L’article 28(1) impose au responsable de recourir à des sous-traitants présentant des garanties suffisantes. L’article 28(3)(h) oblige le sous-traitant à mettre à disposition les informations nécessaires et à permettre les audits, y compris les inspections, en y contribuant. Il ne prescrit pas un audit annuel sur place de tous les prestataires. L’évaluation du responsable doit être adaptée au traitement et au risque.
Cette checklist couvre 24 points de contrôle organisés en six dimensions : conformité contractuelle, sécurité technique, gouvernance, sous-traitance ultérieure, transferts internationaux, gestion des incidents. Elle est calibrée pour les PME qui auditent 10 à 50 sous-traitants par an.
Pour la rédaction du DPA initial, voir modèle DPA Article 28 RGPD. Pour le cadre général, guide article 28 RGPD.
Points clés
- Un audit sous-traitant complet couvre 24 points répartis sur 6 dimensions.
- Le score sert à organiser la revue des preuves ; il ne constitue pas un verdict de conformité.
- L’audit peut être documentaire (questionnaire, rapport ISO/SOC2) ou sur place. La profondeur de l’examen dépend des risques et de la fiabilité des preuves.
- Cadence recommandée : audit initial avant signature, audit annuel pour les sous-traitants critiques, audit triennal pour les sous-traitants secondaires.
- Une carence dans l’audit n’exonère pas le responsable de traitement en cas de violation par le sous-traitant.
1. Préparation : prioriser les sous-traitants
Tous les sous-traitants ne méritent pas le même niveau d’audit. Exemple de classement interne à adapter ; les nombres et fréquences ne sont pas des seuils légaux :
| Niveau | Critères | Cadence d’audit |
|---|---|---|
| Critique | Données sensibles ou >10 000 personnes concernées, sous-traitant unique | Audit annuel + revue trimestrielle |
| Élevé | Données nominatives, fonction métier centrale (CRM, paie, hébergement) | Audit annuel |
| Modéré | Données limitées, fonction support (analytics, marketing) | Audit triennal |
| Faible | Données limitées et exposition réduite, après analyse | Vérification documentaire annuelle |
2. Les 24 points de contrôle
Dimension 1 — Conformité contractuelle (4 points)
☐ 1.1 — DPA signé Vérification : copie du DPA signé par les deux parties, dates de signature, identité juridique correcte. Écart typique : DPA non signé, signé par une entité différente du contractant principal, daté postérieurement au début du traitement.
☐ 1.2 — Annexes complétées Vérification : Annexe 1 (description du traitement) personnalisée, Annexe 2 (mesures de sécurité) à jour, Annexe 3 (sous-traitants ultérieurs) listée. Écart typique : annexes vides ou avec mentions génériques (“voir contrat”).
☐ 1.3 — Clauses obligatoires de l’article 28 §3 présentes Vérification : le chapeau descriptif et les obligations a) à h) sont couverts : instructions, confidentialité, sécurité, sous-traitants ultérieurs, droits, assistance aux articles 32 à 36, sortie et audits.
☐ 1.4 — Cohérence avec le contrat principal Vérification : le DPA prévaut sur les clauses contraires du contrat de service. Examiner les limites de responsabilité selon le droit applicable, sans les opposer aux personnes ou aux pouvoirs de l’autorité.
Dimension 2 — Sécurité technique (5 points)
☐ 2.1 — Preuves de sécurité pertinentes Vérification : Selon le risque, certificat ISO 27001, rapport SOC 2 Type II ou autres preuves pertinentes. Vérifier entité, service, périmètre, validité ou période couverte, exclusions et réserves. SOC 2 est un rapport d’attestation, pas une certification ISO ; aucun certificat n’est universellement obligatoire au titre de l’article 28. Écart typique : certification expirée, périmètre limité à un autre service.
☐ 2.2 — Chiffrement des données Vérification : chiffrement adapté en transit et au repos, justification des choix, gestion et accès aux clés ; apprécier les mesures au regard du risque.
☐ 2.3 — Contrôle d’accès Vérification : authentification multifacteur pour les accès administratifs, principe du moindre privilège, journalisation des accès aux données sensibles.
☐ 2.4 — Sauvegardes Vérification : sauvegardes régulières (RPO documenté), tests de restauration documentés, sauvegardes hors site, durée de conservation conforme.
☐ 2.5 — Sécurité applicative Vérification : correction des vulnérabilités et contrôles de sécurité adaptés au service ; examiner périmètre, date, résultats et suivi des tests pertinents.
