Audit fournisseur : quand les preuves manquent
Audit d'un prestataire RGPD : examinez les preuves manquantes, les documents équivalents et les conditions de décision avant de confier vos données.
- Partir de la garantie à vérifier
- Construire un tableau des lacunes
- Examiner une preuve de remplacement
- Cas pratique : un rapport valable qui ne couvre pas le support
- Formuler une demande de complément exploitable
- Distinguer décision provisoire et autorisation de traiter
- Réexaminer les garanties après la signature
- Ce qu’il faut retenir
- FAQ
Le fournisseur répond « conforme » à votre questionnaire, mais refuse de transmettre son rapport d’audit. Un refus de diffusion ne justifie pas toujours d’écarter le fournisseur ; un refus de toute vérification utile peut empêcher de lui confier les données. Proposez d’abord une consultation protégée ou une preuve équivalente sur le point précis à établir. Si une garantie indispensable reste indémontrable, suspendez l’usage envisagé ou réduisez réellement son périmètre avant de décider.
Partir de la garantie à vérifier
L’Art. 28(1) impose de recourir à un sous-traitant présentant des garanties suffisantes. L’Art. 28(3)(h) prévoit l’accès aux informations nécessaires et la possibilité d’audits. Le règlement n’impose pas que tous les fournisseurs remettent le même questionnaire ou le même certificat. Source : RGPD, chapitre IV.
La CNIL rappelle les critères de compétence, de fiabilité et de moyens. Le travail consiste donc à relier les documents à une garantie concrète. Un logo sur une présentation commerciale ne décrit ni l’entité couverte, ni le service audité, ni les exclusions.
Prenez le questionnaire d’évaluation des sous-traitants comme point de départ, puis identifiez les réponses qui exigent une vérification approfondie pour votre usage.
Construire un tableau des lacunes
| Garantie recherchée | Preuve reçue insuffisante | Complément à demander |
|---|---|---|
| Accès réservés aux équipes autorisées | « Accès sécurisés » | Description des habilitations, revues et accès de support |
| Restauration du service | Politique de sauvegarde générale | Périmètre sauvegardé et résultat récent d’un exercice pertinent |
| Suppression en fin de contrat | Clause sans procédure | Délais, copies incluses et preuve d’exécution |
| Gestion des incidents | Adresse email du support | Circuit d’alerte, permanence et contenu des mises à jour |
| Maîtrise des prestataires ultérieurs | Liste de marques | Entités, missions, lieux et modalités de changement |
Le tableau doit comporter une colonne « pourquoi cela compte pour nous ». Un traitement de dossiers contenant des informations très sensibles demande une profondeur d’examen différente de celle d’un service recevant quelques coordonnées professionnelles.
Examiner une preuve de remplacement
Un rapport complet peut contenir des informations de sécurité ou des données d’autres clients. Un refus de diffusion publique n’équivaut pas nécessairement à un refus de toute vérification. Demandez si une consultation sous confidentialité, un extrait circonstancié, une synthèse indépendante ou un entretien documenté permet d’établir le point recherché.
Une preuve de remplacement doit préserver l’information utile : identité de l’évaluateur, périmètre, période, limites et résultats pertinents. Une nouvelle attestation rédigée par le service commercial ne constitue pas automatiquement l’équivalent d’un contrôle indépendant.
Faites préciser ce que recouvre le refus. Le rapport est-il réservé aux clients sous accord de confidentialité, indisponible parce qu’aucun audit n’a été réalisé, ou dépourvu d’information sur le service acheté ? Ces situations conduisent à des suites différentes. Un accord de confidentialité organise une consultation ; il ne crée pas une preuve qui n’existe pas. Une démonstration technique peut éclairer une configuration sans établir son fonctionnement sur toute une période.
Pour une certification, vérifiez ce qui est réellement certifié. Une certification de système de management de la sécurité n’est pas, par sa seule existence, une certification RGPD au titre de l’Art. 42. Même un mécanisme approuvé ne supprime pas les responsabilités des acteurs : l’Art. 42(4) le précise. Le guide sur la certification RGPD aide à distinguer ces objets.
Cas pratique : un rapport valable qui ne couvre pas le support
Exemple entièrement fictif. Une PME française de cent vingt salariés choisit un service de gestion documentaire pour ses bulletins de paie. Léa, responsable RH, porte le besoin ; le RSSI examine la sécurité et le DPO conseille sur le traitement. Le fournisseur transmet sous confidentialité la synthèse d’un audit de l’environnement hébergé. Les périodes et l’entité concernée correspondent bien au service présenté.
La synthèse exclut toutefois le portail de support. Or le schéma technique montre que les agents de support peuvent télécharger un bulletin depuis un ticket lié au dossier du salarié. L’absence de preuve porte donc sur un accès concret à des données financières et professionnelles. Il ne suffit pas que l’hébergement principal ait été audité.
Le dossier de décision renseigné
| Point examiné | Constat du scénario | Décision et responsable |
|---|---|---|
| Service et entité couverts | Le rapport vise bien l’environnement de gestion documentaire acheté | Pièce retenue pour ce seul périmètre ; vérification RSSI |
| Accès de support | Portail exclu, avec possibilité de téléchargement des bulletins | Garantie non établie ; mise en service différée par le porteur de projet |
| Autre mode de support | Le fournisseur propose de supprimer la fonction de téléchargement pour ce client | Configuration à vérifier avant acceptation, pas simple engagement oral |
| Diagnostic d’un incident | Le support peut utiliser un identifiant de dossier et des informations techniques expurgées | Parcours limité préparé par RH et informatique, sans joindre de bulletin réel |
| Preuves à conserver | Rapport consulté, réserve, configuration choisie, vérifications et contrat correspondant | Dossier d’achat protégé ; accès limité aux personnes chargées de la décision |
La direction ne calcule pas une moyenne entre quatre réponses satisfaisantes et une lacune. L’accès aux bulletins constitue un point indispensable dans l’usage proposé. Elle conserve la conclusion sur l’hébergement, qui reste utile, tout en refusant de l’étendre artificiellement au support.
