Le 1er octobre 2026, la CNIL a renouvelé pour cinq ans l’agrément de Bureau Veritas Italia comme organisme de contrôle du code de conduite CISPE (délibération n° 2026-107, publiée le 7 octobre). Ce code européen, porté par l’association des fournisseurs d’infrastructure cloud, vise les hébergeurs qui agissent comme sous-traitants au sens du RGPD. Beaucoup d’offres d’hébergement affichent ce label. Reste à savoir ce qu’un responsable de traitement peut en tirer quand il choisit un prestataire.
Le mécanisme du code de conduite CISPE
Le RGPD permet à des associations professionnelles d’élaborer des codes de conduite (article 40). Une autorité de contrôle les approuve, et un organisme indépendant agréé vérifie que les adhérents les respectent (article 41). La CNIL a approuvé le code CISPE le 3 juin 2021 et en est l’autorité compétente. Elle a agréé Bureau Veritas Italia comme organisme de contrôle le 7 octobre 2021, pour cinq ans.
La société a demandé le renouvellement le 16 septembre 2026. La CNIL a réexaminé son éligibilité au regard de son référentiel d’agrément de 2020 et a délivré un nouvel agrément. Elle rappelle qu’il peut être révoqué si les exigences ne sont plus respectées (article 41.5 du RGPD). Sans organisme de contrôle agréé, un code de conduite ne peut pas fonctionner : le renouvellement maintient donc la valeur des déclarations d’adhésion des hébergeurs.
Ce que l’adhésion prouve pour le responsable de traitement
L’article 28 impose de ne recourir qu’à des sous-traitants qui présentent des garanties suffisantes. Le paragraphe 5 du même article précise que l’adhésion à un code de conduite approuvé peut servir d’élément pour démontrer ces garanties. Ce n’est qu’un élément de preuve. L’adhésion d’un hébergeur au code CISPE facilite la diligence du client, sans l’en dispenser.
Une adhésion contrôlée apporte au client un engagement écrit sur les obligations du sous-traitant, un audit par un tiers indépendant et un registre public des services déclarés conformes. Pour une collectivité ou un établissement qui n’a pas les moyens d’auditer lui-même un fournisseur de cloud, c’est un appui réel.
Ce que l’adhésion ne couvre pas
Je vois régulièrement des dossiers où le label sert de réponse unique au questionnaire sous-traitant, alors que le client garde la main sur des vérifications que le code ne fait pas à sa place.
- Le périmètre : l’adhésion porte sur des services précis, inscrits au registre public du code. Le service effectivement souscrit doit y figurer.
- Le contrat : l’article 28 exige un contrat ou un autre acte écrit avec des clauses obligatoires. Le code ne le remplace pas.
- Les transferts : la localisation des données, les accès depuis des pays tiers et l’exposition à des lois extraterritoriales relèvent d’une analyse distincte (chapitre V du RGPD).
- Les données de santé : en France, leur hébergement suppose un hébergeur certifié HDS, exigence que le code CISPE ne traite pas.
- La configuration : l’hébergeur fournit l’infrastructure, le client reste responsable de ce qu’il y installe, des droits d’accès et de la journalisation.
Comment l’utiliser dans un audit sous-traitant
Dans la fiche sous-traitant du registre, l’adhésion au code de conduite CISPE se documente comme une preuve : nom du service, date d’inscription au registre public, organisme de contrôle, date du dernier contrôle. Le dossier doit aussi contenir le contrat de sous-traitance, la liste des sous-traitants ultérieurs et l’analyse des transferts. Pour un hébergement de données de santé, il faut y ajouter le certificat HDS en cours de validité.
Un rythme annuel suffit en général : vérifier que le service figure toujours au registre, que l’agrément de l’organisme de contrôle est valide (il vient d’être renouvelé jusqu’en 2031), et qu’aucun changement de sous-traitant ultérieur n’est intervenu.
Code de conduite CISPE et certifications
Le RGPD prévoit aussi des mécanismes de certification (articles 42 et 43). Les deux peuvent servir d’éléments de preuve au titre de l’article 28. Un code de conduite fixe des règles sectorielles que l’adhérent s’engage à respecter, sous le contrôle d’un organisme agréé. Une certification atteste qu’un traitement ou un service répond à un référentiel donné, après évaluation par un organisme certificateur. Dans les deux cas, la valeur de la preuve dépend du périmètre exact et de la date de validité.
La délibération est consultable sur Légifrance (délibération n° 2026-107). Les obligations du sous-traitant sont détaillées à l’article 28 du RGPD.
Les DPO du réseau DPO FRANCE réalisent des audits de sous-traitants, cloud compris, et vérifient ce que couvrent réellement les labels avancés par les prestataires. DPO SUITE conserve pour chaque sous-traitant les contrats, les preuves d’adhésion ou de certification et leurs dates de validité, avec des rappels avant échéance.
