Sous-agence marketing : cartographier les accès

Une agence marketing peut faire intervenir une sous-agence ou un indépendant, mais elle ne peut pas leur ouvrir librement votre fichier de contacts. Lorsque l’agence traite ces données pour votre compte, le recours à un autre sous-traitant exige une autorisation écrite préalable, spécifique ou générale. Le bon contrôle porte sur les données effectivement accessibles, les opérations confiées et les sociétés qui les réalisent, pas seulement sur les noms figurant au devis.

Avant la campagne, obtenez une carte de ce circuit et rapprochez-la des comptes ouverts. Un studio chargé de dessiner une bannière peut travailler sans liste de destinataires. Le technicien qui importe cette liste traite, lui, des données personnelles, même si son intervention dure une heure et ne produit aucun fichier final.

Partir du travail confié, pas du titre du prestataire

L’annonceur fixe généralement l’objectif de sa campagne et les personnes qu’il souhaite solliciter. L’agence peut préparer et exécuter cette campagne sur ses instructions. Dans cette hypothèse, elle est sous-traitante pour les opérations concernées. Le studio, l’intégrateur ou la plateforme qu’elle engage ensuite peuvent être ses sous-traitants ultérieurs.

Cette description ne vaut pas qualification automatique. Une agence qui réutilise les contacts pour ses propres offres, enrichit une base commune entre clients ou détermine une autre finalité sort de la simple exécution décrite. Il faut analyser cet usage distinct, son fondement et l’information correspondante. Une clause disant « partenaire technique » ne le régularise pas : Art. 4(7)-(8) et 28(10) du RGPD.

De même, une plateforme contractée directement par l’annonceur n’est pas nécessairement un sous-traitant de l’agence. Le chemin contractuel et le chemin d’accès doivent tous deux être représentés. Le guide sur l’agence emailing et les preuves de consentement traite le dossier de preuve ; ici, l’enjeu est de déterminer qui peut le consulter et pour quelle mission.

Une campagne fictive, quatre besoins différents

L’entreprise fictive Méridienne confie une newsletter à l’agence Courant. Courant emploie une cheffe de projet, engage le studio Trait pour la création et l’intégrateur Relais pour préparer l’envoi. L’annonceur utilise une plateforme d’emailing avec laquelle il a directement contracté. Aucun de ces noms ne désigne un service réellement examiné ou testé.

La campagne demande un visuel commun, une personnalisation par prénom et un bilan agrégé. Le fichier peut donc être divisé par besoin. Trait reçoit le texte, les dimensions et des prénoms entièrement inventés pour la maquette. Il n’a pas besoin du fichier commercial. Relais doit connaître les champs autorisés et importer le segment approuvé ; cela ne lui donne pas accès aux commandes détaillées.

Cette matrice ne prouve pas encore que les accès sont correctement configurés. Elle constitue la spécification à comparer avec les permissions disponibles. Si l’outil ne permet pas de limiter Relais comme prévu, l’annonceur choisit une autre organisation : import réalisé en interne, autre profil adapté ou autre solution. Il ne remplace pas silencieusement « importer le segment » par « administrer tous les contacts ».

Autorisation générale et autorisation spécifique

L’Art. 28(2) exige une autorisation écrite préalable avant le recrutement d’un autre sous-traitant. Avec une autorisation spécifique, l’agence demande l’accord correspondant au prestataire proposé. Avec une autorisation générale, elle doit informer le responsable des ajouts ou remplacements envisagés et lui permettre de s’y opposer : texte de l’Art. 28(2).

La seconde formule ne signifie donc pas « tous les fournisseurs présents et futurs, sans information ». Le contrat organise un canal réellement suivi, les renseignements transmis et un délai permettant un examen utile avant l’intervention. Le RGPD ne fixe pas ici un nombre universel de jours à recopier dans toutes les conventions.

Dans le cas Méridienne, Relais prépare l’import de données personnelles pour le compte de l’annonceur : son intervention doit être couverte. Trait réalise la maquette sans données des destinataires ; il n’a pas besoin de cet accès. Cela n’exclut pas que Courant traite par ailleurs les coordonnées professionnelles des interlocuteurs de Trait pour gérer sa prestation.

Une objection doit être traitée concrètement : préciser la difficulté, obtenir les garanties manquantes ou convenir d’une autre organisation. Tant que la condition nécessaire n’est pas satisfaite, l’intervention concernée ne commence pas sur les données. Les conséquences contractuelles d’un désaccord persistant doivent être examinées ; l’Art. 28(2) n’accorde pas à lui seul un droit universel à une solution gratuite de remplacement.

Le dossier à obtenir de l’agence

Une liste générale de tous les fournisseurs du groupe n’indique pas lesquels interviennent sur votre campagne. Demandez l’identité de chaque organisme concerné, sa mission, les données accessibles, les lieux pertinents de traitement et les autres intervenants qu’il mobilise pour votre compte. La cartographie de la chaîne de sous-traitance permet de conserver ces relations au-delà d’un seul niveau.

