Réponse courte
La conformité d’un fournisseur ne se résume pas à une annexe RGPD. Le responsable du traitement doit choisir des prestataires présentant des garanties suffisantes et encadrer le traitement. Le sous-traitant doit suivre les instructions, sécuriser, assister, documenter et encadrer ses propres sous-traitants. Ces obligations doivent être suivies pendant toute la relation.
À retenir
- ✓Un contrat correct peut masquer une exécution faible
- ✓Les MSP occupent une position stratégique
- ✓Évaluer ce qui compte pour le traitement
- ✓Surveiller les changements et préparer la sortie
Un contrat correct peut masquer une exécution faible
L’article 28 du RGPD impose un contrat ou un acte juridique précisant notamment l’objet, la durée, la nature, la finalité, les catégories de données, les personnes concernées et les obligations des parties. Mais copier les clauses du règlement ne décrit pas comment les engagements seront tenus.
La CNIL insiste sur la mise en œuvre concrète : niveau de sécurité, modalités d’assistance, autorisation des sous-traitants ultérieurs, informations nécessaires à la démonstration et possibilité d’audit. Ces sujets évoluent avec le service. Une annexe signée à l’origine ne suffit pas si l’hébergement, les accès ou la chaîne de sous-traitance changent.
Les MSP occupent une position stratégique
Un prestataire de services managés peut administrer des comptes, superviser des systèmes, intervenir à distance et accéder à des données pour plusieurs clients. Il peut être sous-traitant pour certaines opérations et responsable de ses propres traitements pour d’autres. Bien qualifier ces rôles est essentiel.
Le MSP devient aussi un relais de preuve. Lors d’un incident, ses journaux, ses délais d’alerte, ses contacts et sa capacité à distinguer les environnements clients conditionnent la réponse de chacun. Sa valeur ne tient donc pas seulement à la disponibilité technique, mais à la qualité de la traçabilité et de la coopération.
Évaluer ce qui compte pour le traitement
Un questionnaire fournisseur interminable produit souvent des réponses génériques. L’évaluation doit partir du traitement : quelles données ? quels accès ? quelle criticité ? quelles personnes ? quels pays ? quelles dépendances ? L’organisation peut alors demander les preuves pertinentes : certification, rapport d’audit, mesures de sécurité, liste des sous-traitants ultérieurs, processus de notification ou tests de continuité.
La décision doit être tracée. Accepter un fournisseur malgré un écart peut être raisonnable si le risque est compris, si des mesures compensatoires existent et si une échéance est fixée. Ce qui fragilise l’organisation, c’est l’absence d’arbitrage explicite.
Surveiller les changements et préparer la sortie
La gestion fournisseur ne s’arrête pas à l’onboarding. Les changements contractuels, incidents, nouvelles fonctionnalités et évolutions de sous-traitance doivent déclencher une révision. La fin de contrat doit couvrir la restitution, la suppression, la portabilité et la preuve de clôture.
Cette discipline sert aussi la relation commerciale. Un prestataire capable de fournir rapidement des informations fiables réduit le risque de son client et renforce la confiance.
Ce que Lyopi apporte
Lyopi relie fournisseurs, traitements, contrats, risques, actions et preuves. Les évaluations et révisions peuvent être priorisées selon l’exposition réelle. Pour les MSP et DPO externes, cette structure facilite un suivi cohérent de plusieurs organisations tout en conservant les responsabilités propres à chacune.
Questions fréquentes
Les réponses essentielles
Le sous-traitant est-il responsable de la conformité de son client ?
Le responsable du traitement conserve ses responsabilités. Le sous-traitant a néanmoins des obligations propres et doit assister, alerter, documenter et respecter les instructions prévues par le RGPD et le contrat.
Une certification suffit-elle pour choisir un fournisseur ?
Non. Elle peut constituer un élément de garantie, mais l’évaluation doit rester liée au traitement, au service, aux données, aux accès et à la chaîne de sous-traitance.
Faut-il auditer tous les fournisseurs chaque année ?
Pas nécessairement. La fréquence et la profondeur doivent être proportionnées au risque, aux changements, aux incidents et aux preuves disponibles.
Sources
Textes et ressources de référence
Sources consultées et vérifiées lors de la mise à jour du 11 août 2026.
- lyopi.frCNIL - Travailler avec un sous-traitant
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCNIL - Six bonnes pratiques responsable et sous-traitant
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCNIL - Gérer la sous-traitance en matière de sécurité
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
- lyopi.frCNIL - Bien identifier son rôle
Référence utilisée pour vérifier le cadre et les recommandations de cette analyse.
Note éditoriale : cette ressource fournit une information générale. Elle ne constitue ni un conseil juridique ou assurantiel personnalisé, ni une certification NIS2, ni une garantie de couverture.