Sous-traitant RGPD : checklist avant un outil SaaS

Une page « conforme RGPD » et un hébergement annoncé en Europe ne suffisent pas à choisir un logiciel en ligne. Ce guide répond à l’intention précise d’auditer un fournisseur SaaS qui traite des données personnelles pour une TPE. Il ne compare pas les fonctionnalités métier ni les tarifs de chaque outil : il vérifie les rôles, le contrat, les preuves, les transferts, la crise et la sortie avant engagement.

1. Définissez l’usage avant d’envoyer un questionnaire

Écrivez la finalité : gérer des rendez-vous, héberger des dossiers, envoyer des campagnes, signer des devis ou assister des clients. Listez les catégories de personnes, données, volumes, utilisateurs, accès, durée et disponibilité attendue. Un outil de planning avec des noms n’a pas le même risque qu’un coffre de pièces d’identité ou un service de santé.

Retirez du périmètre les données inutiles. Testez avec des données fictives pendant l’évaluation et interdisez les exports réels avant signature. Déterminez les fonctions nécessaires : comptes nominatifs, MFA, droits, journaux, export, suppression, sauvegarde, API et assistance. Cette fiche empêche de choisir un service séduisant puis d’adapter artificiellement la conformité à ses limites.

Reliez le projet à l’activité du registre RGPD de la TPE. Identifiez base, notice, durées et éventuelle analyse d’impact. Le fournisseur ne choisit pas votre finalité ni votre base juridique. Une fonction disponible dans l’outil ne rend pas automatiquement son utilisation nécessaire ou licite.

Classez la criticité métier. Combien de temps pouvez-vous travailler sans le service ? Quelle perte serait irréversible ? Quels comptes peut-il réinitialiser ? Le guide des outils numériques aide à comparer l’utilité ; l’audit présent fixe les conditions liées aux données et à la dépendance.

2. Qualifiez le rôle réel du fournisseur

Le responsable du traitement détermine les finalités et les moyens essentiels. Le sous-traitant traite des données pour son compte et selon ses instructions. Un fournisseur SaaS est souvent sous-traitant pour l’hébergement et les fonctions commandées, mais il peut être responsable pour certains traitements propres, par exemple facturation de son client, sécurité de son service ou usages indépendants clairement définis.

Ne vous fiez pas à l’étiquette « processor » dans les conditions. Lisez ce que le fournisseur fait des données : les utilise-t-il pour entraîner un modèle, enrichir un produit, cibler de la publicité ou établir ses propres profils ? Peut-on désactiver ces usages ? Les finalités propres doivent être identifiées, justifiées et expliquées ; elles ne peuvent pas être cachées dans une notion vague « d’amélioration ».

Un fournisseur qui détermine des finalités essentielles peut être responsable ou responsable conjoint pour cette partie. Les obligations et informations changent. Demandez un tableau par fonctionnalité : données, finalité, rôle, destinataire et durée. Pour un cloud complexe, les rôles peuvent varier entre infrastructure, plateforme, application et option d’analyse.

Documentez votre conclusion et faites examiner les cas incertains. La qualification ne se négocie pas seulement par contrat ; elle découle des faits. Un bon fournisseur explique les rôles sans promettre que son client devient « automatiquement conforme » en utilisant le service.

3. Contrôlez les clauses exigées par l’article 28

Le traitement par un sous-traitant est encadré par un contrat ou autre acte juridique écrit, y compris électronique. Il décrit l’objet, la durée, la nature et la finalité, le type de données, les catégories de personnes ainsi que les obligations et droits du responsable. Un lien générique vers une politique modifiable ne suffit pas si ces éléments restent absents ou incompatibles avec l’usage.

Le contrat prévoit notamment le traitement sur instruction documentée, y compris pour les transferts. Si une règle de droit impose au sous-traitant un traitement ou un transfert hors de ces instructions, il en informe le responsable avant l’opération, sauf si cette information est interdite pour un motif important d’intérêt public. Il alerte immédiatement le responsable lorsqu’une instruction lui paraît contraire au RGPD ou à une autre règle de protection des données. Ajoutez la confidentialité des personnes autorisées, les mesures de sécurité de l’article 32, les conditions des sous-traitants ultérieurs, l’assistance pour les droits et les obligations des articles 32 à 36 — y compris l’analyse d’impact et la consultation préalable —, la gestion des violations, la suppression ou restitution en fin de service, ainsi que les informations et audits nécessaires.

Repérez les limites de responsabilité, délais de réclamation, changements unilatéraux, suspension et hiérarchie des documents. Les clauses commerciales peuvent rendre une obligation opérationnelle impossible. Faites relire le contrat si les données, la dépendance ou le montant le justifient. Une petite entreprise peut demander les annexes standard et écarter un outil qui refuse les informations essentielles.

4. Évaluez les mesures par rapport à votre risque

Demandez une description actuelle des mesures : chiffrement en transit et au repos, gestion des clés, contrôle des accès, MFA, rôles, journaux, développement sécurisé, tests, correctifs, sauvegardes, restauration, segmentation, disponibilité et continuité. La réponse doit préciser le périmètre : production, support, sauvegardes et environnements de test.

