Traitement de données conforme RGPD : choisir un prestataire

La plupart des entreprises choisissent leur prestataire de nettoyage d'adresses dans cet ordre : comparer les offres, vérifier le prix, faire un test, signer. Le contrat de sous-traitance arrive en PDF depuis le site du prestataire, il est classé, et le sujet est considéré comme réglé.

C'est précisément là que se situe le malentendu. Le contrat prévu à l'article 28, paragraphe 3 du RGPD définit comment le sous-traitant doit travailler. Il ne dit rien sur sa capacité réelle à le faire. Cette obligation figure un paragraphe plus haut : l'article 28, paragraphe 1 impose de ne faire appel qu'à des sous-traitants présentant des « garanties suffisantes » quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le choix du prestataire est donc une obligation autonome, et le principe de responsabilité de l'article 5, paragraphe 2 vous impose de pouvoir en apporter la preuve.

En contrôle, la CNIL ne demande presque jamais le seul contrat. Elle demande sur quelle base vous avez retenu ce prestataire. Sans réponse documentée, un contrat signé ne suffit pas. Cet article détaille la procédure de vérification, son coût réel en heures de travail et les deux points systématiquement oubliés dans les PME françaises.

Choisir est une obligation, pas seulement contracter

L'article 28, paragraphe 1 ne définit pas ce que recouvrent les « garanties suffisantes ». Le Comité européen de la protection des données l'a précisé dans ses lignes directrices sur les notions de responsable de traitement et de sous-traitant : il s'agit de l'expertise, de la fiabilité et des ressources du prestataire, et la vérification doit intervenir avant la signature et être documentée.

La conséquence est inconfortable. Vous ne pouvez pas transférer la responsabilité au prestataire. Si votre sous-traitant provoque une violation de données, vous restez le destinataire de l'obligation de notification de l'article 33 et des demandes d'indemnisation de l'article 82. Le contrat vous ouvre un recours, il ne supprime pas votre responsabilité première.

Le plafond de sanction pour un manquement à l'article 28 s'élève, selon l'article 83, paragraphe 4, à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. Pour une PME française, les amendes effectivement prononcées par la CNIL se situent plutôt entre 3.000 et 50.000 EUR, avec une politique nettement durcie depuis la généralisation de la procédure de sanction simplifiée. Le vrai coût est souvent ailleurs : dans la notification sous 72 heures, dans l'information des personnes concernées prévue à l'article 34 et dans le temps que ces deux obligations mobilisent.

Quelles données quittent réellement votre entreprise

Avant d'auditer un prestataire, auditez le fichier. La protection la plus efficace lors d'un nettoyage d'adresses consiste à ne pas exporter certaines colonnes. L'article 5, paragraphe 1, point c impose la minimisation des données, et sur un fichier d'adresses cette obligation se satisfait en dix minutes.

Un export CRM classique ressemble à ceci :

Extrait du fichier destiné au prestataire :

ID | Civilité | Prénom  | Nom      | Adresse              | CP    | Ville     | Naissance  | CA_2025   | Note
17 | Mme      | Camille | Lefèvre  | 14 rue de la Paix    | 75002 | Paris     | 12.03.1971 |  4.820,00 | paie tard
18 | M.       | Thomas  | Dupont   | 8 bd Haussmann       | 75009 | Paris     | 08.11.1965 | 12.400,00 | litige ouvert
19 | M.       | Karim   | Benali   | 22 cours Gambetta    | 69003 | Lyon      | 24.07.1988 |    990,00 |
20 | M.       | Th.     | Dupond   | 8 boulevard Haussman | 75009 | Paris     | 08.11.1965 | 12.400,00 | doublon ?

Nécessaire au dédoublonnage et au regroupement par foyer :
  ID, Civilité, Prénom, Nom, Adresse, CP, Ville

À retirer avant export :
  Naissance -> sans aucune fonction pour un rapprochement d'adresses
  CA_2025   -> secret des affaires, aggrave le préjudice en cas de fuite
  Note      -> texte libre contenant des appréciations, relève du droit
               d'accès de l'article 15 et n'a rien à faire dans un fichier
               transmis pour traitement RNVP

La colonne ID assure le chemin du retour. Le prestataire renvoie le fichier nettoyé, vous le réintégrez par jointure sur l'identifiant, et les colonnes sensibles n'ont jamais quitté votre système. On passe de 9 champs transmis à 7, et les deux champs supprimés sont exactement ceux qui font la différence entre un incident gênant et une violation à notifier.

Cette réduction est aussi un argument d'audit. Un prestataire qui exige le fichier complet parce que son import ne fonctionne pas autrement a un problème produit, qui devient votre problème de conformité.

La grille d'audit : dix questions et leurs signaux d'alerte

Envoyez ces questions par écrit et conservez la réponse. Un prestataire préparé y répond en une demi-heure. Le délai qu'il met à répondre fait déjà partie de la réponse.

