Vous confiez vos fichiers clients à un CRM, à un prestataire d'emailing ou à un cabinet comptable, et vous pensez être tranquille parce que le contrat contient une clause RGPD ? C'est une erreur fréquente. Dès qu'un prestataire traite des données personnelles pour votre compte, c'est vous qui restez responsable du traitement. Avant de signer, il faut donc vérifier les garanties réellement offertes, et être capable de le prouver le jour où un client ou la CNIL pose la question.
Première question : qui est responsable de quoi ?
Tout commence par une qualification. L'article 4 du RGPD distingue le responsable de traitement, qui fixe les finalités et les moyens, du sous-traitant, qui traite pour son compte. Dans une PME, la plupart des cas sont clairs : l'expert-comptable qui établit vos fiches de paie agit en général comme sous-traitant, tout comme l'hébergeur ou l'éditeur d'un logiciel en mode SaaS.
Certaines situations sont pourtant ambiguës. Un prestataire d'envoi d'emails qui réutilise vos listes pour améliorer ses propres statistiques, ou une agence qui garde les contacts d'un client pour ses propres prospections, peut basculer en responsable de traitement pour ses finalités à lui. Le contrat doit dire clairement qui fait quoi. Sinon, la qualification se fera après coup, et à vos dépens.
Demandez la qualification retenue par écrit, noir sur blanc. Une réponse évasive est déjà un signal en soi.
Ce qu'il faut exiger avant toute signature
Le contrat de sous-traitance (article 28)
L'article 28 impose un contrat écrit, avec des mentions obligatoires. Vérifiez-les une à une : l'objet du traitement, sa durée, sa nature et ses finalités, les types de données, les catégories de personnes concernées, et les obligations et droits du responsable. Un contrat qui omet l'une de ces mentions n'est pas conforme, même s'il est long et soigné. Un document qui ressemble à des CGV recyclées l'est rarement.
C'est souvent le premier document que vous présenterez en cas de contrôle.
Les instructions documentées
Le prestataire ne doit traiter les données que sur instruction écrite de votre part. Cela pose une vraie question avec les outils qui s'appuient sur l'intelligence artificielle : vos données servent-elles à entraîner un modèle commun à tous les clients ? Si oui, c'est une finalité propre du prestataire. Elle doit donc être acceptée en connaissance de cause, et non cachée dans des conditions d'utilisation que personne ne lit.
La liste des sous-traitants ultérieurs
Votre prestataire fait lui-même appel à d'autres acteurs : hébergeur, plateforme d'envoi, support, sauvegarde externe. Il doit obtenir votre autorisation écrite, générale ou spécifique, et vous informer de tout changement pour que vous puissiez vous y opposer. Demandez la liste complète, avec la fonction de chaque sous-traitant et le pays où il traite les données. Une liste qui s'arrête au premier niveau, sans mention des pays, est incomplète.
Vérifier la réalité, pas la promesse
Un contrat décrit ce que le prestataire s'engage à faire. Il ne prouve pas qu'il le fait. La vérification consiste à confronter ces engagements aux faits, avec des pièces concrètes.
Localisation des données et transferts hors UE
Demandez où sont réellement hébergées les données, et pas seulement où se trouve le siège social. Les sauvegardes, les copies de test et le support technique distant comptent aussi. Un accès depuis un pays tiers est un transfert au sens du RGPD, même sans copie des fichiers.
Pour les États-Unis, vérifiez si le prestataire est certifié au titre du Data Privacy Framework, le cadre reconnu par la Commission européenne en 2023. À défaut, il faut des clauses contractuelles types et une analyse du transfert. Si le prestataire ne sait pas répondre à ces questions, ne signez pas. Changer de fournisseur avant la signature coûte toujours moins cher que d'expliquer une situation floue à un client trois ans plus tard.
Sécurité (article 32)
L'article 32 exige des mesures adaptées au risque, sans en donner la liste. Il faut donc examiner le détail : chiffrement des échanges et des données stockées, gestion des habilitations, journalisation des accès, sauvegardes dont la restauration a déjà été testée.
Les preuves utiles existent. Une certification ISO 27001 couvre un périmètre précis, qu'il faut lire avec attention. Un rapport de test d'intrusion récent en dit plus qu'une plaquette commerciale. La politique de mots de passe et d'authentification forte peut aussi être demandée par écrit.
Séparez l'engagement déclaratif de ce qui se vérifie. La phrase « nous chiffrons toutes les données » reste une promesse tant qu'aucune pièce ne l'appuie. Un certificat, lui, se contrôle.
Gestion des violations de données
En cas de fuite, le sous-traitant doit vous alerter sans retard injustifié. C'est ensuite au responsable de traitement, c'est-à-dire à vous, de notifier la CNIL dans les 72 heures (article 33). Ce délai court de bout en bout, et votre prestataire doit vous laisser le temps de réagir.
Demandez un délai de notification écrit, un contact dédié joignable en dehors des heures ouvrées, et une procédure rédigée. Un prestataire qui ne sait pas dire en combien de temps il vous prévient n'a, en pratique, pas de procédure.
