Un logiciel de gestion des sous-traitants RGPD doit répondre à une question simple : pouvez-vous retrouver, pour une activité donnée, qui traite les données pour votre compte, selon quelles instructions, avec quelles garanties et dans quelle version du contrat ? Une liste de fournisseurs, même complète, ne suffit pas. À l’inverse, un contrat signé avec une entreprise qui agit en réalité comme responsable indépendant ne remplace pas l’analyse de son rôle. L’outil sert à organiser les décisions et les preuves, sans les prendre automatiquement à la place du responsable du traitement.
Ce guide porte sur l’achat et l’organisation d’un suivi des relations de sous-traitance. Pour le détail des clauses, consultez le guide de l’article 28 et le modèle d’accord de sous-traitance. Ici, le critère décisif est la continuité entre qualification, acte juridique, contrôle des garanties et changement du service.
Points clés
- L’article 28 exige un contrat ou un autre acte juridique contraignant en vertu du droit de l’Union ou d’un État membre, sous forme écrite y compris électronique; le DPA contractuel est la voie habituelle.
- Le logiciel doit distinguer sous-traitant, responsable indépendant et responsables conjoints avant d’appliquer un modèle de contrat.
- Un questionnaire ou un tableau de bord ne prouve pas à lui seul des « garanties suffisantes » : il faut examiner les réponses et le risque du traitement.
- Autorisation de sous-traitants ultérieurs, notifications de changement, audits, transferts et sortie du contrat doivent rester reliés à la bonne version des instructions.
- Comparez les produits sur un scénario réel et des exports vérifiables, pas sur des fonctions ou prix présumés.
Commencer par la qualification, pas par l’envoi d’un DPA
Le RGPD définit le sous-traitant comme l’acteur qui traite des données pour le compte du responsable. L’intitulé « prestataire » ne suffit donc pas. Un hébergeur qui conserve les dossiers d’un client selon ses instructions peut relever de l’article 28. Un partenaire qui détermine ses propres finalités et moyens essentiels peut être responsable distinct. Deux organisations qui déterminent ensemble les finalités et moyens peuvent relever de l’article 26. Les lignes directrices du CEPD sur les rôles appuient cette analyse fonctionnelle.
Dans le logiciel, créez une fiche relation par prestation, pas seulement par raison sociale. La même entreprise peut héberger des données selon instructions dans un service et utiliser des coordonnées professionnelles pour sa propre facturation dans un autre. La fiche indique l’activité, les catégories de données, les personnes concernées, l’accès possible, les finalités décidées par chaque partie et la conclusion motivée sur les rôles. Si la conclusion change, gardez l’ancienne version et la date. La cartographie des données et le registre RGPD donnent deux points d’entrée complémentaires à ce travail.
Exemple hypothétique : une société utilise un outil de prise de rendez-vous et un cabinet de conseil. L’outil reçoit des identifiants et disponibilités pour exécuter les choix de la société : la sous-traitance est plausible. Le cabinet de conseil analyse ensuite les résultats pour une mission dont il définit certains moyens professionnels : sa qualification demande une analyse distincte. Le fait que les deux figurent sur la même facture fournisseur n’autorise pas à leur envoyer le même DPA sans examen.
Les garanties : une décision fondée sur le risque
Selon l’article 28, paragraphe 1, le responsable ne fait appel qu’à des sous-traitants présentant des garanties suffisantes de mesures techniques et organisationnelles appropriées. La CNIL explique la sélection et le contrat. Cela ne crée pas une obligation de questionnaire identique tous les trimestres pour chaque fournisseur. La profondeur de l’évaluation dépend des données, de la dépendance au service, de la possibilité d’accès et des conséquences d’une défaillance.
Une fiche de décision peut consigner les mesures annoncées, leur preuve, les réserves et l’auteur de la validation. Pour un prestataire qui ne voit qu’une liste limitée d’adresses professionnelles, un jeu de pièces peut suffire. Pour un hébergeur de données de santé ou un service ayant accès à de nombreux comptes, demandez des éléments plus précis : contrôle d’accès, journalisation, sauvegardes, continuité, gestion des incidents, sous-traitance ultérieure et traitement des demandes d’audit. Un certificat peut être un indice, mais ne décrit pas automatiquement le périmètre de vos données ou le fonctionnement réel du service.
Le logiciel devrait permettre de dater la demande, d’attacher la réponse, de noter une décision de risque et de planifier une nouvelle revue. Une réponse « conforme au RGPD » sans document ne doit pas devenir un feu vert automatique. Il faut également conserver les conditions réellement négociées : un fournisseur peut déclarer une politique de sécurité générale tout en limitant fortement l’accès à ses preuves ou en modifiant la localisation de ses opérations. La politique de sécurité fournisseurs aide à formuler les attentes internes; elle ne remplace pas l’évaluation de chaque situation.
