Automatiser la gestion des sous-traitants RGPD 2026

Posez la question à n’importe quel responsable de traitement : « combien de sous-traitants traitent des données pour votre compte, et pouvez-vous me donner leur liste à jour ? » Dans neuf cas sur dix, la réponse arrive sous forme d’un tableur vieux de dix-huit mois, incomplet, et qui ne descend jamais au-delà du premier rang. Or depuis l’avis 22/2024 du CEPD, cette liste — y compris les sous-traitants ultérieurs — doit être disponible à tout moment. C’est précisément le type de charge qui ne se maintient pas à la main.

Pourquoi la chaîne de sous-traitance est devenue ingérable manuellement

L’article 28 RGPD tient en dix paragraphes, mais il génère plus de travail récurrent que n’importe quelle autre obligation du règlement. La raison est arithmétique : une PME de cinquante salariés travaille couramment avec quarante à soixante prestataires traitant des données personnelles — hébergeur, CRM, paie, messagerie, outil de ticketing, prestataire de maintenance, cabinet comptable, agence marketing. Chacun a lui-même ses propres sous-traitants. La chaîne réelle compte donc plusieurs centaines d’entités.

Le CEPD a considérablement durci la lecture de cette chaîne dans son avis 22/2024 du 7 octobre 2024, rendu à la demande de l’autorité danoise. Trois points en ressortent, et ils changent la nature du travail :

• Le responsable de traitement doit disposer à tout instant de l’identité (nom, adresse, contact) de l’ensemble des sous-traitants et sous-traitants ultérieurs, quel que soit le niveau de risque du traitement.
• L’obligation de vérifier que les (sous-)traitants présentent des « garanties suffisantes » au sens de l’article 28(1) s’applique indépendamment du risque ; seule l’intensité de la vérification module en fonction du risque.
• Cette obligation ne s’arrête pas au premier rang : elle irrigue toute la chaîne, y compris les sous-traitants ultérieurs de vos sous-traitants ultérieurs, même si c’est le sous-traitant initial qui répond contractuellement des manquements des suivants (art. 28(4)).

Ajoutez-y le fait que la CNIL a inscrit la sous-traitance et les chaînes de traitement dans ses axes de contrôle, et que le manquement à l’article 28 est devenu l’un des griefs les plus fréquemment retenus. La sanction de 400 000 € prononcée contre Monsanto Company le 26 juillet 2021 (délibération SAN-2021-013) reposait précisément sur l’absence d’acte juridique conforme à l’article 28 encadrant la relation avec son prestataire, aux côtés d’un manquement à l’article 14. Depuis, l’autorité sanctionne aussi directement les sous-traitants défaillants — ainsi de Dedalus Biologie, condamnée à 1,5 million d’euros le 15 avril 2022 (SAN-2022-009) sur le fondement des articles 28, 29 et 32. La conclusion pratique est simple : le tableur Excel ne tient plus la charge.

Ce qui s’automatise réellement — et ce qui ne s’automatisera jamais

Avant de s’équiper, il faut trancher la ligne de partage. Elle est nette.

Tâche	Automatisable	Pourquoi
Inventaire des sous-traitants et rattachement aux traitements	Oui	Données structurées, dérivées du registre
Collecte et relance des questionnaires d’évaluation	Oui	Workflow, échéances, notifications
Suivi des dates de signature, d’échéance et de renouvellement des DPA	Oui	Calendrier et alertes
Détection des clauses manquantes dans un DPA	Partiellement	Contrôle de complétude vs article 28(3)(a)-(h)
Cartographie des transferts hors UE et des garanties associées	Oui	Attributs structurés (pays, mécanisme, date)
Suivi des sous-traitants ultérieurs déclarés et des délais d’objection	Oui	Registre et compteur de délai
Appréciation du caractère « suffisant » des garanties	Non	Jugement, article 28(1)
Décision de s’opposer à un sous-traitant ultérieur	Non	Arbitrage de risque du responsable de traitement
Négociation contractuelle et arbitrage juridique	Non	Rapport de force commercial
Audit sur site	Non	Investigation humaine

Dans les missions que je conduis, la répartition du temps réel est de l’ordre de 80/20 : quatre cinquièmes du temps partent dans la collecte, la relance, le classement et la mise à jour — c’est-à-dire dans la mécanique. Le cinquième restant, celui qui exige vingt ans de pratique, est celui qu’on n’arrive jamais à faire faute de temps.

Étape 1 : construire l’inventaire à partir du registre, pas à côté

L’erreur structurante consiste à tenir une liste de sous-traitants séparée du registre des activités de traitement. Deux référentiels finissent toujours par diverger.

