Ce que notre registre des sous-traitants nous a coûté : les 7 clauses RGPD et NIS2 que j’exige désormais

La question qui déclenche généralement le sujet est innocente : « pouvez-vous nous transmettre la liste de vos sous-traitants ? ». Elle arrive d’un client grand compte, d’un assureur, ou d’une autorité. Et la réponse fournie par le service achats est presque toujours la même : une liste de prestataires sous contrat, propre, courte, et sans rapport avec la réalité.

Le décalage vient de ce qu’un sous-traitant au sens du RGPD n’est pas défini par l’existence d’un bon de commande. C’est toute entité qui traite des données personnelles pour votre compte. L’outil de suivi d’erreurs souscrit par un développeur, la plateforme d’envoi de courriels payée sur la carte du service marketing, l’extension connectée à votre outil de relation client : tous entrent dans le périmètre, et aucun n’apparaît dans la liste des achats.

Voici les sept étapes dans l’ordre où je les applique désormais, avec ce que chacune produit comme livrable. L’ordre importe : les étapes 1 et 2 déterminent la validité de tout ce qui suit, et ce sont précisément celles que l’on saute pour se précipiter sur la rédaction de clauses.

Étape 1 — Recenser les sous-traitants réels, pas ceux du contrat

Ne partez pas de la liste des fournisseurs. Partez de quatre sources qui, ensemble, décrivent la réalité : les relevés de cartes bancaires professionnelles sur douze mois, la liste des applications connectées à vos outils principaux, les enregistrements DNS et sous-domaines pointant vers des services tiers, et l’inventaire des scripts tiers chargés par votre site.

Ce croisement produit systématiquement deux à trois fois plus d’entrées que la liste officielle. Les catégories qui reviennent : outils de mesure d’audience et de suivi d’erreurs, plateformes de messagerie transactionnelle, services de visioconférence et de signature électronique, assistants d’intelligence artificielle intégrés à une suite bureautique, et prestataires de paie ou de recrutement.

Le piège : considérer qu’un outil gratuit n’est pas un sous-traitant. La gratuité n’a aucune incidence juridique. Un outil de sondage gratuit qui collecte des adresses électroniques de salariés est un sous-traitant au même titre qu’un hébergeur facturé annuellement. Comptez deux à trois jours pour une organisation de taille moyenne.

Étape 2 — Qualifier le rôle de chaque partie

Chaque relation doit être qualifiée : sous-traitant, responsable de traitement autonome, ou responsables conjoints. Cette qualification n’est pas une formalité, car elle détermine le type d’acte à signer et la répartition des responsabilités en cas d’incident.

Le critère opérationnel tient en une question : qui décide de la finalité et des moyens essentiels du traitement ? Un prestataire qui agit uniquement sur vos instructions est sous-traitant. Un prestataire qui détermine lui-même pourquoi il traite les données est responsable de traitement pour cette finalité.

L’erreur la plus répandue consiste à qualifier une entreprise plutôt qu’un traitement. Un même fournisseur peut être sous-traitant pour l’hébergement de vos données et responsable de traitement pour l’exploitation de sa propre télémétrie d’usage. Ces deux rôles coexistent et appellent des encadrements différents.

Le piège : se fier à l’étiquette que le contrat s’attribue. Un fournisseur qui se déclare simple sous-traitant tout en exploitant vos données pour améliorer son propre produit est, pour cette finalité, responsable de traitement — peu importe ce qu’affirme le préambule. Lisez la clause d’utilisation des données, pas la clause de qualification. Comptez une journée.

Étape 3 — Rédiger l’acte d’encadrement de l’article 28.3

L’article 28.3 du RGPD ne laisse pas de marge d’appréciation : le contrat doit prévoir que le sous-traitant traite les données uniquement sur instruction documentée du responsable, garantit la confidentialité des personnes autorisées à traiter les données, met en œuvre les mesures de sécurité de l’article 32, respecte les conditions de recours à un sous-traitant ultérieur, assiste le responsable pour répondre aux demandes d’exercice des droits, l’assiste également au titre des articles 32 à 36 — ce qui inclut la notification des violations, supprime ou restitue les données au terme de la prestation selon le choix du responsable, et met à disposition les informations nécessaires pour démontrer la conformité, en se soumettant à des audits.

Huit points. Un contrat de trente pages qui en omet un seul n’est pas conforme ; un avenant de deux pages qui les couvre tous l’est. La longueur n’est pas le critère.

Les deux mentions qui posent problème en pratique. La notification de violation d’abord : exigez un délai chiffré en heures, faute de quoi vous ne tiendrez jamais votre propre obligation de notification à l’autorité. Une clause qui prévoit une information « dans les meilleurs délais » ne vous protège pas. La suppression en fin de contrat ensuite : précisez le sort des sauvegardes, qui survivent presque toujours à l’effacement des données actives, ainsi que le format et le délai de restitution.

