Chaîne de sous-traitance : retrouver les accès cachés

Votre contrat nomme un éditeur et son hébergeur. Pourtant, les pièces jointes transitent par un outil de support, les emails passent par une autre plateforme et les sauvegardes sont stockées ailleurs. Pour comprendre la chaîne de sous-traitance, partez des opérations réelles, puis rattachez chaque intervenant au contrat pertinent.

Une liste commerciale n’est pas une carte des traitements

L’Art. 28(2) encadre le recours à d’autres sous-traitants ; l’Art. 28(4) prévoit les obligations à leur répercuter. Ces exigences supposent de comprendre les activités effectivement confiées. L’Art. 28(3)(h) organise l’accès aux informations nécessaires pour démontrer la conformité. Source : RGPD, chapitre IV.

La qualification dépend de ce que fait chaque acteur. Un prestataire n’est pas automatiquement sous-traitant parce qu’il figure dans la comptabilité fournisseurs ; inversement, un intervenant peut traiter des données sans apparaître comme votre fournisseur direct. La CNIL rappelle que les rôles résultent des faits.

Le guide général du sous-traitant RGPD aide à qualifier la relation. La méthode ci-dessous sert à retrouver les acteurs et à vérifier le périmètre de cette qualification.

Partir d’un dossier représentatif

Choisissez une opération concrète, par exemple le dépôt puis le traitement d’une pièce jointe. Suivez son parcours : réception, stockage, consultation, diagnostic, sauvegarde et suppression. Pour chaque étape, demandez qui intervient et avec quel accès.

Exemple hypothétique. Une application conserve les pièces chez un hébergeur, mais l’équipe de support les copie parfois dans son outil de tickets pour analyser un défaut. Cartographier seulement l’hébergement manquerait cet usage. Il faut soit l’encadrer et le minimiser, soit le supprimer si le contenu n’est pas nécessaire au dépannage.

Une telle analyse est une recommandation opérationnelle : le RGPD n’impose pas de choisir un « dossier représentatif » selon un format normalisé.

Rapprocher trois sources d’information

Pour les outils de votre propre organisme, l’inventaire des applications et les achats aident aussi à repérer les services utilisés hors du processus habituel. La cartographie des traitements donne le point d’entrée métier ; elle doit être rapprochée de ces flux réels.

Ne collectez pas inutilement des dossiers clients pour prouver chaque flux. Un schéma, une configuration et un exemple fictif peuvent suffire à décrire le parcours technique.

Utiliser une fiche par intervenant et par opération

Conservez au minimum l’entité juridique, le service, la mission, les catégories de données, les accès possibles, les lieux de traitement connus, le lien contractuel et le statut d’autorisation. Ajoutez la date de vérification et la source de l’information.

Séparez les faits confirmés des questions ouvertes. « Hébergement UE » ne répond pas à la question des équipes pouvant accéder au contenu depuis d’autres lieux. « Données techniques » ne signifie pas non plus automatiquement absence de données personnelles.

Pour les acteurs qui traitent certaines données pour une finalité propre, prévoyez une ligne séparée. Les règles de sous-traitance ne doivent pas masquer un traitement autonome. La CNIL explique cette distinction dans ses bonnes pratiques entre responsable et sous-traitant.

Jusqu’où descendre dans la chaîne ?

Il ne suffit pas de connaître le prestataire qui vous facture. Dans son avis 22/2024, points 31–32, le CEPD considère que l’identité de tous les sous-traitants de la chaîne doit être disponible et tenue à jour, quel que soit le risque du traitement. Un hébergeur recruté par votre éditeur peut lui-même faire intervenir une autre entité : le niveau supplémentaire ne rend pas celle-ci invisible juridiquement. Avis du CEPD, texte adopté.

Cette connaissance n’impose pas de demander systématiquement une copie de chaque contrat aval. Le point 69 du même avis prévoit une appréciation au cas par cas et des vérifications par échantillonnage dans le cadre des audits. Distinguez donc l’inventaire complet des identités et l’intensité des contrôles de garanties. La faible criticité d’un service ne justifie pas une liste d’acteurs incomplète ; une simple liste de noms ne démontre pas non plus que leurs garanties suffisent.

Cartographie remplie d’un service après-vente

Dossier hypothétique. La société française Mobilier Aulne traite les demandes de réparation dans l’application Atelier SAV, fournie par Éditeur A. Les noms et références ci-dessous sont fictifs. Aulne a un contrat direct avec A ; A utilise Hébergeur B, Messagerie C et Assistance D. B confie une copie de sauvegarde à Stockage E. Une photo de meuble jointe par un client peut aussi montrer une personne ou contenir des métadonnées identifiantes : l’équipe ne classe donc pas systématiquement ces pièces comme non personnelles.

La cartographie ne contient pas cinq fiches interchangeables intitulées « informatique ». Elle distingue les opérations :

Pour chaque ligne, le dossier joint les coordonnées et le contact de l’entité, la localisation connue des stockages, les pays d’accès, la preuve examinée et sa date. Ces informations détaillées restent dans l’annexe de travail ; le tableau synthétique permet de comprendre les liens. Le nom commercial d’un produit ne remplace pas le nom de la personne morale qui l’exploite.

