Vos prestataires font partie
de votre système.

Pourquoi c’est le point faible de beaucoup de projets

Un hébergeur, un éditeur, un prestataire de paie, une entreprise de maintenance, un sous-traitant de chantier : la plupart des organisations dépendent de dizaines de tiers, souvent choisis un à un, au fil de l’eau. Pourtant, les textes sont clairs : le responsable de traitement doit n’avoir recours qu’à des sous-traitants offrant des garanties suffisantes (RGPD art. 28), et l’organisme reste responsable de la santé et de la sécurité des personnes qui travaillent chez lui, même lorsqu’une activité est confiée à un prestataire (ISO 45001 §8.1.4). L’ISO 9001 demande d’évaluer, de sélectionner, de surveiller et de réévaluer les prestataires externes (§8.4).

La checklist en quatre temps

1. Avant de signer

• Savoir ce que le prestataire fera : traitera-t-il des données personnelles ? interviendra-t-il sur site ? sur un poste sensible ?
• Identifier les données concernées, les personnes concernées et la durée du traitement.
• Demander des garanties : mesures de sécurité, références, certifications éventuelles (ISO/IEC 27001, 27701, ISO 9001, MASE ou équivalent selon l’activité).
• Vérifier le périmètre du certificat : un certificat ne couvre pas forcément le service que vous achetez.
• Repérer où les données sont hébergées et par qui, sous-traitants ultérieurs compris.
• Pour une intervention sur site : demander les qualifications, les assurances, et prévoir un accueil sécurité.

2. Le contrat

• Pour les données : un contrat qui fixe l’objet, la durée, la nature et la finalité du traitement, le type de données, les catégories de personnes et les droits et obligations du responsable (art. 28 §3).
• Traitement uniquement sur instruction documentée, confidentialité des personnes autorisées, mesures de sécurité (art. 32).
• Conditions du recours à un sous-traitant ultérieur, avec autorisation et information en cas de changement.
• Aide du prestataire pour les droits des personnes, les violations et les analyses d’impact.
• Suppression ou restitution des données à la fin du contrat, et mise à disposition des informations utiles aux audits.
• Transferts hors Union européenne : mécanisme identifié (décision d’adéquation, clauses contractuelles types…).
• Pour les travaux sur site : consignes de sécurité, coordination des activités, signalement des incidents, règles d’accès.

3. Pendant la relation

• Un responsable interne du prestataire, nommé.
• Une revue annuelle : performance, incidents, changements de sous-traitants, validité des certificats.
• Une procédure claire en cas de violation de données : qui prévient qui, et dans quel délai.
• Un suivi des écarts et des actions, dans le même outil que le reste de votre système.

4. À la fin

• Restitution ou suppression des données, avec une attestation.
• Retrait des accès et des badges.
• Retour d’expérience : ce qui a bien marché, ce qui a manqué dans le contrat.

Cet article ne constitue pas un avis juridique. Faites relire vos contrats par un juriste avant signature.