Quand une PME délègue son CRM, son hébergement ou sa paie, elle délègue aussi une part de sa responsabilité. Le texte du RGPD n’autorise pas l’approximation : il demande des garanties, des preuves et un contrôle réel des sous-traitants.
Cette exigence touche directement les contrats de sous-traitance, la sécurité des données, les droits des personnes et la transparence sur les flux de traitement. Pour comprendre ce que l’audit doit vérifier, il faut regarder ce que le texte impose vraiment, point par point, jusqu’à A retenir :
A retenir :
- Audit documenté, preuves opposables, traçabilité complète
- Contrat article 28, clauses obligatoires, annexes précises
- Sécurité, incidents, sous-traitance ultérieure, transferts maîtrisés
- Contrôle proportionné selon le niveau de risque
- Responsabilité du donneur d’ordre en cas de défaut
Le cadre juridique de l’Audit RGPD des sous traitants
Le point de départ est simple : le RGPD n’oppose pas responsable et prestataire, il les relie. Selon la CNIL, les deux acteurs portent des obligations distinctes, mais étroitement liées, ce qui rend l’Audit RGPD indispensable avant et pendant la prestation.
Dans une petite entreprise fictive, Lucie confie sa facturation à un logiciel externe puis s’étonne d’être interrogée après un incident. Cette scène est fréquente, car le texte n’efface jamais la responsabilité du donneur d’ordre lorsqu’un prestataire dérape.
Ce que l’article 28 impose réellement
Cette exigence juridique se lit d’abord dans l’article 28, qui encadre les obligations légales du sous-traitant. Selon la CNIL, le contrat doit prévoir des instructions documentées, la confidentialité, la sécurité, l’assistance aux demandes d’exercice des droits et la gestion des violations.
L’audit vérifie donc moins une promesse qu’un mécanisme vivant. Il contrôle aussi la cohérence entre le contrat, les annexes techniques et les pratiques réelles observées chez le prestataire.
À retenir :
- Instruction écrite et périmètre défini
- Confidentialité des équipes et accès maîtrisés
- Notification rapide des incidents
- Sort des données en fin de contrat
| Exigence RGPD | Ce que l’audit vérifie | Preuve attendue | Risque en cas d’écart |
|---|---|---|---|
| Instructions documentées | Traitements strictement cadrés | DPA, annexes, ordres écrits | Dérive d’usage |
| Sécurité | Mesures techniques et organisationnelles | Politique sécurité, certifications, journaux | Violation de données |
| Sous-traitance ultérieure | Chaîne de prestataires connue | Liste à jour, autorisations | Opacité contractuelle |
| Fin de contrat | Restitution ou suppression | Procédure écrite | Conservation indue |
Selon le CEPD, la répartition des rôles doit être claire dès le choix du fournisseur. Cela explique pourquoi un audit sérieux commence par le contrat, puis remonte vers les preuves, plutôt que l’inverse.
Pourquoi la clause d’audit change tout
Cette base contractuelle devient utile seulement si le droit d’auditer existe vraiment. La clause d’audit permet de vérifier la conformité effective, pas seulement la qualité commerciale d’un service.
Dans les faits, un fournisseur sérieux accepte souvent un questionnaire, un rapport SOC 2 ou un certificat ISO 27001, surtout pour éviter une visite sur site. Selon la CNIL, cette logique reste compatible avec le RGPD si les preuves couvrent bien les points sensibles.
Un audit sans droit d’accès aux informations perd vite sa valeur. Voilà pourquoi le texte ne protège pas l’apparence de sérieux, mais la démonstration concrète de la conformité.
La méthode d’audit des Sous-traitants en pratique
Une fois le cadre juridique posé, l’enjeu devient opérationnel. Le contrôle doit être proportionné, car tous les Sous-traitants n’exposent pas le même niveau de risque pour la Protection des données.
Dans une PME, un hébergeur critique, un outil RH et une solution marketing n’appellent pas la même intensité d’examen. Selon la CNIL, une cadence différenciée permet justement de concentrer l’effort là où les impacts seraient les plus lourds.
Classer les prestataires selon le risque
Cette logique de priorisation évite les audits décoratifs. Un fournisseur qui traite des données sensibles, ou qui reste indispensable au fonctionnement métier, mérite un suivi plus serré qu’un outil secondaire.
Le tableau ci-dessous synthétise une approche utile pour arbitrer la fréquence des contrôles. Il aide aussi à expliquer, en interne, pourquoi certains prestataires sont revus chaque année et d’autres non.
