Sous-traitants de données clients : vérifier le contrat avant de connecter un outil

Avant de connecter un outil aux commandes, aux conversations ou au fichier clients, il faut savoir ce qui lui sera transmis et pour quoi faire. Un contrat présenté comme « conforme au RGPD » ne répond pas à cette question. La décision se prend sur le traitement prévu, les rôles réels et les garanties démontrées pour le service concerné.

Le contrôle proposé commence avant l’accès aux données réelles. Il ne suffit pas de lire une page commerciale : il faut relier le périmètre du traitement, les documents contractuels et le fonctionnement de l’offre choisie. Aucun fournisseur, contrat particulier ou transfert réel n’a été audité pour cet article.

Décrire le traitement avant de nommer le rôle

Une même connexion peut servir plusieurs opérations : traiter une demande de service client, analyser des commandes ou envoyer une campagne. La recommandation est d’écrire le besoin exact, les catégories de personnes et de données concernées, les accès demandés, les destinataires et la durée envisagée. Une formule comme « synchroniser les clients » est trop large pour décider.

Dans sa fiche sur la qualification des rôles, la CNIL rappelle que la qualification dépend des faits. Le responsable du traitement décide des finalités et des moyens essentiels ; le sous-traitant traite les données pour son compte, selon ses instructions. La détermination conjointe des finalités et moyens demande un autre examen.

Le choix de moyens techniques peut être laissé au sous-traitant sans que cela règle à lui seul toute la qualification. À l’inverse, un fournisseur qui utilise les données pour ses propres finalités ne peut pas être réputé agir uniquement pour votre compte parce que son contrat porte le mot « sous-traitant ».

Il faut donc qualifier les activités, plutôt qu’attribuer une étiquette unique à tout l’éditeur. Demander quels usages sont nécessaires au service, lesquels sont optionnels et lesquels poursuivent une finalité propre. En cas d’incertitude, conserver le raisonnement et les questions ouvertes avec la fonction chargée de la protection des données.

Ce travail précède la recherche des clauses adaptées. Un contrat de sous-traitance ne remplace pas, par son seul intitulé, les dispositions correspondant à un autre rôle.

Relier le contrat au service et au traitement concernés

Lorsque la relation relève de la sous-traitance, l’article 28 du RGPD prévoit un contrat ou un autre acte juridique contraignant, sous forme écrite, y compris électronique. Il doit définir notamment l’objet, la durée, la nature et la finalité du traitement, les types de données, les catégories de personnes et les droits et obligations du responsable.

Le premier contrôle n’est donc pas de compter les clauses. Vérifier l’entité contractante, le service couvert, l’offre choisie et les documents qui font partie de l’accord. Une annexe de sécurité valable pour un autre produit ou une autre formule ne démontre pas les garanties de l’outil effectivement connecté.

Examiner ensuite comment le texte organise les instructions, la confidentialité, la sécurité, l’assistance, le recours à d’autres sous-traitants, la fin de prestation et les informations nécessaires au contrôle. Ces thèmes viennent de l’article 28 ; leurs modalités concrètes doivent être adaptées au traitement. Une copie du règlement sans réponse opérationnelle ne suffit pas à comprendre qui intervient et comment.

La CNIL recommande de ne pas commencer la prestation de sous-traitance sans contrat reprenant les exigences applicables. Un essai qui traite des données clients réelles doit donc être examiné comme un traitement, et pas comme une phase sans conséquence parce qu’il est gratuit ou temporaire.

Le choix de la stack commerce traite l’architecture et la réversibilité dans leur ensemble. Ici, la question est plus ciblée : quelles données et opérations cette connexion permet-elle, et quel cadre les couvre ?

Demander des preuves correspondant aux accès

L’article 28 prévoit de recourir à des sous-traitants présentant des garanties suffisantes. La fiche de sécurité de la CNIL recommande de connaître les mesures effectivement mises en œuvre et les moyens d’en vérifier l’effectivité.

Rapprocher ces garanties de la permission demandée. Un outil qui a besoin de lire un état de commande ne doit pas recevoir par facilité tous les droits disponibles. La recommandation opérationnelle est de comparer le besoin aux permissions configurables, puis de conserver la décision et les restrictions retenues.

Demander comment les personnes sont habilitées, quels accès de support existent, comment les opérations sont tracées et comment un accès peut être retiré. Les réponses doivent viser l’environnement concerné, pas seulement les habitudes générales de l’entreprise.

Une certification ou un rapport peut fournir un élément de preuve, à examiner avec son périmètre et sa date. Il ne démontre pas automatiquement que votre configuration applique tous les réglages annoncés. La CNIL rappelle également qu’une boutique ne se décharge pas de ses obligations du seul fait qu’elle accepte les conditions d’un grand prestataire.

Le dossier d’audit d’un fournisseur IA ajoute les questions propres aux modèles et à leurs résultats. Le présent contrôle concerne aussi des outils sans IA ; il n’évalue pas les performances d’un modèle.

