Logiciel de gestion des sous-traitants RGPD (art. 28)

Un logiciel de gestion des sous-traitants RGPD automatise le cycle de vie de vos relations de sous-traitance imposé par l’art. 28 du RGPD : recenser chaque sous-traitant, encadrer chacun par un contrat conforme (DPA), relancer les signatures manquantes, et documenter les audits fournisseurs. C’est le maillon le plus souvent négligé de la conformité — et l’un des plus surveillés par la CNIL, parce qu’un responsable de traitement reste responsable des manquements de ses sous-traitants. Voici comment un outil dédié organise ce cycle et le comparatif des solutions.

Points clés

• L’art. 28 RGPD impose un contrat écrit (DPA) avec chaque sous-traitant, comportant des clauses obligatoires précises.
• Le responsable de traitement doit recenser ses sous-traitants et vérifier leurs garanties — pas seulement signer un contrat.
• Un logiciel automatise le recensement, l’envoi et la relance des DPA, et le suivi des audits.
• La CNIL contrôle activement la chaîne de sous-traitance : l’absence de DPA conforme est un manquement autonome.
• Le modèle de DPA sert de base, mais un modèle ne gère ni les relances ni les audits.

Ce que l’art. 28 exige réellement

L’art. 28 ne se limite pas à « avoir un contrat ». Il impose une chaîne d’obligations que beaucoup d’organisations sous-estiment.

• Choisir un sous-traitant présentant des garanties suffisantes (art. 28.1) : la sélection doit être documentée, pas seulement subie.
• Conclure un contrat comportant les mentions obligatoires (art. 28.3) : objet, durée, finalité, obligations de sécurité, sort des données en fin de contrat, recours à des sous-traitants ultérieurs, assistance au responsable.
• Encadrer la sous-traitance ultérieure (art. 28.2 et 28.4) : autorisation préalable et répercussion des obligations en cascade.
• Documenter les audits : le contrat doit prévoir la possibilité d’auditer le sous-traitant, et cette possibilité doit être exercée pour les prestataires sensibles.

Le point aveugle classique : recenser les gros fournisseurs (hébergeur, CRM) mais oublier les dizaines de petits outils SaaS métier qui traitent aussi des données. Chacun est un sous-traitant au sens de l’art. 28, comme le rappelle notre guide des obligations du sous-traitant. La CNIL met à disposition un guide de la sous-traitance et des clauses types qui constituent le référentiel attendu lors d’un contrôle.

Une confusion fréquente aggrave le problème : croire qu’un fournisseur « connu » ou « certifié » dispense d’un DPA. La notoriété d’un hébergeur ne remplace pas le contrat écrit exigé par l’art. 28.3. De même, un DPA signé une fois ne vaut pas éternellement : dès que le sous-traitant change de sous-traitants ultérieurs, ajoute un transfert hors UE ou modifie sa localisation d’hébergement, l’accord doit être réexaminé. C’est cette maintenance continue, invisible dans un tableur, qu’un logiciel rend systématique.

Pourquoi un logiciel plutôt qu’un tableur

Gérer la sous-traitance dans un tableur fonctionne jusqu’à une quinzaine de fournisseurs. Au-delà, quatre problèmes apparaissent, que seul un outil résout.

Le recensement dérive. De nouveaux outils SaaS entrent dans l’organisation sans passer par la conformité. Un logiciel relié au registre détecte les traitements sans sous-traitant identifié.

Les DPA ne sont jamais tous signés. Envoyer, relancer, archiver les accords de sous-traitance à la main est chronophage et incomplet. Un outil envoie les DPA, relance automatiquement et horodate les signatures.

Les audits ne sont pas tracés. Le tableur ne planifie aucune revue périodique des fournisseurs sensibles. Un logiciel programme les campagnes d’évaluation et conserve les preuves.

L’accountability manque. Face à un contrôle, il faut démontrer que chaque sous-traitant est encadré et évalué. Sans historique horodaté, la preuve fait défaut.

Comparatif des logiciels de gestion des sous-traitants

Solution	Recensement + registre lié	Génération et relance DPA	Audits / évaluations fournisseurs	Prix indicatif
Legiscope	Oui, relié au registre	Oui, clausier art. 28	Oui	Sur devis
Dastra	Oui	Oui	Questionnaires	À partir d’env. 79 €/mois
Data Legal Drive	Oui	Oui	Oui	Sur devis
OneTrust (Third-Party Risk)	Oui, très complet	Oui	Très poussé	Sur devis (enterprise)
Tableur	Manuel	Aucun	Aucun	Gratuit

Le critère décisif n’est pas la richesse du module d’audit — souvent surdimensionné hors des grands comptes — mais le lien entre le registre des traitements et la base de sous-traitants. Un sous-traitant doit apparaître automatiquement dans chaque traitement qui le mobilise, et son DPA doit être rattaché à ce traitement. Les plateformes européennes pré-configurées comme Legiscope livrent ce lien nativement, avec un clausier art. 28 conforme aux attentes de la CNIL. Notre comparatif du meilleur logiciel RGPD élargit l’analyse au reste du périmètre.

