Certification RGPD des sous-traitants

Sommaire

Dans le cadre de sa stratégie d’accompagnement des acteurs économiques, la CNIL a publié un projet de référentiel d’évaluation pour la certification RGPD des sous-traitants. Ce projet, ouvert à consultation publique jusqu’au 28 février 2025, vise à doter les professionnels d’un outil fiable pour attester de leur niveau de conformité.

A lire aussi sur DPO PARTAGE

Pourquoi la vérification d’âge par l’appareil pourrait devenir le nouveau standard de protection des mineurs

Quelle posture adopter face aux incidents de sécurité et aux violations de données ?

Vers la reconnaissance du DPO suppléant : une nécessité pour la continuité de la conformité

En tant qu’expert RGPD reconnu, nous invitons les entreprises à anticiper dès aujourd’hui cette nouvelle réglementation en réalisant un audit blanc de préparation à la certification.

Pourquoi cette certification RGPD est stratégique pour les sous-traitants

L’article 28 du RGPD impose aux responsables de traitement de ne faire appel qu’à des sous-traitants apportant des « garanties suffisantes » en matière de sécurité et de respect des droits des personnes. La certification permettra donc aux prestataires de formaliser ces garanties et de se distinguer de la concurrence.

Les clients exigent de plus en plus la preuve documentée de la conformité de leurs prestataires. Cette certification devient donc un avantage compétitif et un argument commercial fort.

Entreprises concernées : plus nombreuses que vous ne le pensez

Sont concernés, par la Certification RGPD des sous-traitants, tous les prestataires traitant des données personnelles pour le compte de leurs clients. Voici quelques exemples concrets par secteur et codes APE :

ESN / SSII (Code APE 6202A) : développement, intégration, infogérance
Hébergeurs web (Code APE 6311Z) : stockage de données
Agences marketing / CRM (Code APE 7311Z) : e-mailing, analyse comportementale
Sociétés de téléassistance ou call centers (Code APE 8220Z) : accès aux fichiers clients
Prestataires de paie / RH externalisée (Code APE 7830Z)
Startups proposant des SaaS (Codes APE 6201Z ou 5829C)
Sociétés de maintenance informatique (Code APE 9511Z)

Certification RGPD des sous-traitants : Les critères du référentiel de certification

Le référentiel soumis à consultation comporte 90 critères, regroupés selon 5 axes majeurs :

Contractualisation : clause RGPD obligatoire, clauses sur la sous-traitance ultérieure, obligations du responsable
Sécurité de l’environnement : ségrégation des données, journalisation, traçabilité, gestion des habilitations
Exécution du traitement : limitation des accès, anonymisation, respect des durées de conservation, droit d’accès, rectification, portabilité
Fin de traitement : réversibilité, suppression ou restitution des données
Plan d’amélioration continue : évaluation des risques, plan de formation, audits internes

L’évaluation, Certification RGPD des sous-traitants, sera conduite par un organisme certificateur accédité, sur une durée de 3 ans renouvelable.

Certification RGPD des sous-traitants : Étapes de l’audit blanc RGPD (pré-certification sous-traitants)

Partie 0 – Vérification de l’éligibilité

Identification du demandeur, de ses sites, des traitements concernés et des facteurs de risques.
Revue de la cartographie des flux de données personnelles (entrants, sortants, internes).
Vérification du respect de la réglementation applicable (RGPD et lois nationales complémentaires).
Évaluation de la séparation des SI internes et ceux dédiés à la sous-traitance.

Partie 1 – Contrôle des engagements contractuels

Vérification de la présence de tous les éléments obligatoires dans les contrats (art. 28.3 RGPD).
Revue des clauses de transferts hors UE, de sous-traitance ultérieure, d’assistance (AIPD, violations, droits).
Analyse de la documentation de conformité mise à disposition du client.
Analyse des modalités d’audit prévues et de l’information sur les mesures de sécurité mises en œuvre.

Partie 2 – Préparation du traitement

Vérification du registre des traitements sous-traités et désignation du DPO.
Vérification des analyses d’impact (AIPD) et des analyses de risques.
Revue des politiques de sécurité documentées (conformité avec l’annexe C32).
Vérification de la procédure de gestion des incidents de sécurité et de l’exercice des droits.

Partie Mise en œuvre des traitements

Vérification de la réception et de la formalisation des instructions du client.
Revue de l’application effective des mesures de sécurité et de la conformité des actions du personnel.
Contrôle de la tenue d’un registre des incidents.
Vérification de la mise en œuvre des audits techniques (tests d’intrusion, audits de code, etc.).

Partie 4 – Fin du traitement

Vérification de la documentation des procédures de fin de contrat :
- Renvoi des données (cryptage, authentification, traçabilité).
- Suppression définitive (écrasement logique ou destruction des clés de chiffrement).
- Archivage conforme aux obligations légales.
- Confirmation au client de la suppression effective.

Partie 5 – Plans d’amélioration

Présence et qualité du plan d’action sécurité triennal (mises à jour, corrections, remédiations).
Présence d’un plan d’évaluation des sous-traitants ultérieurs (au moins un contrôle renforcé annuel).
Existence d’un plan d’amélioration continue basé sur les retours clients et incidents internes.
Suivi d’une veille RGPD et cybersécurité documentée, avec impact sur la mise à jour des procédures.

Vérifications techniques (Annexe C32 du référentiel)

Gestion des habilitations, permissions, mots de passe, authentifications (dont MFA).
Journalisation, sauvegardes, reprise d’activité (PRA), chiffrement, anonymisation.
Sécurité des postes de travail, équipements mobiles, supports amovibles.
Accès distant sécurisé (VPN, authentification forte).
Maintenance et audits réguliers (tests d’intrusion obligatoires chaque année).

Livrables remis à l’issue de l’audit blanc :

Rapport d’audit détaillé avec scoring par critère.
Cartographie des risques et traitement par criticité.
Fiches d’écart par critère non conforme.
Recommandations techniques, organisationnelles, contractuelles.
Plan d’actions priorisé.
Simulation d’un audit de certification.

Pourquoi faire appel à un expert RGPD pour cet audit

Réaliser un audit blanc vous évite des écueils coûteux : une mauvaise lecture des critères, une interprétation hasardeuse du rôle de sous-traitant, une mauvaise appréciation des risques réels. Un accompagnement sur mesure permet d’anticiper les attentes de l’organisme certificateur.

Nos experts sont formés aux standards de la CNIL, à la jurisprudence RGPD, et aux attentes sectorielles (santé, assurance, BTP, SaaS, etc.).

Une démarche valorisante à intégrer dans votre stratégie commerciale

Obtenir la certification RGPD ou démontrer que vous êtes engagé dans cette démarche, c’est :

Montrer votre fiabilité à vos prospects et clients
Réduire les freins à la signature de contrat (sécurité juridique)
Améliorer votre notation dans les appels d’offres
Anticiper les obligations futures imposées par les donneurs d’ordre européens

Certification RGPD des sous-traitants : Prêt à faire le point gratuitement ?

Bénéficiez d’un pré-diagnostic offert en remplissant le formulaire ci-dessous. Nous vous rappellerons pour évaluer ensemble votre situation et vous proposer un accompagnement personnalisé.