Lire les flèches contractuelles correctement

Aulne donne ses instructions à A. Elle n’a pas, dans ce dossier, à transformer B, C, D et E en fournisseurs contractuels directs. A doit encadrer les activités confiées en aval conformément à l’Art. 28(4) ; il reste responsable envers Aulne de l’exécution des obligations du sous-traitant ultérieur. La carte doit montrer qui recrute qui, afin que les demandes de preuve et les instructions suivent une chaîne identifiable.

L’autorisation n’est pas une case déduite de la présence du nom sur une page web. Dans le dossier hypothétique, le contrat A-01 comporte une autorisation générale écrite avec information préalable des ajouts et remplacements. La personne chargée de la conformité rapproche la version de la liste, l’annonce reçue et le service effectivement activé. Si une autorisation spécifique était prévue, il faudrait retrouver la décision correspondant à l’acteur concerné. Ces deux mécanismes viennent de l’Art. 28(2), pas du format choisi pour la carte. Texte applicable.

Séparer stockage, accès et finalité propre

Le contrat indique un stockage en France pour SAV-02 et SAV-05. Cela ne règle pas à lui seul les accès au support. La ligne SAV-04 conserve donc une question distincte sur les pays depuis lesquels D intervient. Tant que cette information manque, Aulne ne coche pas « aucun transfert » pour tout le service.

Les orientations CNIL du 28 mai 2026 distinguent fourniture du service, amélioration et sécurité du cloud. La qualification doit porter sur chaque opération : elle ne peut pas être attribuée une fois pour toutes à toute une entreprise. Analyse CNIL des rôles dans le cloud.

Si A souhaite réutiliser les tickets pour un objectif qu’il définit pour son propre compte, cette activité doit être examinée séparément. Ajouter « amélioration » à la colonne mission ne suffit pas à la rendre couverte par les instructions SAV. Il faut notamment analyser sa licéité, les données nécessaires et l’information des personnes. La ligne SAV-06 illustre déjà pourquoi un même acteur peut apparaître sous plusieurs qualifications, sans contradiction.

Obtenir une réponse exploitable du fournisseur

Voici une demande rédigée pour le dossier Aulne :

Notre revue du service Atelier SAV couvre l’hébergement, les emails de service, le diagnostic et les sauvegardes. Merci de confirmer les entités intervenant sur ces opérations, y compris celles recrutées par vos propres prestataires. Pour SAV-04, précisez les données accessibles à Assistance D et les pays d’accès. Pour SAV-05, confirmez le lien entre Hébergeur B et Stockage E et la procédure applicable aux copies lors de la fin du service. Merci de distinguer les fonctions actives pour notre compte des options non utilisées.

Cette demande resserrée permet une réponse utile. Un renvoi à une liste mondiale de fournisseurs ne lève pas, à lui seul, l’incertitude sur les options d’Aulne. À l’inverse, une demande de tous les dossiers d’audit de tous les acteurs sans périmètre peut noyer la question essentielle.

Dans le dossier hypothétique, A confirme les cinq intervenants et le stockage des sauvegardes, mais ne justifie pas encore les pays d’accès de D. Aulne maintient le diagnostic sur des exemples entièrement fictifs, sans lui communiquer les dossiers réels, pendant l’instruction de ce point. Le responsable du contrat conserve une action ouverte et une date de réponse demandée. Si le dépannage nécessite finalement des données clients, ce circuit n’est activé qu’après qualification et encadrement appropriés ; la carte ne sert pas à régulariser silencieusement une incertitude.

Transformer les écarts en décisions

Un acteur découvert peut correspondre à quatre situations : documentation incomplète ; activité modifiée ; prestataire non autorisé selon le régime applicable ; qualification erronée. La réponse doit suivre le problème réel.

Faites préciser le périmètre avant d’exiger un nouvel avenant standard. Si l’acteur n’accède qu’à des données véritablement anonymes, documentez cette conclusion. Si un traitement personnel existe, vérifiez les garanties, le contrat, l’autorisation et les transferts éventuels. Le guide sur les transferts hors UE complète cette dernière analyse.

Attribuez chaque question ouverte à un interlocuteur et une échéance. Une liste de prestataires toujours « en cours de confirmation » ne permet pas de piloter les traitements.

Maintenir la carte lors des changements

Définissez les événements qui déclenchent la revue : activation d’une option, nouveau canal de support, changement d’hébergeur, intégration, acquisition ou incident. Comparez l’annonce du fournisseur avec votre périmètre effectivement utilisé.

Le résultat doit alimenter l’évaluation des garanties du prestataire, les instructions et les fiches concernées. Évitez une carte très détaillée qui ne serait reliée à aucune décision de conformité.

Ce qu’il faut retenir

• Suivez les opérations et les accès réels, au-delà de la liste commerciale.
• Rapprochez contrats, architecture et pratiques des équipes.
• Qualifiez séparément les activités réalisées pour le client et celles menées pour une finalité propre.
• Une question ouverte doit déboucher sur une vérification, une mesure ou une décision.

FAQ

Tout fournisseur informatique est-il un sous-traitant ?

Non. Il faut qu’il traite des données personnelles pour le compte du responsable ; une simple relation commerciale ne suffit pas.

Faut-il refaire toute la carte à chaque annonce ?

Une revue ciblée du changement peut suffire si le périmètre existant reste fiable. Elle doit néanmoins vérifier les conséquences sur les données, accès, acteurs et pays concernés.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.