Question	Réponse solide	Signal d'alerte
Où les données sont-elles traitées, stockées et sauvegardées ?	Localisations précises pour le traitement, les sauvegardes et les journaux	« Dans l'Union européenne » sans nommer les sites
Quels sous-traitants ultérieurs interviennent ?	Liste à jour avec nom, siège, mission et alerte en cas de changement	« Nous travaillons avec des partenaires variables »
Qui accède aux données en clair ?	Gestion des habilitations et journalisation infalsifiable	Renvoi aux seuls engagements de confidentialité
Combien de temps les données restent-elles après la mission ?	Délai en jours, attestation de suppression, cycle de sauvegarde précisé	« Nous supprimons rapidement »
Existe-t-il des actionnaires ou une maison mère hors UE ?	Réponse claire sur la structure du capital	Réponse évasive ou renvoi aux mentions légales
Quelle certification, et pour quel périmètre ?	Certificat avec périmètre d'application, pas un simple logo	Label sans attestation ni date de validité
Sous quel délai nous signalez-vous une violation ?	Délai annoncé inférieur à 24 heures, point de contact identifié	Aucun délai indiqué
Comment nous assistez-vous sur les droits des personnes ?	Procédure décrite avec temps de réponse	« Sur demande »
Pouvons-nous auditer, et selon quelles modalités ?	Questionnaire et possibilité d'audit sur site	Auto-déclaration sans justificatif
Nos données servent-elles à vos propres finalités ?	Exclusion contractuelle, y compris pour l'entraînement de modèles	« Analyses anonymisées » dans les CGU

La dernière ligne est la plus récente et la plus souvent négligée. Depuis que les prestataires enrichissent leurs traitements par apprentissage automatique, de nombreuses conditions générales comportent une clause d'utilisation des données clients à des fins d'amélioration du service. Sur un fichier d'adresses, ce n'est pas anodin : un modèle de détection de doublons entraîné sur vos clients a vu leurs noms. Lisez les CGU sur ce point, pas la page commerciale.

La question du délai de notification est plus sévère qu'elle n'en a l'air. L'article 33, paragraphe 2 oblige le sous-traitant à vous informer « dans les meilleurs délais ». Mais votre propre délai de 72 heures envers la CNIL court à compter de votre connaissance des faits. Si le prestataire met trois jours, votre délai est épuisé avant même que vous sachiez qu'il s'est passé quelque chose.

Ce que prouvent les certifications, et ce qu'elles ne prouvent pas

ISO 27001 est le justificatif que présente pratiquement tout prestataire. La norme certifie un système de management de la sécurité de l'information, c'est-à-dire le processus par lequel une entreprise identifie et traite ses risques. C'est un bon indice de sérieux, mais ce n'est ni une certification de protection des données ni une preuve de conformité au RGPD.

Le point décisif est le périmètre, la fameuse déclaration d'applicabilité. Un certificat peut couvrir l'exploitation du centre de données d'un sous-traitant et exclure le développement logiciel du prestataire lui-même. Ne vous faites donc pas montrer le logo, mais l'attestation, avec son périmètre et sa date de validité.

Deux cas français méritent une attention particulière. Pour les données de santé, l'hébergement impose la certification HDS ; un cabinet médical qui confie son fichier patients à un prestataire non certifié est en infraction indépendamment du RGPD. Et pour les prestataires travaillant avec le secteur public, le référentiel SecNumCloud de l'ANSSI constitue un niveau d'exigence bien supérieur à ISO 27001, notamment sur l'immunité aux législations extraterritoriales.

Le RGPD prévoit à l'article 42 une certification propre, qui attesterait réellement de la conformité. Les référentiels approuvés restent rares, si bien qu'en pratique presque aucun prestataire ne pourra vous en présenter. Ce n'est pas un critère d'exclusion, cela signifie simplement que la vérification vous incombe.

Le contrôle des transferts hors UE, presque toujours oublié

La localisation des serveurs est vérifiée. La structure du capital ne l'est pas. C'est pourtant là que se situe le risque.

Dès que des données personnelles sont traitées hors de l'Union ou accessibles depuis l'extérieur, les articles 44 et suivants s'appliquent. Pour les États-Unis, une décision d'adéquation existe à nouveau depuis juillet 2023, fondée sur le cadre de protection des données UE-États-Unis. Elle est en vigueur, elle est contestée devant les juridictions européennes, et surtout elle ne joue pas de façon générale : l'entreprise destinataire doit figurer sur la liste officielle du cadre, avec une certification à jour et couvrant la catégorie de données concernée. La vérification prend deux minutes sur dataprivacyframework.gov, et cette capture d'écran a sa place dans votre dossier.

Le second point concerne l'accès sans transfert. Un groupe américain disposant d'une filiale européenne peut être contraint, au titre du CLOUD Act, de communiquer des données hébergées sur des serveurs situés dans l'Union. Savoir où se trouve le disque dur ne suffit donc pas. Il faut savoir qui peut accéder au système et de quel ordre juridique relève cette entité.