Le bon modèle est relationnel : chaque fiche de traitement du registre porte un ou plusieurs sous-traitants, et chaque fiche fournisseur porte la liste des traitements qui en dépendent. Cette structure produit gratuitement deux livrables que l’on peine autrement à sortir :

• le registre du sous-traitant exigé par l’article 30(2), lorsque vous agissez vous-même comme sous-traitant pour vos clients ;
• l’analyse d’impact d’une défaillance fournisseur : quels traitements s’arrêtent, quelles données sont exposées, qui doit être notifié.

Trois sources alimentent utilement cet inventaire de façon semi-automatique : la comptabilité fournisseurs (tout prestataire facturant récurrent est un candidat), l’annuaire des applications du SI, et les enregistrements DNS/SSO qui révèlent les outils SaaS adoptés hors procédure. Cette dernière source est la plus révélatrice — dans une PME, le shadow IT représente couramment un tiers des outils traitant des données personnelles. La cartographie automatisée des traitements est le prérequis technique de tout le reste.

Étape 2 : industrialiser l’évaluation des garanties

L’article 28(1) impose de ne recourir qu’à des sous-traitants « présentant des garanties suffisantes ». L’avis 22/2024 précise que cette vérification est due dans tous les cas — mais que son intensité se module. C’est exactement ce qu’un moteur de règles sait faire : segmenter avant d’évaluer.

Le tiering, préalable indispensable

Classer les fournisseurs en trois niveaux évite de traiter le prestataire de nettoyage comme l’hébergeur du SIRH.

Niveau	Critères de déclenchement	Profondeur d’évaluation
Critique	Données sensibles au sens de l’article 9, grande échelle, transfert hors UE, accès administrateur au SI	Questionnaire complet, preuves documentaires (ISO 27001, SOC 2, HDS), revue du DPA clause par clause, droit d’audit exercé
Standard	Données courantes, échelle modérée, hébergement UE	Questionnaire allégé, attestations déclaratives, revue de complétude du DPA
Faible	Accès marginal ou incident aux données, absence de stockage	Engagement contractuel de confidentialité, revue biennale

Ce tri se calcule à partir d’attributs déjà présents dans le registre. Sur un parc de soixante fournisseurs, il isole en général cinq à huit dossiers réellement critiques — ceux sur lesquels concentrer le temps d’expert.

Le questionnaire, envoyé et relancé sans intervention

Le questionnaire d’évaluation des sous-traitants est le point où l’automatisation produit le gain le plus visible. Envoi calibré selon le niveau, relance automatique à J+15 et J+30, scoring des réponses, archivage horodaté des pièces jointes : rien de tout cela n’exige d’intelligence juridique, et c’est pourtant là que le DPO perd ses journées.

Un point de méthode issu de la pratique : archivez la preuve de l’envoi et de la relance, pas seulement la réponse. En contrôle, un fournisseur qui n’a jamais répondu malgré trois relances tracées vous place dans une position radicalement différente d’un fournisseur qu’on n’a jamais sollicité. L’article 5(2) fait de cette démonstrabilité une obligation à part entière.

Ce qui reste au juriste

Aucun scoring ne dira si les garanties d’un fournisseur sont « suffisantes » au regard de votre traitement. Un hébergeur certifié ISO 27001 peut être parfaitement inadapté à des données de santé ; un petit prestataire sans certification peut offrir des garanties supérieures sur un traitement à faible risque. Le score sert à hiérarchiser l’attention, jamais à conclure.

Étape 3 : gérer le cycle de vie des DPA

Le contrat de sous-traitance n’est pas un document, c’est un objet à durée de vie. Quatre automatismes suffisent à le maintenir vivant.

Le contrôle de complétude. L’article 28(3) énumère huit obligations que le contrat doit couvrir : instructions documentées (a), confidentialité (b), sécurité au sens de l’article 32 ©, sous-traitance ultérieure (d), assistance aux droits des personnes (e), assistance aux articles 32 à 36 (f), sort des données en fin de contrat (g), mise à disposition des informations et audits (h). Un contrôle automatisé de présence de ces huit blocs sur chaque DPA est trivial à mettre en place et détecte la majorité des contrats bancals — typiquement des DPA fournisseurs anglo-saxons où le (g) est réduit à une mention vague. Notre guide de l’article 28 et du contrat de sous-traitance détaille chaque clause.

Les échéances. Date de signature, date de renouvellement, date de dernière revue, date de dernier questionnaire. Ces quatre dates pilotent tout le calendrier de conformité fournisseurs, et aucune ne se surveille à la main sur soixante lignes.

Les avenants déclenchés par événement. Changement d’hébergement, nouveau sous-traitant ultérieur, extension de périmètre, évolution réglementaire : chaque événement doit rouvrir le contrat concerné. Sans lien technique entre la fiche fournisseur et le DPA, cette réouverture n’a jamais lieu.

