Vous avez signé un contrat solide avec votre prestataire. Mais savez-vous vraiment qui traite vos données trois maillons plus loin ? La sous-traitance en cascade transforme chaque angle mort de la chaîne en risque de sanction bien réel.
La sous-traitance en cascade, qu’est-ce que c’est ?
Un responsable de traitement confie une opération à un sous-traitant. Ce dernier fait appel à un autre prestataire, qui lui-même en mobilise un troisième.
On parle alors de sous-traitance en cascade, ou de sous-traitants ultérieurs. Votre hébergeur s’appuie sur un fournisseur cloud, qui utilise un service de sauvegarde externe.
Chaque maillon manipule potentiellement des données personnelles dont vous restez responsable. La chaîne s’allonge, mais votre obligation de contrôle, elle, ne se dilue jamais. Comprendre les obligations d’un sous-traitant et le contenu d’un DPA est le point de départ.
Faut-il une autorisation pour ajouter un sous-traitant ?
Oui. L’article 28 du RGPD est clair : un sous-traitant ne peut recruter un autre sous-traitant sans autorisation écrite préalable du responsable de traitement.
Cette autorisation prend deux formes. L’autorisation spécifique vise un prestataire nommé, validé au cas par cas.
L’autorisation générale, plus courante, couvre l’ensemble de la chaîne. En contrepartie, le sous-traitant doit vous informer de tout ajout ou remplacement, et vous laisser le temps de vous opposer.
Sans ce mécanisme d’information, l’autorisation générale devient un chèque en blanc. Exigez un délai de préavis écrit, par exemple trente jours, avant toute modification de la liste.
| Critère | Autorisation spécifique | Autorisation générale |
|---|---|---|
| Portée | Un prestataire nommé | Toute la chaîne présente et future |
| Validation | Au cas par cas | En amont, une seule fois |
| Obligation d’information | Implicite | Obligatoire à chaque changement |
| Droit d’opposition | Avant chaque ajout | Pendant le préavis convenu |
Qui est responsable quand un maillon défaille ?
La responsabilité ne disparaît pas dans la cascade. Le sous-traitant initial reste pleinement responsable devant vous des manquements de son propre sous-traitant.
Autrement dit, si le troisième maillon provoque une fuite, votre prestataire direct en répond comme s’il l’avait causée. Mais vous, responsable de traitement, restez en première ligne face à la personne concernée et à la CNIL.
Chaque sous-traitant ultérieur doit être lié par les mêmes obligations que celles imposées au premier. Les garanties ne peuvent pas s’affaiblir en descendant la chaîne. Anticipez le scénario du pire en sachant réagir à une violation dans le délai de 72 heures.
Quelles clauses article 28 sécurisent la chaîne ?
Le contrat de sous-traitance doit descendre jusqu’aux prestataires ultérieurs. Voici les points à verrouiller avant toute signature.
- La liste nominative des sous-traitants ultérieurs, annexée et tenue à jour.
- Le préavis d’information et le droit d’opposition en cas d’ajout.
- La répercussion intégrale des obligations sur chaque nouveau maillon.
- Le droit d’audit, applicable à toute la chaîne, pas seulement au premier prestataire.
- Le mécanisme de retrait immédiat d’un fournisseur défaillant.
- La localisation des données et l’encadrement des transferts hors Union européenne.
Cartographier une chaîne de sous-traitants et négocier des clauses solides demande du temps et une vraie méthode. Confier ce suivi à un DPO externalisé qui pilote votre chaîne de prestataires permet de garder une vision claire de chaque maillon sans mobiliser vos équipes en interne.
Comment garder le contrôle au quotidien ?
Un contrat ne suffit pas. La chaîne évolue en permanence, au gré des changements de fournisseurs de vos propres prestataires.
Inscrivez chaque sous-traitant dans votre registre et rattachez-le au traitement concerné. Ce suivi vivant vous alerte quand un maillon change.
Planifiez des audits réguliers et vérifiez les preuves de conformité de vos prestataires. Ce contrôle est renforcé pour les activités sensibles, comme l’hébergement de données de santé certifié HDS.
Enfin, formalisez une procédure de sortie. Si un fournisseur perd votre confiance, vous devez pouvoir le retirer sans paralyser votre activité. Les règles de la CNIL sur les violations de données rappellent que la réactivité conditionne l’ampleur des sanctions.
FAQ
Qu’est-ce qu’un sous-traitant ultérieur ?
C’est un prestataire engagé par votre sous-traitant pour exécuter une partie de la mission qui lui a été confiée. Il traite vos données un cran plus loin dans la chaîne. Vous restez responsable de traitement, et votre sous-traitant direct répond de ses manquements devant vous.
L’autorisation générale suffit-elle vraiment ?
Elle suffit si elle est encadrée. Le sous-traitant doit vous informer de tout ajout ou remplacement et vous laisser un délai pour vous opposer. Sans ce mécanisme d’information écrit, l’autorisation générale perd sa valeur et vous fait perdre le contrôle réel de votre chaîne.
Le responsable de traitement peut-il refuser un nouveau sous-traitant ?
Oui. Le droit d’opposition est le pendant indispensable de l’autorisation générale. Pendant le préavis prévu au contrat, vous pouvez refuser un prestataire dont les garanties vous semblent insuffisantes. Le sous-traitant doit alors renoncer à ce fournisseur ou vous proposer une solution équivalente et conforme.
Que faire si un sous-traitant de la chaîne subit une violation ?
Votre sous-traitant direct doit vous notifier l’incident dans les meilleurs délais, même si la faille vient d’un maillon inférieur. À vous ensuite d’évaluer le risque et, le cas échéant, de notifier la CNIL sous 72 heures et d’informer les personnes concernées.