Contrôlez les fonctions que vous administrez. Le service propose-t-il des comptes nominatifs, une MFA obligatoire, des droits fins, des journaux exportables et la révocation des sessions ? Peut-on empêcher un partage public, limiter un export ou supprimer un compte ? Un fournisseur robuste ne corrige pas une configuration client qui accorde administrateur à toute l’équipe.

Étudiez l’accès du support : qui peut ouvrir vos données, dans quelles circonstances, avec quelle autorisation, journalisation et durée ? Les personnes sont-elles soumises à confidentialité ? Les accès de maintenance sont-ils nominatifs et limités ? Pour une donnée sensible, demandez si un mode de support sans accès au contenu ou un chiffrement dont vous maîtrisez la clé est possible.

Vérifiez sauvegarde et restauration, mais ne supposez pas qu’une sauvegarde du service remplace votre capacité d’export. Demandez objectifs et tests de reprise, redondance, incidents majeurs connus et communication de disponibilité. Rattachez le service au plan de continuité et définissez un mode dégradé.

5. Rendez visible la chaîne des sous-traitants ultérieurs

Un SaaS dépend souvent d’un hébergeur, d’une messagerie transactionnelle, d’un support, d’un outil d’analyse ou d’une sauvegarde. Demandez la liste des sous-traitants ultérieurs, leur fonction, leur pays de traitement et les données concernées. Une raison sociale sans rôle ni lieu ne permet pas d’évaluer la chaîne.

L’article 28 prévoit une autorisation spécifique ou générale écrite. En cas d’autorisation générale, le fournisseur informe le responsable de tout ajout ou remplacement, afin de lui permettre d’émettre des objections. Vérifiez le canal, le préavis, la possibilité réelle d’objection et la conséquence si aucun accord n’est trouvé.

Le fournisseur doit imposer à son sous-traitant ultérieur des obligations de protection équivalentes pour les éléments concernés et demeure responsable envers son client de l’exécution de ces obligations dans le cadre prévu par le RGPD. Demandez comment il sélectionne, contracte et surveille la chaîne. Une liste publique non datée ne montre pas la gestion des changements.

Cartographiez seulement les dépendances utiles à votre décision, sans exiger un organigramme de toute l’entreprise. Les points critiques sont ceux qui hébergent, lisent, sauvegardent, assistent ou transfèrent les données. Enregistrez la version de la liste acceptée et abonnez une adresse fonctionnelle aux changements.

6. Ne confondez pas hébergement européen et absence de transfert

Un serveur dans l’Espace économique européen est un élément, pas une conclusion. Des équipes de support, administrateurs, sociétés mères ou sous-traitants situés ailleurs peuvent accéder aux données. Demandez les lieux de stockage principal, sauvegarde, support et administration, ainsi que les entités juridiquement destinataires.

Pour tout transfert hors EEE, identifiez le pays, le destinataire et le mécanisme du chapitre V du RGPD. Si une décision d’adéquation couvre réellement le pays, l’organisation et les données concernés, aucune AITD n’est requise pour ce mécanisme. Si le transfert repose sur un outil de l’article 46 — notamment des clauses contractuelles types ou des règles d’entreprise contraignantes — l’exportateur doit réaliser une analyse d’impact des transferts de données avant le transfert, avec l’assistance de l’importateur. Évaluez la législation et les pratiques du pays ; ajoutez des mesures supplémentaires si elles rétablissent une protection essentiellement équivalente, sinon suspendez ou renoncez au transfert. Les dérogations de l’article 49 suivent un régime distinct et exceptionnel.

Demandez comment le fournisseur répond aux demandes d’autorités étrangères, informe son client lorsque la loi le permet, conteste les demandes disproportionnées et publie des statistiques. Évaluez le chiffrement et la maîtrise des clés. La localisation seule ne neutralise pas tous les risques juridiques ; le transfert ne se réduit pas non plus à la copie d’un fichier.

Documentez la décision dans la fiche fournisseur et le registre, puis surveillez les changements d’entité, de pays et de sous-traitant. Si la chaîne devient incompatible avec votre analyse, le contrat et le plan de sortie doivent offrir une réponse réaliste.

7. Préparez la violation avant la première alerte

Le contrat prévoit l’assistance du sous-traitant et son information du responsable dans les meilleurs délais après une violation. Pour respecter votre propre échéance, négociez ou vérifiez un délai opérationnel, un canal disponible, des contacts de secours et des mises à jour régulières. Une promesse d’alerte « conformément à la loi » sans mécanisme concret vous laisse dépendant.

Demandez le contenu initial : date et heure, environnements, catégories de données et personnes, volume estimé, accès ou exfiltration constatés, protections, conséquences, mesures, journaux préservés et prochaine mise à jour. Acceptez qu’une partie soit inconnue au départ, mais exigez la distinction entre faits, estimation et hypothèse.

