La fiche 2 du guide CNIL pour les SPST rappelle que le service est responsable des traitements qu’il met en œuvre, y compris lorsqu’il en confie l’exécution à des prestataires. Ces derniers agissent comme sous-traitants, sous un contrat conforme à l’article 28 du RGPD.
En octobre, la CNIL a publié la clôture de deux injonctions prononcées dans des procédures de sanction. Celle qui concerne France Travail décrit avec précision ce que l’autorité considère comme suffisant pour sécuriser des accès externes à des données. Un SPST peut en tirer une grille de contrôle de ses propres prestataires.
Ce qui change
Par les délibérations SAN-2026-013 et SAN-2026-014 du 23 septembre 2026, publiées les 8 et 14 octobre, la CNIL a clôturé les injonctions visant France Travail et Google. France Travail a démontré la mise en place des quatre mesures exigées au titre de l’article 32 du RGPD :
- une politique de mots de passe robuste ;
- la double authentification pour les conseillers d’un réseau partenaire ;
- la supervision des journaux d’un outil sensible ;
- des accès des partenaires limités aux seules données nécessaires.
Pour Google, la CNIL précise que la clôture ne vaut que pour le périmètre de l’injonction et n’empêche pas d’autres contrôles. Une mise en conformité prouvée éteint la procédure en cours ; elle ne protège pas pour l’avenir.
La décision France Travail porte sur des accès de partenaires. Le parallèle avec un SPST est direct : infogérant, éditeur du logiciel métier, hébergeur, prestataire de téléphonie ou de sauvegarde disposent tous d’un accès, parfois très large, aux données du service.
Ce que cela implique pour un SPST
Pour chaque prestataire disposant d’un accès aux données, le service doit pouvoir montrer les quatre mesures, preuves à l’appui. Un mot de passe partagé entre techniciens, une connexion d’administration sans second facteur ou des journaux que personne ne consulte sont des écarts identifiés par la CNIL.
La décision rappelle aussi la place du contrat. Un dossier traité récemment l’illustre. Un service confiait à un seul prestataire l’hébergement, les sauvegardes, le plan de reprise, la bureautique en ligne et la téléphonie. L’annexe RGPD et le registre de sous-traitance transmis se contredisaient : données de santé prévues dans l’un, absentes de l’autre ; aucun transfert hors Union déclaré alors que plusieurs éditeurs de sécurité utilisés sont américains ; deux semaines pour s’opposer à un nouveau sous-traitant ultérieur. Après discussion, le prestataire a accepté une notification des violations sous vingt-quatre heures ouvrées, la mention de données sensibles, la production de ses certificats HDS et ISO 27001 et une analyse de transferts par sous-traitant ultérieur.
Les contrats définitifs sont pourtant arrivés pour signature sans l’annexe RGPD, à valider « après la migration ». Tant que l’annexe n’est pas signée, le prestataire n’agit pas sous les instructions documentées que l’article 28 impose, et la migration ne peut pas démarrer dans ces conditions.
Quand l’éditeur d’un logiciel métier change d’actionnaire, la même logique s’applique. Plusieurs services ont écrit à un éditeur passé sous le contrôle d’un fonds établi aux États-Unis pour demander une réévaluation : chaîne de contrôle, lois extraterritoriales applicables, localisation des données et des accès d’administration, sous-traitants ultérieurs, garanties contractuelles.
Comment le traiter dans DPO SUITE
Ouvrez le registre des sous-traitants et reprenez, prestataire par prestataire, les fiches de ceux qui disposent d’un accès aux données. Vérifiez la localisation cloud déclarée et complétez la liste des sous-traitants ultérieurs à partir des documents reçus.
Lancez un audit du sous-traitant par questionnaire envoyé à son contact. Ajoutez aux questions les quatre mesures de la décision France Travail : politique de mots de passe, double authentification des comptes d’administration, supervision des journaux, limitation des accès. Les réponses et les pièces justificatives se rattachent à la fiche du sous-traitant.
Pour un écart constaté, une annexe RGPD absente ou contradictoire par exemple, créez une non-conformité et une action corrective avec une échéance. Rattachez la preuve de signature, stockée dans le drive du client connecté, dès qu’elle existe. Dans le registre des logiciels, vérifiez que chaque logiciel est rattaché au bon sous-traitant et aux traitements concernés : un changement d’éditeur ou d’actionnaire se répercute alors sur toutes les fiches.
ALIX peut proposer une analyse des écarts entre une annexe RGPD et le registre de sous-traitance transmis par le prestataire ; chaque proposition se valide ou se rejette.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 24, 28 et 32 du RGPD
- Délibérations CNIL SAN-2026-013 et SAN-2026-014 du 23 septembre 2026 (publiées les 8 et 14 octobre 2026), cnil.fr
- Guide CNIL SPST, fiche 2