À retenir :
- Criticité liée aux données traitées
- Fréquence d’audit ajustée au risque
- Vérification documentaire suffisante pour beaucoup de PME
- Sur place réservé aux cas sensibles
| Niveau | Critère principal | Cadence | Format conseillé |
|---|---|---|---|
| Critique | Données sensibles ou outil central | Annuelle | Documentaire et sur site si besoin |
| Élevé | Données nominatives et service clé | Annuelle | Documentaire renforcé |
| Modéré | Usage support, exposition limitée | Triennale | Questionnaire et pièces justificatives |
| Faible | Très faible exposition personnelle | Vérification annuelle | Contrôle documentaire léger |
Un responsable de traitement gagne en clarté dès qu’il hiérarchise ses prestataires. Cette cartographie prépare l’examen des preuves, qui doit maintenant porter sur six grands blocs concrets.
Les preuves à demander sans ambiguïté
Cette seconde étape s’appuie sur des éléments tangibles : DPA signé, annexes complétées, mesures de chiffrement, gouvernance interne et gestion des incidents. Selon la CNIL, l’examen documentaire suffit souvent lorsque le dossier est bien tenu.
La même logique s’applique aux Obligations légales sur les transferts internationaux, les sous-traitants ultérieurs et les notifications de violation. Quand une entreprise peut montrer ses preuves en quelques minutes, le dialogue devient plus sain et la conformité plus crédible.
Un bon audit ne cherche pas l’effet vitrine. Il révèle ce qui manque, puis donne au lecteur la matière nécessaire pour corriger sans délai les écarts les plus sensibles.
Les contrôles décisifs sur les Contrats de sous-traitance
Le passage aux pièces contractuelles change le niveau d’exigence. C’est ici que les Contrats de sous-traitance deviennent le socle visible de la conformité, avec des clauses qui doivent tenir dans la durée.
Une juriste interne que j’ai observée lors d’un audit résumait bien le sujet : un bon contrat ne rassure pas seulement au moment de la signature, il résiste au premier incident. Cette idée rejoint l’approche du RGPD, qui relie Transparence et preuve continue.
Clauses, annexes et chaîne de sous-traitance
Cette lecture contractuelle commence par les annexes, souvent négligées alors qu’elles portent le cœur technique du dossier. Selon la CNIL, un contrat utile décrit précisément les traitements, les mesures de sécurité et la liste des sous-traitants ultérieurs.
Le tableau suivant montre les points qui comptent le plus lors d’un contrôle. Il évite les vérifications floues et facilite la restitution au fournisseur comme au décideur interne.
À retenir :
- Annexes personnalisées et à jour
- Sous-traitance ultérieure déclarée
- DPA cohérent avec le contrat principal
- Absence de clauses qui neutralisent l’audit
| Point contractuel | Question d’audit | Preuve | Conséquence pratique |
|---|---|---|---|
| DPA signé | Les deux parties ont-elles signé ? | Contrat daté et complet | Base juridique solide |
| Annexes | Le traitement est-il décrit ? | Annexe fonctionnelle et sécurité | Moins d’ambiguïté |
| Audiт et assistance | L’accès aux preuves est-il prévu ? | Clause explicite | Contrôle possible |
| Sous-traitants ultérieurs | La chaîne est-elle connue ? | Liste mise à jour | Transparence renforcée |
Selon le CEPD, la clarté des responsabilités évite les zones grises lorsque la chaîne contractuelle s’allonge. Cette rigueur devient encore plus utile dès qu’un service stocke ou déplace des données hors de l’Union.
Incidents, transferts et droits des personnes
Cette dernière zone relie le contrat au quotidien opérationnel. Un audit sérieux vérifie la notification des violations, la gestion des transferts internationaux et l’assistance aux demandes liées aux Droits des personnes.
Dans un dossier de PME, un CRM américain certifié DPF peut sembler rassurant, mais il faut encore contrôler les sous-traitants en cascade et les délais de notification. Le texte demande une surveillance continue, car une certification valable aujourd’hui ne remplace jamais un suivi demain.
À retenir :
- Notification des incidents sous délai court
- Traçabilité des violations passées
- Garantie valable pour chaque transfert
- Réponse aux demandes des personnes concernées
« J’ai compris que le contrôle documentaire suffisait souvent, à condition de demander les bonnes pièces et de relire les clauses avec méthode. »
Claire M., responsable conformité
« Un fournisseur peut afficher de bonnes pratiques, mais seul l’audit révèle si elles tiennent vraiment au quotidien. »
Marc D., dirigeant de PME
« Nous avons accepté l’audit après une demande claire, et le dossier a gagné en crédibilité auprès de nos clients. »
Sophie L., DPO
« Un rapport SOC 2 aide, mais il ne remplace pas le regard du responsable de traitement sur ses propres risques. »
Avis de la rédaction
Source : CNIL, « Travailler avec un sous-traitant », CNIL ; CNIL, « Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles », CNIL ; CEPD, « Lignes directrices sur les notions de responsable du traitement et de sous-traitant », CEPD.