Droits des personnes et fin de contrat
Le prestataire doit vous aider à répondre aux demandes d'accès, de rectification et d'effacement. Vérifiez le délai qu'il s'engage à tenir et la manière dont il vous transmet les demandes qu'il reçoit directement.
La fin de contrat est le point le plus souvent oublié, et celui qui coûte le plus cher. Que se passe-t-il quand vous partez ? Les données doivent être restituées dans un format exploitable, puis supprimées, sauvegardes comprises, avec une attestation écrite et un délai précis. Sans clause de sortie, vous risquez de payer deux fois : une fois pour partir, et une fois pour récupérer votre propre fichier client.
Audit et documentation
Le sous-traitant doit tenir un registre des traitements effectués pour votre compte, conformément à l'article 30. Demandez-en un extrait, sans le détail interne. Vous pouvez aussi exiger un questionnaire de conformité rempli, et vérifier que les personnes qui manipulent vos données ont été formées.
Pour une TPE, un audit sur site serait excessif. Un questionnaire écrit de quelques pages, accompagné des pièces citées plus haut, suffit largement. Si vous cherchez un modèle de questionnaire déjà structuré, vous pouvez en trouver des exemples parmi les ressources de minedeconseils.fr, à adapter à votre prestataire.
Les signaux d'alerte
Certains indices reviennent presque toujours chez les prestataires peu sérieux. Aucun n'est rédhibitoire à lui seul, mais leur accumulation doit vous faire réfléchir. Si le prestataire vous répond que tout cela est couvert par ses CGV, c'est un signal de plus : des CGV ne remplacent pas un contrat de sous-traitance.
- Refus de signer un contrat de sous-traitance, ou un simple « nos CGV suffisent ».
- Réponse vague sur les pays d'hébergement ou sur la liste des sous-traitants.
- Clause qui autorise la réutilisation de vos données pour entraîner des modèles ou pour les besoins propres du prestataire.
- Aucune procédure écrite de notification de violation.
- Données de prospects ou de clients déposées dans un outil gratuit, sans contrat.
Checklist à passer avant de signer
Voici les points à vérifier, à copier dans votre outil de gestion de projet. Chacun correspond à une pièce à obtenir, et non à une simple déclaration de bonne foi.
- Qualification écrite des rôles (responsable ou sous-traitant) dans le contrat.
- Contrat de sous-traitance signé, avec les mentions de l'article 28.
- Instructions écrites, et réponse claire sur l'entraînement de modèles avec vos données.
- Liste complète des sous-traitants ultérieurs, avec leurs pays.
- Localisation des données, sauvegardes comprises, confirmée par écrit.
- Certification Data Privacy Framework, ou clauses contractuelles types signées.
- Pays d'où le support distant accède aux données, et procédure d'accès.
- Chiffrement en transit et au repos, attesté par écrit.
- Certificat ISO 27001 en cours de validité, avec son périmètre lu.
- Rapport de test d'intrusion datant de moins d'un an.
- Politique de mots de passe et d'authentification forte.
- Délai de notification des violations, et contact dédié.
- Procédure écrite de gestion des violations.
- Aide aux demandes de droits des personnes, avec le délai de réponse engagé.
- Clause de sortie : restitution, suppression certifiée et délai précis.
Cas pratique : un prestataire d'emailing ou de CRM
Prenons un exemple hypothétique, construit pour illustrer la démarche. Une PME envoie sa lettre d'information à une liste de contacts et gère ses prospects dans un CRM en ligne. Le prestataire retenu est un éditeur français, hébergé dans l'Union européenne, mais dont le support technique est assuré depuis un pays tiers.
Dans un premier temps, la personne en charge du dossier pose les questions de la liste. Le contrat arrive avec une annexe sur les sous-traitants. Le support, lui, reste flou. L'éditeur confirme un accès depuis un pays hors UE, sans mention de transfert encadré.
Le résultat tient en trois actions. La PME demande la clause de transfert, relève que les sauvegardes sont hébergées dans un second pays européen et ajoute une clause de suppression à la sortie, avec un délai précis. Quelques échanges écrits suffisent, et le dossier tient debout en cas de contrôle.
Ce que la vérification ne couvre pas
Votre propre responsabilité reste entière. Le prestataire ne vous décharge pas de vos obligations. Vous devez toujours informer les personnes concernées, identifier la base légale de chaque traitement et fixer la durée de conservation des données dans vos outils. Un CRM parfaitement sécurisé qui conserve dix ans les fiches de prospects inactifs reste un problème.
Ces points portent sur vos propres traitements, et non sur ceux de votre fournisseur. Si vous n'avez pas de registre, ou si personne n'est chargé du sujet, un accompagnement pour auditer vos traitements fait souvent gagner beaucoup de temps. FDSEO peut vous y aider, sans que ce soit un passage obligé.
Conclusion
Retenez quatre réflexes. Qualifiez le rôle de chacun, exigez le contrat, vérifiez les preuves et prévoyez la sortie avant de signer. Ces gestes prennent quelques jours, pas des mois, et ils écartent l'essentiel du risque. Si vous souhaitez qu'on passe ensemble en revue un prestataire déjà choisi, contactez FDSEO.