La fin de contrat. L’article 28(3)(g) impose que le sous-traitant supprime ou restitue les données au terme de la prestation — au choix du responsable du traitement —, et détruise les copies existantes sauf obligation légale de conservation. C’est l’obligation la plus systématiquement oubliée, parce qu’elle intervient au moment où le dossier n’intéresse plus personne. Une tâche générée automatiquement à la date de résiliation, avec demande d’attestation de suppression, coûte quelques secondes et vaut beaucoup en contrôle.

Étape 4 : suivre les sous-traitants ultérieurs et les transferts

C’est le point le plus difficile, et celui que l’avis 22/2024 a rendu incontournable.

L’article 28(2) exige dans tous les cas une autorisation écrite préalable, spécifique ou générale ; dans ce second cas, le sous-traitant doit informer le responsable de traitement de tout changement prévu, qui dispose alors d’un droit d’objection. En pratique, presque tous les fournisseurs SaaS imposent le second, avec un délai d’objection de trente jours et une page web listant leurs sous-traitants. Le piège est là : cette page change sans que personne ne la lise, et le délai d’objection court quand même.

L’automatisation utile consiste à surveiller ces pages de sous-traitants ultérieurs, à horodater chaque modification détectée, à créer une tâche d’analyse et à déclencher le compteur du délai d’objection. Ce n’est pas de l’intelligence artificielle : c’est de la veille outillée. Mais elle transforme une obligation théoriquement impossible à tenir en processus réel.

Le second volet est celui des transferts. Chaque entrée de la chaîne porte un pays d’hébergement et, le cas échéant, un mécanisme de transfert au titre du chapitre V : décision d’adéquation (Data Privacy Framework pour les États-Unis), clauses contractuelles types, règles d’entreprise contraignantes. Trois contrôles se calculent automatiquement dès lors que ces attributs sont structurés :

• une entité de la chaîne hébergée hors UE sans mécanisme de transfert renseigné — signalement immédiat ;
• une certification DPF expirée ou retirée de la liste tenue par le département du Commerce des États-Unis — vérification périodique ;
• l’absence d’analyse d’impact des transferts (TIA) pour un flux reposant sur des CCT — tâche générée.

Le sujet est détaillé dans notre guide sur les transferts de données hors UE et dans l’analyse des obligations RGPD des hébergeurs cloud.

Étape 5 : la violation de données, test de la chaîne

Un incident chez un sous-traitant est le moment où la qualité de l’inventaire se mesure. L’article 33(2) impose au sous-traitant de notifier le responsable de traitement « dans les meilleurs délais » ; le responsable doit ensuite notifier la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance — sauf si la violation est peu susceptible d’engendrer un risque pour les personnes (art. 33(1)).

Ces 72 heures se consomment presque intégralement à répondre à trois questions : quels traitements sont concernés, quelles catégories de personnes, et quelles autres entités de la chaîne sont exposées. Un inventaire relationnel à jour répond aux trois en quelques minutes. Un tableur obsolète y consacre deux jours — et le délai est manqué. C’est l’argument le plus concret en faveur de l’outillage, davantage que le confort quotidien. La procédure complète figure dans notre guide sur la notification d’une violation à la CNIL.

Quand l’outillage devient rentable

L’arbitrage se joue sur le nombre de fournisseurs et le rythme de rotation du parc.

En dessous d’une quinzaine de sous-traitants stables, un tableur bien tenu, une revue annuelle planifiée et des DPA signés suffisent. L’investissement dans un outil dédié ne se justifie pas, et je le déconseille.

Au-delà de trente ou quarante fournisseurs, avec des entrées et sorties régulières, plusieurs entités juridiques ou un SI mouvant, le coût du maintien manuel devient supérieur à celui de l’outil — et surtout, la qualité de l’inventaire décroche. Les ordres de grandeur figurent dans notre analyse du coût de la mise en conformité RGPD.

C’est cette mécanique que Legiscope prend en charge : inventaire fournisseurs rattaché au registre, tiering automatique selon le risque, envoi et relance des questionnaires, contrôle de complétude des DPA au regard des huit points de l’article 28(3), suivi des échéances et des sous-traitants ultérieurs, cartographie des transferts. Le DPO conserve l’appréciation des garanties et la négociation ; l’outil absorbe la collecte et la surveillance. La même logique s’applique au registre, à l’AIPD et aux demandes de droits.

Le cas des sous-traitants NIS2 et des fournisseurs d’IA

Deux évolutions élargissent le périmètre de l’exercice, et il serait dommage de bâtir un inventaire qui ne les absorbe pas.