Le contrat ou l’autre acte contraignant : suivre la version applicable
L’article 28, paragraphes 3 et 9, exige que le traitement soit régi par un contrat ou un autre acte juridique contraignant en vertu du droit de l’Union ou d’un État membre, à l’écrit y compris sous forme électronique. Le contrat est le cas courant en achat privé. Il doit lier le sous-traitant au responsable et préciser notamment l’objet, la durée, la nature et la finalité, les catégories de personnes et de données, les droits et obligations du responsable, puis les engagements listés à l’article 28, paragraphe 3. Un logiciel doit montrer quelle version s’applique à quel service et quelles annexes donnent les instructions documentées.
Les éléments à vérifier ne se réduisent pas à la signature. L’acte doit traiter la confidentialité, les mesures de sécurité adaptées au risque, les conditions de recours à un autre sous-traitant, l’aide aux droits des personnes, aux violations et aux analyses d’impact, la mise à disposition des informations nécessaires aux audits, et le sort des données à la fin. Le sous-traitant doit signaler au responsable s’il estime qu’une instruction viole le RGPD. Une obligation légale de traiter autrement doit être une exigence du droit de l’Union ou de l’État membre qui le lie; le responsable doit être informé avant le traitement, sauf interdiction fondée sur un motif important d’intérêt public.
Utilisez un guide complet du DPA pour préparer la revue clause par clause. Dans l’outil, enregistrez le texte signé, la date d’effet, les services couverts, les annexes techniques, les instructions ultérieures et les exceptions approuvées. Une alerte « document manquant » est utile, mais un document présent peut être inapplicable ou périmé. Lorsqu’un nouveau produit SaaS entre dans l’organisation, une relance ne doit partir qu’après confirmation du rôle et de la personne autorisée à signer.
À la sortie, l’article 28, paragraphe 3, point g, laisse au responsable le choix de restitution ou suppression; dans les deux cas, les copies existantes doivent être supprimées, sauf conservation exigée par le droit de l’Union ou d’un État membre. Prévoyez une preuve de l’option choisie, des formats de restitution, et une réponse sur les sauvegardes. Le contrat peut organiser un calendrier technique réaliste pour les copies de secours, sans prétendre que le RGPD impose une suppression immédiate de chaque support physique. Une simple case « contrat résilié » ne démontre pas le devenir des données.
Sous-traitance ultérieure et chaîne de responsabilité
L’article 28, paragraphe 2, exige une autorisation préalable, spécifique ou générale, écrite du responsable avant le recours à un autre sous-traitant. Avec une autorisation générale, le prestataire informe des ajouts ou remplacements prévus, pour laisser au responsable la possibilité de s’y opposer. Le paragraphe 4 impose le transfert des obligations pertinentes au sous-traitant ultérieur; le sous-traitant initial reste pleinement responsable envers le responsable de l’exécution de ces obligations par le suivant. Une plateforme doit donc garder la chaîne, pas simplement une liste de noms.
Configurez pour chaque service les sous-traitants ultérieurs connus, la source de l’information, l’adresse de notification contractuelle, la date du changement et la réponse du responsable. Si un fournisseur annonce une nouvelle société d’assistance dans un autre pays, examinez à la fois les instructions, l’accès réel et les éventuels transferts internationaux. Une page publique de sous-traitants peut faciliter la surveillance, mais une mise à jour silencieuse ne vaut pas nécessairement l’information prévue par votre contrat. La question de transfert suit son propre cadre juridique; un DPA conforme n’autorise pas à lui seul une exportation de données.
Un historique de notifications et de décisions rend une revue possible même si le juriste ou l’acheteur a quitté l’entreprise. Il évite aussi l’erreur opposée : croire qu’un changement annoncé oblige toujours à résilier. L’équipe peut demander une preuve, s’opposer dans les conditions convenues, négocier une mesure ou accepter après analyse. L’outil doit porter ces options et leurs motifs, sans décider automatiquement à la place de l’organisation.
Relier le suivi au registre et aux incidents
Le lien avec le registre est le vrai avantage d’un outil structuré. Un fournisseur peut servir plusieurs activités; une activité peut dépendre de plusieurs fournisseurs. Une relation plusieurs-à-plusieurs permet de voir quelles activités sont affectées quand un sous-traitant annonce une panne, un nouvel hébergeur ou une fin de service. Une fiche fournisseur isolée ne permet pas d’évaluer l’impact. Le guide des obligations du sous-traitant détaille le versant du prestataire; l’outil du responsable doit montrer ses propres décisions et les échanges entre les parties.