Le cycle de vie du DPA, étape par étape

1. Recenser : lister tous les sous-traitants, y compris les outils SaaS métier, et les rattacher aux traitements du registre.
2. Qualifier : distinguer sous-traitant, responsable conjoint et responsable distinct — la qualification change les obligations.
3. Contractualiser : envoyer un DPA conforme à l’art. 28, à partir d’un clausier type, et relancer jusqu’à signature.
4. Évaluer : pour les prestataires sensibles, envoyer un questionnaire de sécurité et documenter les garanties, en s’appuyant sur une politique de sécurité fournisseurs.
5. Maintenir : suivre les changements (nouveaux sous-traitants ultérieurs, transferts hors UE) et rafraîchir périodiquement.

Ce cycle, tenu à la main, consomme des dizaines d’heures par an et reste incomplet. Automatisé, il devient une routine traçable — c’est précisément ce que monétise un logiciel de gestion des sous-traitants.

Le retour sur investissement se mesure surtout en risque évité. Un responsable de traitement qui ne peut pas produire, lors d’un contrôle, la liste complète de ses sous-traitants avec leurs DPA signés se place en situation de manquement autonome, avant même toute fuite de données. À l’inverse, un dispositif tracé et à jour démontre la diligence exigée par l’art. 28 et transforme un point de fragilité classique en preuve d’accountability. C’est cette bascule, du subi au maîtrisé, qui justifie l’outil.

Les pièges propres à chaque étape du cycle

Chaque étape du cycle de vie du DPA a son piège récurrent, qu’un outil bien réglé neutralise.

Au recensement, l’erreur est de raisonner par « gros fournisseurs ». Les outils gratuits ou peu coûteux (un formulaire en ligne, un outil d’emailing, un plugin analytics) traitent pourtant des données personnelles et échappent au recensement parce que personne ne les a « achetés » formellement. Un rapprochement automatique entre les traitements du registre et la base de sous-traitants fait remonter ces angles morts.

À la qualification, la confusion sous-traitant / responsable conjoint est fréquente et lourde de conséquences. Un prestataire qui définit ses propres finalités (une régie publicitaire, un réseau social) n’est pas un simple sous-traitant : le cadre contractuel et les responsabilités diffèrent. Se tromper de qualification, c’est signer le mauvais contrat.

À la contractualisation, le piège est d’accepter le DPA standard du fournisseur sans le lire. Beaucoup de DPA éditeurs autorisent largement la sous-traitance ultérieure et les transferts hors UE. Le responsable de traitement reste pourtant redevable : il doit vérifier que les clauses de l’art. 28.3 y figurent réellement et que les transferts sont encadrés.

À l’évaluation, l’écueil est le questionnaire envoyé une fois et jamais exploité. Une réponse « oui, nous sommes conformes » non étayée ne vaut pas garantie. L’outil doit conserver les preuves jointes et signaler les questionnaires sans pièce justificative.

À la maintenance, enfin, le danger est l’oubli. Un sous-traitant évolue : nouvelle localisation d’hébergement, nouveau sous-traitant ultérieur, rachat. Sans revue périodique programmée, le DPA signé il y a trois ans ne reflète plus la réalité du traitement — et la conformité affichée devient fictive.

FAQ

Un DPA est-il obligatoire avec chaque sous-traitant ?

Oui. L’art. 28.3 impose un contrat écrit avec tout sous-traitant traitant des données pour votre compte, comportant les clauses obligatoires. L’absence de DPA conforme est un manquement autonome, indépendamment de toute fuite de données, et la CNIL le sanctionne à ce titre.

Comment recenser tous mes sous-traitants ?

Partez du registre des traitements : chaque traitement mobilisant un prestataire externe révèle un sous-traitant. N’oubliez pas les outils SaaS métier, les prestataires de maintenance et les sous-traitants ultérieurs de vos fournisseurs. Un logiciel relié au registre signale les traitements sans sous-traitant rattaché.

Faut-il auditer ses sous-traitants ?

L’art. 28.1 impose de choisir des sous-traitants présentant des garanties suffisantes, et le contrat doit prévoir un droit d’audit. Pour les prestataires sensibles (données de santé, gros volumes, transferts hors UE), une évaluation documentée est attendue. Un questionnaire de sécurité tracé suffit généralement pour un prestataire standard.

Un tableur suffit-il pour gérer les sous-traitants ?

Jusqu’à une quinzaine de fournisseurs, oui, avec de la rigueur. Au-delà, le tableau ne relance pas les DPA manquants, ne trace pas les audits et ne se relie pas au registre. Le risque n’est pas le tableur en soi, mais l’incomplétude qu’il laisse s’installer.

Conclusion

La gestion des sous-traitants est le maillon le plus négligé de la conformité RGPD, alors qu’un responsable de traitement répond des manquements de ses prestataires. L’art. 28 impose bien plus qu’un contrat : un recensement exhaustif, des DPA conformes et signés, et des audits documentés pour les prestataires sensibles. Un logiciel dédié transforme ce cycle chronophage en routine traçable, à condition qu’il relie réellement la base de sous-traitants au registre des traitements. Choisissez sur ce lien, pas sur la profondeur d’un module d’audit qui, hors grands comptes, restera inutilisé.