Dans son avis 22/2024, points 31–32, le CEPD considère que l’identité de tous les sous-traitants de la chaîne doit être disponible et tenue à jour, quel que soit le risque. Il distingue ce besoin de la collecte systématique de tous leurs contrats : au point 69, il demande une appréciation des vérifications nécessaires selon les circonstances. Voir l’avis adopté.

L’absence de copie d’un contrat aval ne dispense pas l’agence de son encadrement. L’Art. 28(4) impose de répercuter les obligations pertinentes et maintient la responsabilité du sous-traitant initial envers le responsable pour leur exécution. L’analyse de l’article 28 aide à compléter les clauses sur les instructions, la confidentialité, les droits, les incidents et la fin de prestation.

Un point reste inconnu, par exemple le pays depuis lequel une assistance externe peut accéder aux contacts ? Inscrivez « non déterminé », demandez une réponse et laissez cet accès fermé. Un hébergement annoncé dans l’Union ne répond pas à lui seul à la question des accès d’une autre société depuis un pays tiers. Les transferts éventuels doivent aussi satisfaire au chapitre V du RGPD, selon le circuit réel.

Rapprocher le document des permissions

La CNIL recommande des profils limités aux tâches, une validation des habilitations et leur suppression lorsqu’elles ne sont plus justifiées. Elle attire également l’attention sur les comptes partagés et les autorisations temporaires oubliées : fiche sur les habilitations. Ces précautions concrétisent la sécurité adaptée aux risques prévue par l’Art. 32(1).

Pour Méridienne, le responsable du projet demande à l’administrateur de comparer la matrice aux utilisateurs, aux droits d’export et aux liens de partage. Une invitation adressée à Courant ne doit pas pouvoir être librement transmise à un intervenant non couvert. Un compte de service utilisé pour une synchronisation doit avoir un propriétaire identifié et des permissions limitées, même s’il ne correspond pas à un salarié connecté.

La recette proposée consiste à employer des fiches fictives et des comptes représentatifs des profils. Le studio doit pouvoir ouvrir la maquette sans trouver les contacts. Relais doit pouvoir préparer l’import autorisé sans accéder à une autre campagne. La cheffe de projet doit retrouver les validations nécessaires. Ces résultats sont attendus ; ils ne décrivent pas un essai réellement réalisé.

Les documents transmis hors plateforme restent dans le périmètre. Un compte CRM bien limité ne protège pas un tableur envoyé dans une messagerie privée. Pour ce circuit, appliquez une procédure d’export et de partage sécurisé précisant destinataire, durée d’accès et sort de la copie.

Changement d’équipe, incident et fin de mission

Quand Relais remplace son intervenant, examinez ce qui change réellement. Un salarié supplémentaire du même organisme n’est pas automatiquement un nouveau sous-traitant ; ses habilitations et sa confidentialité doivent néanmoins être encadrées. Une autre société exécutant la mission soulève, elle, la question de l’autorisation et du contrat. Gardez la version de la carte qui correspond à la campagne, avec une conservation justifiée.

Si des données ont déjà été rendues accessibles sans autorisation, fermer le lien ne suffit pas. Recherchez le périmètre, les consultations possibles, les copies et les mesures de confinement. Le sous-traitant informe le responsable dans les meilleurs délais après avoir pris connaissance d’une violation. Le responsable apprécie ensuite ses propres obligations de notification et d’information : Art. 33(1)-(2) et 34(1).

À la fin de la prestation, retirez les accès devenus inutiles et appliquez le choix de restitution ou de suppression prévu par l’Art. 28(3)(g), sous réserve des obligations légales de conservation. Le compte désactivé et le fichier supprimé constituent deux opérations différentes. Demandez une confirmation qui couvre les copies pertinentes, sans conserver tout le fichier commercial uniquement pour prouver sa destruction.

Ce qu’il faut retenir

• Décrivez le rôle et les accès de chaque intervenant effectif.
• Encadrez les sous-traitants ultérieurs avant leur intervention.
• Confrontez la carte aux comptes, exports et liens réels.
• Traitez les changements et la sortie de mission sans oublier les copies.

FAQ

Un engagement de confidentialité suffit-il pour l’indépendant ?

Non. La confidentialité est une exigence parmi d’autres. Si l’indépendant agit comme sous-traitant ultérieur, son intervention doit aussi respecter l’autorisation, les instructions, la sécurité et l’encadrement contractuel applicables.

Peut-on transmettre une copie pour résoudre un problème technique ?

Seulement si cet accès est justifié et encadré. Commencez par des exemples inventés ou une description du problème ; si des données réelles restent nécessaires, limitez-les et utilisez le circuit autorisé. Une urgence commerciale ne dispense pas de cet examen.

La carte doit-elle contenir le nom de chaque salarié ?

La carte des organismes et la liste des habilitations individuelles ont des fonctions différentes. Reliez-les sans diffuser inutilement toutes les informations du personnel. Le responsable doit pouvoir identifier les organismes concernés et faire contrôler les accès effectifs.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.