Le piège : accepter l’avenant type du fournisseur sans le lire. Ces documents sont rédigés dans son intérêt et contiennent fréquemment une autorisation générale de sous-traitance ultérieure sans obligation d’information préalable, ou un droit d’audit réduit à la fourniture d’un rapport de certification. Ce n’est pas rédhibitoire, mais cela doit être une décision consciente. Comptez deux jours pour établir votre modèle, puis une heure par fournisseur.

Étape 4 — Encadrer la sous-traitance ultérieure

C’est l’étape la plus négligée, et celle qui produit les mauvaises surprises. Vos sous-traitants ont eux-mêmes des sous-traitants. Votre plateforme de messagerie s’appuie sur un hébergeur, qui s’appuie sur un fournisseur d’infrastructure. Vos données descendent cette chaîne, et votre responsabilité les suit.

Le RGPD prévoit deux régimes. L’autorisation spécifique, où chaque nouveau sous-traitant ultérieur requiert votre accord préalable — protecteur mais rapidement ingérable à l’échelle. Et l’autorisation générale écrite, où le sous-traitant peut recourir à d’autres prestataires à condition de vous informer de tout changement et de vous laisser la possibilité d’émettre des objections.

L’autorisation générale est le régime réaliste dans la plupart des cas, mais elle n’a de valeur qu’assortie de trois éléments : un délai de préavis avant l’entrée en fonction d’un nouveau sous-traitant, un canal d’information que vous surveillez réellement, et une conséquence en cas d’objection — typiquement un droit de résiliation sans pénalité.

Point essentiel : le sous-traitant initial demeure pleinement responsable devant vous de l’exécution des obligations par ses propres sous-traitants. Cela ne vous dispense pas de vos obligations, mais cela vous donne un interlocuteur unique. Comptez une journée.

Étape 5 — Traiter les transferts hors Union européenne

Dès qu’un sous-traitant, ou l’un de ses propres sous-traitants, traite des données depuis un pays tiers, un mécanisme de transfert doit être identifié : décision d’adéquation, clauses contractuelles types, ou l’un des autres outils prévus par le règlement.

Trois précisions évitent les erreurs les plus courantes. Un accès distant depuis un pays tiers constitue un transfert, même si les données restent stockées en Europe : une équipe de support qui consulte vos données depuis l’étranger déclenche l’obligation. Ensuite, la seule signature de clauses types ne suffit pas : une analyse d’impact du transfert est attendue, examinant si le droit local permet des accès qui videraient les garanties de leur substance. Enfin, cette analyse doit être documentée et datée — c’est ce document, et non le contrat, que l’on vous demandera.

Le piège : l’hébergement européen annoncé par un fournisseur dont la maison mère relève d’une juridiction tierce. La localisation des serveurs est une donnée du problème, pas sa solution. Comptez deux jours, davantage si la cartographie de l’étape 1 a révélé de nombreux outils.

Étape 6 — Ajouter le volet NIS2 sur la chaîne d’approvisionnement

Le RGPD et NIS2 se recouvrent partiellement et poursuivent des buts distincts. Le premier protège les personnes concernées ; le second protège la continuité et la sécurité des services essentiels et importants. Un incident peut relever de l’un, de l’autre, ou des deux.

L’article 21 de NIS2 range explicitement la sécurité de la chaîne d’approvisionnement parmi les mesures de gestion des risques à mettre en place, en visant notamment les aspects de sécurité des relations avec les fournisseurs et prestataires directs. Traduit en clauses, cela ajoute quatre exigences à celles de l’article 28.

Une notification d’incident élargie, couvrant les incidents de sécurité affectant le service même sans violation de données personnelles — une indisponibilité prolongée ou une compromission d’un composant vous concernent au titre de NIS2 alors qu’elles peuvent échapper au RGPD. Des délais de correction chiffrés pour les vulnérabilités, différenciés selon la criticité. Une transparence sur les dépendances critiques, y compris logicielles, ce qui rejoint la question de l’inventaire des composants. Et un plan de réversibilité décrivant comment récupérer vos données et vos traitements si le fournisseur disparaît ou devient inacceptable.

Ce dernier point est le plus souvent absent des contrats et le plus difficile à obtenir après signature. Notre méthodologie d’audit de périmètre NIS2 détaille comment déterminer lesquels de vos fournisseurs relèvent réellement de ces exigences plutôt que de les imposer à tous indistinctement. Comptez deux jours.

Étape 7 — Contrôler, dater et conserver les preuves

Un contrat signé et rangé ne démontre rien. Ce qui se démontre, c’est un dispositif de contrôle appliqué et tracé.

Commencez par prioriser. Auditer sérieusement tous ses sous-traitants est hors de portée, et prétendre le faire aboutit à n’en auditer aucun. Classez selon trois critères : criticité du service pour votre activité, sensibilité des données confiées, difficulté de réversibilité. Une poignée de fournisseurs ressort ; ce sont eux qui justifient un examen approfondi.

Pour les autres, un contrôle documentaire annuel suffit : vérifier que les certifications invoquées sont toujours valides, que la liste des sous-traitants ultérieurs n’a pas changé sans information, et qu’aucun incident public n’est survenu. Cela prend une demi-journée par an pour l’ensemble du portefeuille.