Dimension 3 — Gouvernance (4 points)
☐ 3.1 — DPO ou conseiller à la protection des données désigné Vérification : vérifier si un DPO est obligatoire ; si oui, coordonnées, indépendance et moyens. Sinon, identifier l’interlocuteur protection des données sans présenter sa désignation comme une obligation de l’article 37.
☐ 3.2 — Politique de protection des données interne Vérification : politique écrite, à jour, signée par la direction. Couverture : collecte, conservation, droits des personnes, sécurité.
☐ 3.3 — Formation du personnel Vérification : formation initiale documentée, mise à jour annuelle, traçabilité (e-learning ou feuilles de signature).
☐ 3.4 — Engagement de confidentialité du personnel Vérification : clause de confidentialité dans les contrats de travail, NDA pour les prestataires externes.
Dimension 4 — Sous-traitance ultérieure (3 points)
☐ 4.1 — Liste des sous-traitants ultérieurs à jour Vérification : annexe à jour, accessible en ligne ou sur demande, mise à jour à chaque ajout/retrait. Écart typique : liste obsolète, ajout de sous-traitants non notifiés.
☐ 4.2 — DPA en cascade signés Vérification : vérifier la répercussion des obligations pertinentes. Demander les informations et, lorsque nécessaire à la vérification, les éléments contractuels utiles ; ne pas présumer qu’une copie intégrale de tous les contrats est toujours indispensable.
☐ 4.3 — Procédure de notification d’ajout Vérification : autorisation écrite spécifique ou générale, information préalable des ajouts/remplacements et possibilité réelle d’opposition dans le second cas. Vérifier le délai contractuel convenu ; trente jours n’est pas un seuil du RGPD.
Dimension 5 — Transferts internationaux (4 points)
☐ 5.1 — Cartographie des flux internationaux Vérification : liste des pays destinataires, finalité du transfert, mécanisme légal pour chacun.
☐ 5.2 — Mécanisme de garantie Vérification : identifier d’abord l’adéquation applicable, notamment une participation DPF active pour son périmètre. À défaut, vérifier les garanties pertinentes, par exemple CCT adaptées ou BCR, et leurs conditions.
☐ 5.3 — Évaluation du transfert (TIA) Vérification : évaluer l’effectivité des garanties de transfert et les mesures supplémentaires nécessaires. Cette évaluation ne se confond pas avec l’AIPD de l’article 35.
☐ 5.4 — Vérification continue Vérification : revue annuelle des certifications DPF, des CCT (versions à jour), des décisions d’adéquation.
Dimension 6 — Gestion des incidents (4 points)
☐ 6.1 — Procédure de notification de violation Vérification : procédure documentée, contact dédié, alerte sans retard injustifié ; le maximum contractuel convenu ne doit pas devenir une période d’attente.
☐ 6.2 — Historique des violations Vérification : registre interne des violations, notification au responsable pour celles le concernant, notification CNIL si applicable.
☐ 6.3 — Tests d’incidents Vérification : exercices de simulation annuels (table-top ou techniques), retours d’expérience documentés.
☐ 6.4 — Plan de continuité d’activité (PCA) Vérification : PCA documenté, RTO/RPO définis, tests de bascule annuels.
3. Utiliser le score sans masquer les blocages
Pour chacun des 24 contrôles applicables, attribuez 2 points si la preuve est suffisante, 1 si elle doit être complétée et 0 si elle manque ou révèle un écart. Ajoutez un statut « non applicable » motivé, exclu du dénominateur. Le maximum de 48 points ne vaut que si les 24 contrôles sont applicables.
Séparez le total des écarts bloquants : absence de contrat requis, refus du droit d’audit, transfert sans mécanisme valable ou impossibilité de traiter un incident. Un score élevé ne compense pas ces points. Déterminez si l’usage doit être suspendu, limité ou conditionné à une correction, en tenant compte de la continuité du service et de la protection des personnes.
Le compte rendu doit associer chaque écart à une preuve, un risque concret, un décideur, une correction et une date. Distinguez « preuve non obtenue » et « mesure inexistante » : la première appelle une vérification ; la seconde peut exiger une correction technique ou contractuelle.
4. Conduite pratique d’un audit
Étape 1 — Demande documentaire (T+0)
Envoyer un questionnaire structuré listant les 24 points. Demander pour chacun : description, preuve documentaire, contact responsable. Délai de réponse : 30 jours.
Étape 2 — Analyse (T+45)
Examen des réponses. Scoring point par point. Identification des écarts. Demande de compléments si nécessaire.
Étape 3 — Restitution (T+60)
Rapport écrit adressé au sous-traitant : score global, écarts identifiés, plan d’action attendu. Délai de réponse : 30 jours.