Testez le chemin : où ouvrir le ticket critique ? Le support ordinaire peut-il le classer ? Qui reçoit une alerte le week-end ? Pouvez-vous exporter les journaux ? Une simulation sur table révèle les numéros inexistants et responsabilités vagues. Reliez ce test à la procédure violation de données et notification sous 72 heures.

La CNIL a rappelé en 2026, à partir de crises observées, que le sous-traitant occupe une place centrale dans la gestion d’une cyberattaque, mais que la relation implique une responsabilité partagée dans la préparation. Votre TPE doit connaître les données confiées et pouvoir décider ; le fournisseur doit donner les informations et l’assistance contractuelles.

8. Demandez des preuves proportionnées, puis vérifiez votre configuration

Un rapport d’audit indépendant, une certification, un test d’intrusion résumé, des politiques datées, des résultats de restauration et une réponse structurée peuvent fournir des indices. Vérifiez le périmètre, la date, les exclusions et le traitement des écarts. Un logo de certification sans rapport sur le service utilisé ne suffit pas.

Adaptez la profondeur à la criticité. Pour un outil sans donnée sensible et facilement remplaçable, documentation, contrat et fonctions peuvent suffire. Pour des dossiers sensibles ou un service vital, demandez davantage de preuves, un échange technique et éventuellement un droit d’audit gradué. L’article 28 ne signifie pas que chaque TPE doit visiter chaque centre de données.

Testez vous-même les paramètres : créer un utilisateur, limiter son rôle, activer la MFA, exporter les journaux, révoquer une session, partager un fichier et supprimer une donnée. Le guide partager des fichiers clients donne des contrôles de lien, d’expiration et de révocation utiles pour un service de stockage.

Consignez les réponses avec source, date, interlocuteur et décision. Classez les écarts en bloquants, conditions avant lancement et actions de suivi. Refusez les réponses purement marketing : demandez où l’engagement apparaît dans le contrat ou la documentation opposable.

9. Testez l’export, la suppression et la continuité

Avant de charger les données, exportez un jeu fictif. Vérifiez le format, les pièces jointes, métadonnées, relations, utilisateurs et journaux nécessaires. Un fichier CSV peut contenir les contacts mais perdre l’historique, les consentements ou les preuves. Demandez la documentation de l’API et les coûts ou délais de récupération.

Le contrat précise, au choix du responsable, la suppression ou le renvoi des données à la fin des services, ainsi que la destruction des copies existantes sauf obligation légale de conservation. Clarifiez sauvegardes, délais, attestation et compte résiduel. La désactivation de l’interface n’est pas la preuve d’une suppression.

Préparez les déclencheurs de sortie : hausse, baisse de qualité, incident, changement de sous-traitant, transfert incompatible, fin de produit ou besoin métier. Attribuez un responsable, une destination et une durée de coexistence. Le guide changer de logiciel et migrer les données couvre le projet de bascule complet.

Révoquez ensuite comptes, clés API, intégrations, webhooks, accès du support et moyens de paiement. Mettez à jour le registre et les notices. Conservez les documents contractuels et preuves nécessaires sans garder une copie de production inutile.

10. Utilisez une grille de décision et programmez la revue

Attribuez à chaque thème un état : conforme à votre besoin, condition à lever, risque accepté ou motif de refus. Pondérez selon données et criticité ; n’additionnez pas des cases comme si un contrat absent pouvait être compensé par une belle interface. Identifiez les critères bloquants avant les démonstrations commerciales.

1. Usage, données et rôles clairement définis.
2. Contrat article 28 complet et cohérent avec le produit.
3. Mesures de sécurité et fonctions administrables adaptées.
4. Chaîne des sous-traitants et notifications de changement maîtrisées.
5. Transferts identifiés et encadrés.
6. Incident, droits et analyses assistés dans des délais utiles.
7. Preuves actuelles et périmètre vérifiable.
8. Export, suppression et sortie testés.

Faites une revue annuelle ou lors d’un changement important, d’un incident, d’une nouvelle donnée ou fonctionnalité. Contrôlez aussi les comptes inactifs, droits et exports. L’évaluation initiale vieillit rapidement si le SaaS ajoute une fonction d’IA, un sous-traitant ou un nouveau pays sans être relu.

Sources officielles et primaires : Règlement (UE) 2016/679 — article 28 et chapitre V ; CNIL — gérer la sous-traitance ; CNIL — exemple de clauses de sous-traitance ; CNIL — guide de l’analyse d’impact des transferts de données ; CNIL — le sous-traitant au centre de la crise ; CNIL — qualification des acteurs du cloud ; Comité européen de la protection des données — responsable et sous-traitant. Consultées le 3 août 2026. Faites adapter l’audit aux données sensibles, transferts, règles sectorielles et enjeux contractuels.

En résumé

Un audit de sous-traitant SaaS commence par votre usage, puis qualifie les rôles et vérifie contrat, sécurité, chaîne, transferts, incident et sortie. Les preuves sont datées et proportionnées ; les fonctions sont testées dans votre configuration. La décision reste vivante : un nouveau pays, sous-traitant, usage ou incident doit déclencher une revue, pas une confiance automatique dans la promesse « conforme RGPD ».