Conservez trois traces, et seulement trois : la grille de priorisation datée, le compte rendu de chaque contrôle effectué avec sa date, et le suivi des actions demandées avec leur statut. C’est ce triptyque qui transforme une intention en conformité démontrable.

Sur le volet technique de ces contrôles — inventaire des composants et suivi des vulnérabilités chez vos prestataires — les équipes de D-Open rappellent que les dépendances arrivent souvent par transitivité, sans décision explicite. Et pour les prestataires d’intelligence artificielle, désormais présents dans presque tous les registres, nos confrères de Plug-Tech soulignent qu’une passerelle technique ajoutée à une chaîne de traitement constitue un sous-traitant de plus à documenter. Comptez une journée de mise en place, puis un rythme annuel.

Les trois erreurs les plus coûteuses

Confondre la liste des fournisseurs et le registre des sous-traitants. C’est l’erreur fondatrice, et elle invalide tout ce qui est construit dessus. Un registre issu du service achats omet systématiquement les outils souscrits en libre-service, qui sont précisément ceux dont personne n’a lu les conditions.

Signer l’avenant type sans le confronter aux huit mentions. Prenez l’habitude de lire ces documents avec la liste de l’article 28.3 en regard, et de cocher. L’exercice prend vingt minutes et révèle presque toujours une ou deux omissions — le plus souvent sur le délai de notification ou le sort des sauvegardes.

Traiter NIS2 comme une extension du RGPD. Ce sont deux régimes distincts avec des objets différents. Un incident de disponibilité sans fuite de données ne relève pas du RGPD mais peut relever de NIS2. Bâtir la conformité NIS2 en ajoutant deux phrases à un avenant RGPD conduit à découvrir le manque au premier incident sérieux.

Questions fréquentes

Quelles mentions l’article 28 du RGPD impose-t-il dans un contrat de sous-traitance ?

L’article 28.3 fixe une liste précise : traitement uniquement sur instruction documentée du responsable, engagement de confidentialité des personnes autorisées, mise en œuvre des mesures de sécurité de l’article 32, respect des conditions de recours à un sous-traitant ultérieur, assistance pour répondre aux demandes d’exercice des droits, assistance sur les obligations des articles 32 à 36 dont la notification de violation, suppression ou restitution des données au terme de la prestation, et mise à disposition des informations nécessaires pour démontrer la conformité, y compris en se soumettant à des audits. Un contrat qui ne couvre pas ces huit points n’est pas conforme, quelle que soit sa longueur.

Un hébergeur est-il sous-traitant ou responsable de traitement ?

Un hébergeur qui se borne à fournir de la capacité et n’agit que sur vos instructions est un sous-traitant. La qualification bascule dès qu’il détermine lui-même une finalité : s’il exploite des données de télémétrie pour ses propres besoins d’amélioration produit, il devient responsable de traitement pour cette finalité-là. La qualification s’apprécie traitement par traitement, jamais entreprise par entreprise, et elle repose sur les rôles réels plutôt que sur l’étiquette que le contrat leur donne.

NIS2 impose-t-elle des obligations contractuelles envers les fournisseurs ?

Oui, par un angle différent de celui du RGPD. Là où le RGPD protège les données personnelles, NIS2 vise la continuité et la sécurité des services essentiels et importants. Son article 21 range explicitement la sécurité de la chaîne d’approvisionnement parmi les mesures de gestion des risques à prendre, y compris les aspects de sécurité des relations avec les fournisseurs et prestataires directs. Concrètement, cela conduit à ajouter aux contrats des exigences de notification d’incident, de niveau de service en matière de correctifs, et de transparence sur les dépendances critiques.

Faut-il auditer tous ses sous-traitants ?

Non, et prétendre le faire est le meilleur moyen de n’en auditer aucun sérieusement. Le droit d’audit doit figurer au contrat pour l’ensemble des sous-traitants, mais son exercice doit être priorisé par le risque : criticité du service, sensibilité des données confiées, difficulté de réversibilité. En pratique, un contrôle documentaire annuel suffit pour la majorité, tandis qu’une poignée de fournisseurs critiques justifie un examen approfondi. Ce qui compte pour démontrer la conformité, c’est que la priorisation soit écrite, datée et suivie.

En résumé

Encadrer ses sous-traitants n’est pas un exercice de rédaction juridique : c’est d’abord un exercice de cartographie. Les sept étapes tiennent dans une progression simple — recenser la réalité, qualifier les rôles traitement par traitement, couvrir les huit mentions de l’article 28.3, encadrer la sous-traitance ultérieure, traiter les transferts, ajouter le volet NIS2, puis contrôler et conserver les preuves.

Si vous ne deviez retenir que deux étapes, prenez la première et la septième. Un registre construit à partir des relevés bancaires et des applications connectées vous dira ce qui traite réellement vos données — presque toujours bien plus que la liste officielle. Et une grille de priorisation datée, assortie de comptes rendus, vaut mieux qu’un droit d’audit inscrit dans tous vos contrats et exercé dans aucun.