La directive NIS2 impose aux entités essentielles et importantes de gérer les risques liés à leur chaîne d’approvisionnement — un périmètre plus large que le RGPD, puisqu’il vise tout fournisseur affectant la sécurité des réseaux, qu’il traite ou non des données personnelles. Maintenir deux inventaires fournisseurs distincts est une erreur d’architecture classique : dans les organisations que j’accompagne, le recouvrement entre les deux listes est très large. Voir sur ce point notre guide sur la sous-traitance et la sécurité sous NIS2.

Les fournisseurs de systèmes d’IA, ensuite, cumulent deux qualifications : sous-traitant au sens du RGPD et fournisseur ou déployeur au sens du règlement (UE) 2024/1689. Les questions à leur poser s’ajoutent à celles du questionnaire classique — données d’entraînement, réutilisation des prompts, localisation de l’inférence, journalisation. La position de la CNIL sur ChatGPT et les outils d’IA générative donne le cadre applicable.

Ce qu’il faut retenir

• L’avis 22/2024 du CEPD (7 octobre 2024) impose de connaître l’identité de toute la chaîne de sous-traitance à tout moment, quel que soit le niveau de risque, et étend l’obligation de vérification des « garanties suffisantes » au-delà du premier rang.
• 80 % du travail est de la mécanique : inventaire, questionnaires, relances, échéances, veille sur les sous-traitants ultérieurs. Tout cela s’automatise.
• 20 % ne s’automatisera jamais : l’appréciation du caractère suffisant des garanties (art. 28(1)), la décision d’objection à un sous-traitant ultérieur, la négociation contractuelle et l’audit sur site.
• Le contrôle de complétude des huit points de l’article 28(3) détecte à lui seul la majorité des DPA défaillants, en particulier sur le sort des données en fin de contrat (g).
• La rentabilité de l’outillage s’inverse autour de 30 à 40 fournisseurs ; en dessous de quinze, un tableur bien tenu suffit.
• Le vrai test est la violation de données : les 72 heures de l’article 33 ne sont tenables qu’avec un inventaire relationnel à jour.

FAQ

Faut-il tenir une liste des sous-traitants ultérieurs de ses propres sous-traitants ?

Oui. L’avis 22/2024 du CEPD indique que le responsable de traitement doit disposer à tout moment de l’identité — nom, adresse, personne de contact — de l’ensemble des sous-traitants et sous-traitants ultérieurs, indépendamment du risque associé au traitement. Le texte de l’article 28(2) ne prévoit, lui, que l’information des changements envisagés : l’exigence d’une liste complète et à jour découle de l’avis du CEPD. En pratique, elle s’obtient en l’imposant contractuellement au sous-traitant initial.

Un logiciel peut-il valider un contrat de sous-traitance à ma place ?

Non. Un outil peut vérifier que les huit points de l’article 28(3) sont présents, signaler les clauses absentes et suivre les échéances de revue. Mais l’appréciation de la qualité juridique d’une clause, l’arbitrage sur une limitation de responsabilité ou la décision de refuser un fournisseur restent des jugements. Le contrôle automatisé détecte l’absence, pas l’insuffisance.

À quelle fréquence réévaluer un sous-traitant ?

Le RGPD ne fixe aucune périodicité. La pratique défendable consiste à moduler selon le niveau de risque : revue annuelle pour les fournisseurs critiques, biennale pour les fournisseurs standards, et réévaluation déclenchée par un événement — changement d’hébergement, incident de sécurité, nouveau sous-traitant ultérieur, extension du périmètre de la prestation.

Que faire d’un sous-traitant qui ne répond pas au questionnaire ?

Documentez les relances, puis escaladez au niveau contractuel : l’article 28(3)(h) impose au sous-traitant de mettre à disposition les informations nécessaires pour démontrer le respect des obligations prévues à cet article. Un refus persistant est en soi un signal de risque, et il vous appartient d’en tirer les conséquences — mise en demeure, plan de réversibilité, changement de prestataire. Ce qui compte en contrôle, c’est de pouvoir démontrer la démarche, pas d’obtenir une réponse.

Les questionnaires de sécurité remplacent-ils un audit ?

Non. Le questionnaire est déclaratif ; l’article 28(3)(h) prévoit en outre un droit d’audit ou d’inspection au bénéfice du responsable de traitement. Pour les fournisseurs critiques, il est recommandé d’exiger des preuves documentaires (certification ISO 27001, rapport SOC 2, agrément HDS pour les données de santé) et de prévoir l’exercice effectif du droit d’audit, au moins sous forme de revue documentaire approfondie.

---

Savez-vous combien de sous-traitants ultérieurs traitent vos données aujourd’hui ? Legiscope rattache vos fournisseurs à votre registre, contrôle la complétude de vos DPA au regard de l’article 28(3), relance vos questionnaires et surveille vos échéances. Demander une démo Legiscope.