En cas de violation de données personnelles, l’article 33, paragraphe 2, demande au sous-traitant d’informer le responsable sans délai indu après en avoir pris connaissance. Le responsable apprécie ensuite la notification à l’autorité sans délai injustifié et, si possible, dans les 72 heures de sa connaissance, sauf risque improbable pour les personnes; il explique toute notification tardive. Toute violation de données personnelles est documentée, même sans notification à l’autorité. Lors d’une démonstration, demandez comment le produit associe l’avis du prestataire, les heures pertinentes, l’évaluation du risque et les communications. Il ne suffit pas d’afficher un compte à rebours sans permettre une décision motivée.
Le même lien est utile pour une analyse d’impact. Un changement de fournisseur n’impose pas automatiquement une nouvelle AIPD, mais peut modifier le risque, le transfert ou les mesures. La fiche doit permettre de signaler les analyses à revoir et de conserver les versions anciennes. Une alerte pertinente est celle que quelqu’un peut traiter, avec un responsable, une échéance et une preuve de clôture; accumuler des alertes sans contexte affaiblit la maîtrise.
Comparer les offres sans inventer des fonctions
Demandez aux éditeurs de réaliser le même scénario : un service marketing simple, un hébergement sensible, un changement de sous-traitant ultérieur et une sortie. Faites renseigner les rôles, joindre un acte, relier deux traitements, enregistrer une autorisation générale, recevoir un changement et produire un export exploitable. Chronométrez les interventions humaines; notez ce qui relève du forfait, d’une configuration payante ou d’un développement. Une présentation commerciale ne prouve pas que les fonctions sont disponibles dans votre offre.
Comparez le coût total annoncé par le fournisseur : licence, nombre d’entités et d’utilisateurs, installation, import de données, accès des équipes achats, assistance et restitution en fin de contrat. Aucun seuil fixe de quinze fournisseurs ne rend un tableur illégal ou un logiciel obligatoire. Un tableur bien tenu peut suffire à un périmètre réduit; un outil apporte surtout de la valeur quand les relations, changements et propriétaires de décisions deviennent difficiles à suivre. Le comparatif de logiciels RGPD couvre le programme général; ici, testez la fonction précise de gestion des sous-traitants sans supposer qu’une marque l’automatise entièrement.
Écartez les promesses de « conformité garantie ». Aucun logiciel ne peut qualifier tous les partenaires sans faits contractuels, juger seul les garanties ou certifier une autorisation de transfert. Exigez une interface qui distingue proposition, validation humaine et preuve. Pour les équipes achats, cette séparation évite qu’une case cochée au nom de la rapidité soit interprétée comme un avis juridique.
Questions fréquentes
Faut-il un DPA avec chaque fournisseur ?
Non. Il faut d’abord savoir s’il traite des données personnelles pour votre compte. Si oui, l’article 28 exige un contrat écrit ou un autre acte juridique contraignant applicable, avec ses mentions, y compris en format électronique. Un fournisseur responsable indépendant relève d’un autre cadre; le nom du document ne change pas sa fonction réelle.
Un questionnaire annuel suffit-il à contrôler les garanties ?
Pas nécessairement. La vérification doit être adaptée au risque et aux changements du service. Un questionnaire étayé peut faire partie des preuves, mais des réponses génériques ne remplacent ni la revue des mesures pertinentes, ni l’exercice des droits contractuels d’information ou d’audit lorsque la situation le justifie.
Faut-il auditer physiquement tous les sous-traitants ?
Non. L’article 28 prévoit que le sous-traitant mette à disposition les informations nécessaires et permette les audits, y compris inspections. Leur forme et fréquence se décident selon le risque et les garanties obtenues. Une inspection sur site n’est pas une formalité automatique pour chaque petit prestataire.
Comment éviter les doublons avec le registre ?
Créez un identifiant de relation et rattachez-le aux activités où le fournisseur intervient. Conservez ensuite au même endroit les rôles, le contrat applicable, les sous-traitants ultérieurs et les événements. Le registre décrit les traitements; la fiche relation explique le fournisseur et ses garanties.
Conclusion
Choisissez un logiciel de gestion des sous-traitants pour la traçabilité des décisions : qualification fondée sur les faits, acte applicable, garanties proportionnées, chaîne de sous-traitance et sortie documentée. Demandez une démonstration de bout en bout et une exportation exploitable. Si l’outil ne montre qu’une liste de signatures ou promet des audits automatiques sans preuve, il laisse précisément le travail de l’article 28 à faire ailleurs.