Sous-traitant ultérieur : formuler une objection

Votre fournisseur annonce qu’un nouveau prestataire prendra en charge le support de sa plateforme. Le message vous laisse quelques semaines pour objecter, mais ne précise ni les accès ni les lieux d’intervention. L’enjeu est de déterminer ce qui change pour vos données et d’obtenir une solution avant l’activation annoncée.

Identifier le régime d’autorisation prévu au contrat

L’Art. 28(2) exige une autorisation écrite préalable du responsable de traitement pour recourir à un autre sous-traitant. Elle peut être spécifique ou générale. Dans le second cas, le prestataire doit informer le responsable de tout ajout ou remplacement prévu, afin de lui permettre d’émettre des objections. Source : RGPD, Art. 28(2).

Il n’existe pas de délai légal uniforme de trente jours. Vérifiez le délai contractuel, le canal prévu pour l’annonce, son point de départ et le traitement du désaccord. L’autorisation spécifique appelle une décision préalable sur le prestataire concerné ; elle ne se remplace pas par un simple mécanisme d’opposition a posteriori.

Les exemples de clauses publiés par la CNIL distinguent les deux options et prévoient de préciser le délai. Ce sont des exemples contractuels à adapter, pas une règle fixant partout le même nombre de jours.

Décrire le changement avant de porter un jugement

Ne vous limitez pas au nom commercial du nouvel acteur. Une société peut fournir plusieurs services et faire intervenir plusieurs entités. Préparez une fiche de changement.

Pour rendre la fiche concrète, prenons un dossier entièrement fictif : la société cliente Atelier Mistral utilise un logiciel de dossiers d’intervention. Le fournisseur annonce, le 10 septembre, un nouveau support technique à compter du 1er octobre. Le contrat prévoit ici une autorisation générale et une objection par le canal contractuel avant le 25 septembre. Ces dates appartiennent à l’exemple ; elles ne définissent pas un préavis légal.

Pour une analyse régulière des fournisseurs, rattachez cette fiche au questionnaire de sous-traitance. Ici, le travail porte sur le changement précis, pas sur la répétition complète de l’audit initial.

Distinguer demande d’information et objection

Une question technique n’exprime pas toujours une opposition. Si le délai contractuel approche et que les éléments essentiels manquent, envoyez une communication explicite : précisez ce qui empêche l’évaluation, la conséquence sur votre position et la solution recherchée.

Une objection utile s’appuie sur un risque ou une incompatibilité identifiable : nouvelle catégorie de données accessible, absence d’information sur les transferts, garantie annoncée mais non démontrée, ou traitement non conforme aux instructions données. Évitez de présenter comme acquis un manquement dont vous n’avez pas encore les éléments.

L’Art. 28(1) impose de recourir à des sous-traitants présentant des garanties suffisantes. L’Art. 28(4) encadre la transmission des obligations au sous-traitant ultérieur et la responsabilité du premier prestataire envers son client. Ces exigences justifient un examen réel de la chaîne ; elles ne signifient pas que chaque client doit refaire lui-même tous les contrôles techniques de tous les acteurs. Source : Art. 28(1) et 28(4) du RGPD.

Exemple d’objection motivée

Dans ce dossier hypothétique, la communication suivante doit être complétée par la référence exacte du compte et de la clause contractuelle :

Nous avons reçu votre annonce du 10 septembre concernant l’ajout d’un prestataire de support. Nous formulons une objection à son intervention sur les données de notre compte dans le périmètre actuellement décrit. L’annonce ne précise pas les pays d’accès, les catégories de données consultables ni le dispositif permettant de limiter les accès aux dossiers concernés par une demande de support. Nous demandons ces éléments et la confirmation des mesures prévues pendant l’examen de notre objection. Notre objectif est de déterminer si une intervention sans accès au contenu, ou un autre dispositif documenté, permet de résoudre ces points avant le 1er octobre. Dans l’intervalle, nous demandons le maintien de l’ancienne équipe pour notre compte et une confirmation écrite de cette organisation.

Ce courrier identifie le changement, les lacunes et les solutions possibles. Dans votre dossier réel, ajoutez les références du contrat et de sa procédure d’objection. Une demande de suspension ne prouve pas que la suspension a été acceptée : obtenez une réponse claire du fournisseur.

Examiner les solutions possibles

Une objection peut être résolue autrement que par la rupture immédiate. Selon l’architecture et le contrat, les parties peuvent convenir de limiter le périmètre de données, de désactiver une fonctionnalité, de réserver l’accès à certaines équipes, de compléter les garanties ou de proposer un autre service.

Si un accès depuis un pays tiers est prévu, sa licéité doit être examinée au titre du chapitre V du RGPD. Une autorisation de sous-traitance ne remplace pas l’encadrement d’un transfert de données hors UE.

Documentez les options et leurs limites. Une promesse commerciale « aucune donnée sensible ne sera utilisée » est trop vague si l’outil permet techniquement au support d’ouvrir tout dossier. La solution retenue doit correspondre aux accès et opérations effectivement possibles.

