilis\u00e9 notamment par des MDPH. Le reproche, lui, \u00e9tait technique. Des vuln\u00e9rabilit\u00e9s relevant de principes \u00e9l\u00e9mentaires de s\u00e9curit\u00e9, identifi\u00e9es par ses propres audits, n’ont \u00e9t\u00e9 corrig\u00e9es qu’apr\u00e8s les fuites. La CNIL a retenu comme circonstance aggravante que la soci\u00e9t\u00e9 est un professionnel du logiciel.<\/p>\r\n
2 manquements de nature oppos\u00e9e, une m\u00eame logique : dans aucun des deux cas l’autorit\u00e9 n’a fait porter la responsabilit\u00e9 sur le client donneur d’ordre, pourtant responsable de traitement. Elle a sanctionn\u00e9 directement l’\u00e9diteur, au titre des obligations que l’article 28 du RGPD fait peser sur le sous-traitant.<\/p>\r\n
Le message est d\u00e9sormais sans ambigu\u00eft\u00e9. L’\u00e9diteur SaaS n’est pas un fournisseur neutre qui livre un outil et se lave les mains de ce qui s’y passe. C’est un acteur de la cha\u00eene de traitement, directement sanctionnable. Beaucoup de dirigeants d’\u00e9diteurs l’ignorent, persuad\u00e9s que la conformit\u00e9 incombe uniquement \u00e0 leurs clients. Structurer cette conformit\u00e9 rel\u00e8ve souvent d’un <\/span>accompagnement par un DPO externe<\/span><\/a>, surtout quand l’organisme n’a pas de comp\u00e9tences relatives \u00e0 la protection des donn\u00e9es en interne.<\/span><\/p>\r\n L’essentiel<\/b> Un \u00e9diteur SaaS est presque toujours sous-traitant au sens de l’article 28 du RGPD : il traite des donn\u00e9es pour le compte de ses clients, qui restent responsables de traitement. Cette qualification lui impose des obligations propres, directement sanctionn\u00e9es par la CNIL, autour de 3 piliers : le privacy by design and security dans le produit (article 25), un DPA solide avec chaque client (article 28), et l’encadrement de l’h\u00e9bergement et des sous-traitants ult\u00e9rieurs. Bien men\u00e9e, cette conformit\u00e9 devient un argument commercial face aux clients qui doivent eux-m\u00eames auditer leurs prestataires.<\/span><\/p>\r\n Cet article s’adresse aux \u00e9diteurs qui veulent comprendre ce que l’article 28 exige d’eux, concr\u00e8tement.<\/span><\/p>\r\n La distinction commande tout le reste, et elle se tranche sur un crit\u00e8re : qui d\u00e9cide de la finalit\u00e9 du traitement ?<\/span><\/p>\r\n Le client, celui qui utilise le logiciel pour g\u00e9rer par exemple : sa paie, sa relation commerciale ou ses dossiers patients, d\u00e9termine pourquoi les donn\u00e9es sont trait\u00e9es. Il est responsable de traitement. L’\u00e9diteur fournit l’outil qui ex\u00e9cute ces traitements pour le compte du client, sur instruction, sans d\u00e9cider des finalit\u00e9s. Cette position fait de lui un sous-traitant au sens de l’article 28 du RGPD.\u00a0<\/span><\/p>\r\n Un basculement guette pourtant. D\u00e8s qu’un \u00e9diteur r\u00e9utilise les donn\u00e9es de ses clients pour son propre compte, entra\u00eenement d’un mod\u00e8le, statistiques revendues, am\u00e9lioration produit non pr\u00e9vue au contrat, il d\u00e9termine une finalit\u00e9 nouvelle. Il devient responsable de traitement pour cette r\u00e9utilisation, avec toutes les obligations qui s’y attachent. Une clause contractuelle mal r\u00e9dig\u00e9e suffit \u00e0 franchir cette fronti\u00e8re sans s’en apercevoir.<\/span><\/p>\r\n Cette qualification de sous-traitant emporte des obligations propres, sanctionn\u00e9es directement, ind\u00e9pendamment de celles du client. 