Examiner la solution proposée sans déplacer le problème
Le fournisseur ne fournit pas immédiatement un audit complémentaire. Il propose une configuration dans laquelle les agents de support n’accèdent plus aux documents depuis les tickets. La PME examine cette variante : le service doit toujours permettre aux salariés autorisés de retrouver leurs bulletins, mais le support doit pouvoir diagnostiquer une difficulté avec une référence technique et un compte d’essai.
Sur des dossiers fictifs, l’équipe constate que le téléchargement depuis le ticket est bien retiré. Elle repère cependant un second parcours : l’agent RH peut encore joindre le bulletin au message de support. L’accès n’a donc pas été supprimé de bout en bout. Le projet reste suspendu sur ce point, malgré la réussite du premier contrôle.
La configuration est reprise pour désactiver l’envoi de pièces dans ce canal. La procédure RH prévoit des exemples expurgés et l’interdiction de transmettre des bulletins par la messagerie ordinaire du support. L’équipe vérifie à nouveau le parcours avec des fichiers fictifs et documente les canaux encore possibles. Le fournisseur confirme par écrit le périmètre du support retenu et les modalités d’une éventuelle intervention exceptionnelle, à examiner avant tout accès supplémentaire.
Ces vérifications décrivent un scénario de réception, pas un test réalisé sur un produit du marché. Elles ne suffisent pas à valider toutes les garanties du fournisseur : les autres points du contrat et du traitement doivent également être satisfaits. Elles permettent ici de lever une réserve précise en modifiant l’usage réel, sans prétendre qu’un rapport devenu plus long aurait résolu le problème.
Accepter la variante ou refuser l’usage prévu
Dans ce cas, la direction autorise uniquement la configuration restreinte, une fois la réserve effectivement levée et les autres garanties examinées. La décision nomme le service, les données, la configuration, les pièces consultées et les responsables du suivi. Elle prévoit un réexamen si le fournisseur réactive les pièces jointes ou modifie les modalités de support.
Si cette réduction avait rendu le service inutilisable, la PME aurait dû obtenir une preuve adaptée au portail ou choisir une autre solution. Le besoin de respecter le calendrier de paie ne permet pas de remplacer l’Art. 28(1) par une simple acceptation commerciale du risque. Un plan de secours doit organiser la continuité avec les moyens déjà disponibles et évalués, sans transférer précipitamment les dossiers à un autre outil non examiné.
Formuler une demande de complément exploitable
Évitez de renvoyer un questionnaire entier avec la mention « incomplet ». Adressez une demande limitée à la lacune, par exemple : « Pour le portail de support utilisé dans notre commande, merci d’indiquer les personnes pouvant consulter ou télécharger les documents, les conditions de cet accès et les éléments permettant d’en vérifier la maîtrise. La synthèse reçue exclut ce portail. Une consultation sous confidentialité ou un extrait couvrant ce point peut être proposé ; merci d’en préciser le périmètre, la période et les limites. »
Fixez un interlocuteur et une date de réponse correspondant au calendrier du projet. Ce délai est une modalité de travail, pas un délai légal universel. En cas de silence, le responsable de l’achat doit connaître la conséquence : le point reste non établi et l’autorisation de mise en service n’est pas donnée. Une relance commerciale ne change pas le statut de la preuve.
Distinguer décision provisoire et autorisation de traiter
Une liste d’actions à venir n’autorise pas à commencer n’importe quel traitement. Avant la mise en service, décidez clairement si les garanties sont suffisantes dans le périmètre retenu. Les améliorations ultérieures ne doivent pas porter sur une condition indispensable laissée sans réponse.
Une fiche d’arbitrage peut retenir quatre états : preuve obtenue ; preuve équivalente acceptée et justifiée ; périmètre réduit avec mesure vérifiable ; garantie insuffisante empêchant l’usage prévu. Ajoutez pour chaque état un décisionnaire et la pièce qui le justifie.
N’utilisez pas un simple score moyen qui masquerait une lacune critique. Un fournisseur peut avoir répondu à presque toutes les questions et rester inadapté si aucune suppression n’est possible ou si les accès indispensables ne sont pas encadrés.
Réexaminer les garanties après la signature
Les preuves vieillissent lorsque le service, l’organisation ou les intervenants changent. Reliez les prochaines revues à ces événements et aux limites des pièces reçues. L’automatisation du suivi des sous-traitants peut rappeler une échéance ; l’analyse de la portée du document reste nécessaire.
Conservez dans votre dossier de conformité le tableau des garanties, les documents utiles et la décision. L’objectif est de pouvoir expliquer pourquoi le fournisseur était adapté au traitement effectivement confié.
Ce qu’il faut retenir
- Une preuve vaut pour un périmètre, une période et une garantie identifiables.
- Une modalité de consultation ou un document équivalent peut résoudre une confidentialité légitime.
- Un score global ne doit pas masquer une condition indispensable non démontrée.
- La décision doit rester reliée à l’usage réel du service.
FAQ
Une certification ISO suffit-elle à valider le fournisseur ?
Elle peut fournir des éléments utiles selon son périmètre. Elle ne démontre pas à elle seule toutes les garanties de conformité RGPD du traitement envisagé.
Le fournisseur doit-il remettre tous ses documents internes ?
Le droit à l’information et à l’audit doit permettre de vérifier les obligations applicables. Les modalités peuvent protéger les secrets et les autres clients, sans vider ce droit de son effet.
Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.
Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.