Comparer une réponse vague et une résolution suffisante

« Notre nouveau partenaire respecte le RGPD » ne répond pas à l’objection du dossier. Cette affirmation ne permet de connaître ni son rôle ni les pays d’accès. Une certification ou un engagement de confidentialité peut être utile, mais ne remplace pas les informations qui manquent sur l’opération effectivement prévue.

Dans l’exemple, une réponse exploitable distingue les deux sujets : le fournisseur confirme d’abord que l’ancien circuit demeure seul actif pour Atelier Mistral jusqu’à résolution ; il remet ensuite l’identité du nouvel acteur, les pays où ses équipes interviennent, les catégories de données accessibles et les restrictions applicables. Le client conserve ces documents avec la version de l’annonce. Ces éléments sont des hypothèses pédagogiques, pas une vérification réalisée auprès d’un fournisseur réel.

L’analyse peut alors aboutir à un accord limité plutôt qu’à un oui général. Supposons que la solution retenue réserve au nouveau support un environnement de reproduction utilisant des données fictives. Les journaux qui lui sont transmis sont préparés sans données des clients ; les identifiants professionnels nécessaires à la gestion du ticket restent, eux, des données personnelles dont le traitement doit être encadré. L’absence de dossier client ne signifie donc pas absence de tout traitement RGPD.

La décision consignée est : « Objection levée pour le circuit de reproduction décrit dans l’annexe révisée ; accès aux dossiers réels et à leurs copies exclu. Toute modification de ce périmètre appelle un nouvel examen selon la procédure applicable. » Le fournisseur doit confirmer que cette restriction est effectivement mise en œuvre avant l’activation. Une option commerciale promise, mais non disponible sur le compte, ne permet pas de clôturer le point technique.

Si un ticket ne peut être résolu sans une pièce réelle, l’équipe ne contourne pas la décision en l’envoyant par courriel au nouveau support. Elle revient au circuit autorisé ou fait examiner un périmètre différent avant transmission. Cette limite donne un effet concret à l’objection ; elle évite qu’une exception informelle vide l’accord de son contenu.

Relire la clause pour le prochain changement

Deux formulations peuvent paraître proches : « Le fournisseur met sa liste à jour » et « Le fournisseur informe le client des ajouts ou remplacements prévus afin qu’il puisse objecter ». La seconde décrit l’obligation de l’Art. 28(2) ; la première, prise isolément, ne précise ni l’information préalable ni l’exercice effectif de l’objection.

La clause doit permettre d’identifier les destinataires de l’annonce, les informations communiquées, le délai retenu et le sort d’une objection non résolue. Si un abonnement aux annonces est prévu, désignez qui le maintient et qui prend le relais en cas de départ. Une adresse obsolète est un risque de fonctionnement à corriger ; elle ne démontre pas à elle seule que le fournisseur était dispensé d’informer son client.

Ne présumez pas qu’une demande de renseignements suspend automatiquement un délai contractuel. Demandez une confirmation de son aménagement si nécessaire et exprimez clairement votre position dans le délai prévu. À l’inverse, une clause ne peut réduire l’autorisation préalable à un mécanisme sans possibilité réelle d’examen. L’analyse doit tenir compte du texte signé et de la manière dont il est appliqué.

Que faire lorsque le désaccord persiste ?

Le RGPD ne fixe pas une conséquence contractuelle unique pour chaque objection. Vérifiez les mécanismes convenus, les obligations de chaque partie et les moyens de continuer le traitement légalement. Le fournisseur ne peut pas traiter la procédure d’information comme une formalité vide ; le client doit lui aussi décider comment protéger les données si les garanties restent insuffisantes.

Préparez, si nécessaire, une réduction du périmètre ou une sortie de service, en tenant compte de la continuité, de la restitution et de la suppression. Le guide sur les obligations de l’éditeur SaaS éclaire le rôle du fournisseur dans cette phase.

Conservez enfin l’annonce, vos questions, l’objection, les réponses et la décision finale. Une surveillance automatisée des changements peut aider à ne pas manquer les annonces ; elle ne tranche pas leur acceptabilité. C’est la limite à garder en tête dans l’automatisation du suivi des sous-traitants.

Ce qu’il faut retenir

• Autorisation générale et autorisation spécifique ne suivent pas la même procédure.
• Le RGPD n’impose pas un délai uniforme de trente jours pour objecter.
• Une objection doit préciser le changement, les risques ou informations manquantes et la solution recherchée.
• La résolution doit être documentée ; les transferts éventuels exigent une analyse distincte.

FAQ

Une simple mise à jour de la liste des prestataires suffit-elle ?

La procédure doit assurer l’information sur les changements prévus et permettre une objection effective. Examinez le contrat et la manière dont le client reçoit effectivement l’annonce, sans présumer qu’une page modifiée silencieusement remplit toujours ces conditions.

Une objection impose-t-elle automatiquement la résiliation ?

Non, le RGPD ne prévoit pas cette conséquence unique. Les solutions dépendent du contrat et de la possibilité de poursuivre le service avec des garanties suffisantes.

Peut-on objecter faute d’informations ?

Il faut expliquer quelles informations essentielles manquent et pourquoi elles empêchent l’évaluation. La position exprimée doit être précise et suivie d’une demande de résolution, plutôt que d’une accusation non étayée.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.