3 piliers les structurent.<\/span><\/p>\r\n L’article 25 du RGPD impose d’int\u00e9grer la protection des donn\u00e9es d\u00e8s la conception du logiciel, pas de la greffer apr\u00e8s coup. Pour un \u00e9diteur, ce principe descend jusque dans l’architecture du produit.<\/span><\/p>\r\n Le volet \u00ab par d\u00e9faut \u00bb est celui que la CNIL sanctionne le plus, parce qu’il se constate facilement. Quelques exemples violent frontalement l’article 25(2) :<\/span><\/p>\r\n Google a \u00e9t\u00e9 condamn\u00e9 \u00e0 50 millions d’euros en 2019, notamment pour des param\u00e8tres publicitaires pr\u00e9-coch\u00e9s \u00e0 la cr\u00e9ation de compte. La r\u00e8gle pour un \u00e9diteur tient en une phrase : l’\u00e9tat par d\u00e9faut du logiciel doit \u00eatre le plus protecteur possible, \u00e0 charge pour l’utilisateur d’\u00e9largir volontairement le traitement.<\/span><\/p>\r\n Le volet \u00ab d\u00e8s la conception \u00bb se joue en amont, dans les choix techniques. 3 r\u00e9flexes structurent une architecture conforme :<\/span><\/p>\r\n Ce dernier point vaut avertissement. Quand la CNIL a sanctionn\u00e9 Discord de 800 000 euros en novembre 2022, l’un des manquements retenus visait la conservation de millions de comptes inactifs depuis plus de trois ans, sans politique de purge. La r\u00e9tention des donn\u00e9es ne peut pas rester un r\u00e9glage manuel laiss\u00e9 \u00e0 la bonne volont\u00e9 de chaque client, elle doit \u00eatre outill\u00e9e dans le produit et fortement conseill\u00e9e au client.<\/span><\/p>\r\n Un \u00e9diteur ne peut pas non plus se d\u00e9fausser sur ses clients. La sanction de Dedalus Biologie, en avril 2022, l’a rappel\u00e9 s\u00e8chement : cet \u00e9diteur de logiciels de laboratoire a \u00e9t\u00e9 condamn\u00e9 \u00e0 1,5 million d’euros pour des manquements aux articles 28, 29 et 32, notamment l’absence des mentions obligatoires dans ses contrats et des failles de s\u00e9curit\u00e9 connues mais non corrig\u00e9es. L’\u00e9diteur qui con\u00e7oit le logiciel porte une responsabilit\u00e9 directe, il ne peut pas la renvoyer int\u00e9gralement \u00e0 l’utilisateur.<\/span><\/p>\r\n Le r\u00e9flexe<\/b> Pour chaque nouvelle fonctionnalit\u00e9, posez la question en amont : quelles donn\u00e9es sont r\u00e9ellement n\u00e9cessaires, quel est leur cycle de vie, quel est l’\u00e9tat par d\u00e9faut le plus protecteur ? La CNIL met \u00e0 disposition un <\/span>guide RGPD du d\u00e9veloppeur<\/span><\/a> en 16 fiches, r\u00e9f\u00e9rence utile pour outiller ces choix c\u00f4t\u00e9 technique.<\/span><\/p>\r\n Le DPA, ou data processing agreement, est le contrat \u00e9crit qu’impose l’article 28 entre le responsable de traitement et son sous-traitant, avant tout traitement. Pour un \u00e9diteur, c’est une des\u00a0 pi\u00e8ces qui encadre juridiquement la relation avec chaque client.<\/span><\/p>\r\n L’article 28 fixe entre autres huit obligations que ce contrat relatif \u00e0 l\u2019encadrement des r\u00f4les et responsabilit\u00e9s des acteurs doit contenir. Les voici, traduites c\u00f4t\u00e9 \u00e9diteur.<\/span><\/p>\r\n <\/p>\r\n\u00c9diteur SaaS : responsable de traitement ou sous-traitant ?<\/span><\/h2>\r\n
Pilier 1 : le privacy by design, d\u00e8s le code<\/span><\/h2>\r\n
\r\n\t
\r\n\t
Pilier 2 : le DPA, votre contrat de sous-traitance<\/span><\/h2>\r\n