Étape 4 — Suivi (T+90 et au-delà)
Si plan d’action accepté : suivi mensuel des actions correctives. Audit complémentaire à 6 mois pour les écarts importants.
Audit sur place : quand l’engager ?
L’audit sur place se justifie pour :
- Sous-traitants critiques avec données sensibles à grande échelle
- Doute sur la véracité des réponses documentaires
- Suite à un incident majeur
- Demande explicite d’une autorité de contrôle
Décidez de l’examen complémentaire selon les questions restées ouvertes. Un rapport peut être suffisant pour un contrôle donné et insuffisant pour un autre, notamment s’il exclut le service utilisé ou une période récente.
5. Cas pratique : audit d’un fournisseur CRM
Exemple fictif : une PME française de 35 salariés utilise un CRM SaaS américain (certifié EU-U.S. Data Privacy Framework). Périmètre : données prospects et clients (10 000 fiches), pas de données sensibles.
Demande documentaire :
- DPA signé (oui, modèle standard du fournisseur)
- ISO 27001 + SOC 2 Type II valides
- Certification DPF supposée active dans cet exemple ; à vérifier pour un fournisseur réel
- Liste des sous-traitants ultérieurs (5 fournisseurs cloud annoncés)
- Politique de notification de violation : 48h
Exemple de score : 46/48 si les 22 autres contrôles applicables obtiennent deux points et les deux suivants un point chacun. Ce total ne tranche pas leur gravité :
- 4.3 : pas de procédure formalisée de notification d’ajout de sous-traitant ultérieur (1 point)
- 6.2 : registre des violations non communiqué (1 point)
Plan d’action :
- Demander au fournisseur l’engagement de notification 30 jours avant ajout d’un sous-traitant
- Demander un extrait anonymisé du registre des violations sur les 12 derniers mois
Vérifier la correction avant la prochaine modification de la chaîne de sous-traitance. Ne pas attendre douze mois pour résoudre un défaut qui rend l’opposition inopérante.
6. Outillage et automatisation
Si l’activité relève aussi de la LPD suisse, utilisez séparément la checklist nLPD pour PME suisses pour vérifier les obligations locales. Un audit article 28 ne tranche pas l’application du droit suisse.
Une simulation d’incident complète la revue documentaire : faites transmettre une alerte fictive au contact convenu et vérifiez quelles informations arrivent pour préparer une notification selon l’article 33. L’exercice doit tester l’absence de retard injustifié, les compléments successifs et le rôle de chaque équipe ; il ne faut pas attendre un dossier d’enquête complet pour déclencher l’alerte.
Conclusion
La revue vérifie les garanties du prestataire avant le traitement et lors des changements pertinents. Les 24 contrôles structurent les questions ; la décision repose sur les preuves et les écarts concrets, pas sur une promesse de protection contre toute sanction.
Pour aller plus loin : modèle DPA Article 28, article 28 vs article 26, guide article 28 RGPD.
FAQ
Combien de temps faut-il pour auditer un sous-traitant ?
La durée dépend des données, du service, des documents disponibles et des points à approfondir. Fixez l’effort et les échéances selon le risque ; un audit initial doit permettre la décision avant l’ouverture du traitement, et non plusieurs mois après.
Faut-il auditer tous les sous-traitants chaque année ?
Non. Cadence recommandée : annuelle pour les sous-traitants critiques, triennale pour les sous-traitants secondaires. La cadence se détermine selon la sensibilité des données traitées et le volume.
Un certificat ISO 27001 dispense-t-il de l’audit article 28 ?
Non. L’ISO 27001 couvre la sécurité de l’information mais pas l’ensemble des obligations de l’article 28 (sous-traitance ultérieure, transferts internationaux, droits des personnes). Le certificat est un élément à intégrer dans l’audit, pas un substitut.
Que faire si un sous-traitant refuse l’audit ?
Le contrat doit préserver le droit d’audit. Un rapport indépendant peut apporter des preuves mais ne permet pas au sous-traitant d’écarter toute vérification nécessaire. Identifiez le point refusé, demandez une solution proportionnée et décidez des suites contractuelles au regard du risque.
Comment auditer un sous-traitant qui sous-traite à AWS ou Microsoft ?
Vérifiez le service et l’entité concernés, la liste des sous-traitants ultérieurs, l’autorisation et la transmission des obligations. Les rapports peuvent être soumis à des conditions d’accès ; leur examen ne valide pas automatiquement la sécurité de votre configuration ni toutes les obligations de l’article 28.
Sources vérifiées le 26 septembre 2026 : RGPD, article 28, CEPD, lignes directrices 07/2020, CNIL, guide de sécurité.