Identifier les sous-traitants ultérieurs et leurs changements

L’article 28 prévoit une autorisation écrite préalable, spécifique ou générale, pour le recours à un autre sous-traitant. En cas d’autorisation générale, les changements envisagés doivent être communiqués de façon à permettre au responsable du traitement d’émettre des objections. Le texte impose aussi les obligations de protection prévues pour les activités confiées au sous-traitant ultérieur.

Demander la liste et le rôle des entités réellement impliquées dans la prestation : hébergement, support ou autre activité de traitement. La CNIL précise que le responsable doit disposer des informations sur l’identité de la chaîne de sous-traitance ; l’étendue des vérifications se module selon le risque.

Une liste en ligne est un point de départ. Vérifier qu’elle permet de relier les entités à l’offre utilisée, que les changements sont portés à la bonne personne et que l’équipe sait quoi faire à réception d’un avis de modification. Aucune objection fictive ni acceptation automatique n’est proposée ici.

Si une entité reste inconnue ou si le service ne permet pas de déterminer son intervention, consigner cette limite avant d’autoriser le flux. Un tableau rempli de noms sans activités ni correspondance avec le service ne résout pas le besoin.

Examiner les transferts au-delà du lieu d’hébergement

Une région d’hébergement européenne ne décrit pas tous les accès. Le guide CNIL sur l’analyse d’impact des transferts rappelle les critères de qualification d’un transfert : un exportateur soumis au RGPD pour le traitement, une mise à disposition à une autre entité, et un importateur situé hors de l’Espace économique européen ou une organisation internationale.

Le guide précise notamment qu’un accès distant depuis un pays tiers à des données stockées dans l’EEE constitue un transfert lorsque l’entité qui réalise cet accès est juridiquement distincte de l’exportateur. Il distingue cette situation d’un accès au sein de la même entité. Il faut donc examiner qui accède, depuis où et pour quelle activité, plutôt que qualifier tout déplacement d’une personne comme un transfert.

Si un transfert est identifié, déterminer son mécanisme applicable et les vérifications nécessaires. Le contrat de sous-traitance et les instruments d’encadrement d’un transfert ne remplissent pas la même fonction, même si leurs documents peuvent être regroupés.

Le guide prévoit une analyse d’impact des transferts lorsque le transfert repose sur un outil de l’article 46, avec l’examen de son efficacité et des mesures supplémentaires nécessaires. Il distingue ce cas des transferts couverts par une décision d’adéquation. Ce dossier ne déclare aucun pays ni fournisseur adéquat à la date de connexion : le mécanisme, son périmètre et sa validité doivent être vérifiés sur le flux réel.

Une mention « données en Europe » ne dispense donc pas de cette analyse. À l’inverse, la seule présence d’une entreprise étrangère dans un organigramme ne suffit pas à qualifier chaque opération sans examiner les critères.

Préparer l’assistance, l’incident et la sortie

L’article 28 organise l’aide à l’exercice des droits et aux obligations de sécurité, ainsi que les informations et audits nécessaires. Il prévoit aussi, au terme de la prestation, le renvoi ou la suppression des données selon le choix du responsable, avec l’exception d’une conservation exigée par le droit applicable.

La méthode recommandée est d’éprouver les points qui rendent ces engagements utilisables. Qui reçoit une demande de suppression ? Quelles données peuvent être exportées ? Comment révoquer l’accès ? Quelle information sera disponible en cas d’incident ? Ces essais doivent être définis et autorisés ; ils n’ont pas été exécutés ici.

Comparer la promesse contractuelle à la documentation et aux fonctions accessibles. Si l’export nécessite une prestation distincte ou ne couvre qu’une partie des données, le savoir avant la connexion change la décision d’achat. Ne pas transformer la suppression d’un compte en preuve d’effacement de toutes les copies.

Le plan de mesure e-commerce aide à distinguer les données nécessaires à une décision des collectes sans finalité claire. Une connexion plus limitée peut réduire ce qui doit être transmis, sans démontrer à elle seule la conformité du traitement restant.

Décider de l’ouverture avec les réserves visibles

Le livrable utile rapproche le traitement, les rôles retenus, le contrat applicable, les garanties, la chaîne de sous-traitance, les transferts et la sortie. Chaque incertitude doit avoir un propriétaire et une suite : obtenir une pièce, modifier le périmètre ou mettre la connexion en attente.

Une ouverture limitée n’a de sens que si ses conditions sont explicites : données autorisées, permissions, durée et résultat à contrôler. Un essai n’autorise pas une extension silencieuse à tous les clients ou à une nouvelle finalité.

La validation doit rester attachée à une version du service et à un périmètre. Un nouveau sous-traitant, un accès de support supplémentaire ou un changement d’usage demande de relire ce qui change. Ce suivi ne remplace ni les autres obligations du responsable du traitement ni l’examen juridique d’une situation particulière.

Le protocole permet de préparer une décision étayée avant la connexion. Il ne constitue pas un certificat RGPD et ne permet pas de déclarer un outil conforme dans tous ses usages.

Sources CNIL consultées le 23 octobre 2026. Les contrats et flux réels n’ont pas été inspectés. Les décisions d’adéquation, les instruments de transfert et les conditions particulières d’un service restent à vérifier au moment de leur utilisation.