Trois questions suffisent généralement :

1. Qui sont les actionnaires, et où sont-ils établis ?
2. Le support ou les équipes de développement accèdent-ils aux données de production depuis l'extérieur de l'Union, par exemple pour du diagnostic ?
3. Où se trouvent les sauvegardes, les journaux et les systèmes des outils de supervision utilisés ?

Si l'une de ces réponses pointe vers un pays tiers, il vous faut, au-delà des clauses contractuelles types de l'article 46, une analyse documentée du droit applicable dans le pays de destination. Cette analyse n'est pas un formulaire, c'est un travail de rédaction, et c'est la raison pour laquelle un audit sérieux prend plus de temps que ne le prévoient la plupart des budgets.

Ce que coûte la vérification, et ce qu'elle évite

Le calcul porte sur une PME gérant environ 12.000 adresses, avec quatre campagnes de publipostage par an et un prestataire externe pour le nettoyage. Le taux horaire interne retenu est de 65 EUR, car ce travail revient en général à la direction ou au référent RGPD, pas au service administratif.

Tâche	Charge initiale	Charge annuelle
Envoi de la grille et analyse des réponses	4 h	–
Examen des mesures de sécurité et des certificats	3 h	1 h
Contrôle des transferts hors UE et du capital, analyse d'impact	5 h	1 h
Relecture du contrat, négociation des ajustements	2 h	–
Registre des activités de traitement et archivage	2 h	1 h
Total en heures internes	16 h	3 h

Le calcul donne : 16 heures à 65 EUR, soit 1.040 EUR pour l'audit initial. Une relecture du contrat par un avocat coûte, sur un contrat standard, entre 600 et 1.500 EUR ; retenons 900 EUR. Le suivi annuel représente 3 heures à 65 EUR, soit 195 EUR. Sur trois ans, le total atteint 1.040 + 900 + 390 = 2.330 EUR, en plus de toute licence ou abonnement.

Deux éléments alourdissent ce chiffre. Il s'applique par prestataire, et la plupart des entreprises n'en ont pas un mais trois à cinq sur le périmètre adresses et clients : outil de nettoyage, routeur, hébergeur du CRM, plateforme d'emailing. Et il se répète lorsque le prestataire change de sous-traitant ultérieur, puisque la base de votre évaluation n'est alors plus à jour.

En face, il n'y a pas de gain direct, seulement un risque évité. C'est exactement pour cela que ce poste saute en premier : il n'a aucune contrepartie visible tant que rien ne se produit. L'évaluation honnête est la suivante : 2.330 EUR sur trois ans face à un risque de sanction de quelques milliers à quelques dizaines de milliers d'euros, plus la charge de notification. Statistiquement, la vérification est rentable ; dans chaque cas particulier, elle ne l'est pas nécessairement, et il faut pouvoir le dire.

La configuration où la question ne se pose pas

Il existe un cas de figure dans lequel toute cette charge disparaît : lorsqu'aucun sous-traitant n'intervient.

Si vous traitez vos adresses exclusivement sur vos propres postes, il n'y a pas de prestataire dont vous devriez évaluer les garanties. Pas de grille d'audit, pas de contrôle de transfert, pas de contrat, pas de suivi annuel. Le traitement reste à inscrire au registre de l'article 30, mais les 16 heures initiales et les 3 heures annuelles disparaissent entièrement. Les obligations qui subsistent dans ce cas sont détaillées dans l'article sur la conformité RGPD du nettoyage d'adresses.

ListenFix est conçu exactement pour cette configuration : logiciel installé sur votre poste, détection de doublons, validation des codes postaux et regroupement par foyer s'exécutent localement, le fichier d'adresses n'est jamais transmis. Il n'y a donc pas de sous-traitance au sens de l'article 28, et la grille ci-dessus devient sans objet. Pour les cabinets médicaux, les cabinets d'avocats et les experts-comptables, soumis en outre au secret professionnel de l'article 226-13 du code pénal, c'est souvent la seule option praticable sans consentement explicite des personnes concernées. Essai gratuit, sans carte bancaire.

Ce n'est pas une recommandation universelle. À partir d'environ 50.000 adresses avec des imports permanents depuis plusieurs systèmes, un prestataire spécialisé disposant d'un accès aux référentiels RNVP et aux données de déménagement reste le meilleur choix, et l'audit devient alors incontournable. La question n'est pas de savoir si le cloud vaut mieux que le local, mais si le bénéfice du traitement externalisé justifie les 2.330 EUR de vérification et la responsabilité continue qui les accompagne.

Documenter le choix pour qu'il résiste à un contrôle

Une vérification qui n'est pas retrouvable ne sert à rien. Constituez un dossier par prestataire, sous forme numérique si vous préférez, et conservez six éléments :

1. La grille et les réponses originales, datées et avec leur expéditeur
2. Le document de mesures de sécurité et les certificats, en fichier et non en lien
3. La vérification du cadre de transfert ou l'analyse du pays tiers, avec la date de consultation
4. Le contrat signé et la liste des sous-traitants ultérieurs
5. Une note de motivation du choix, une demi-page suffit : alternatives examinées, critères déterminants, risques résiduels
6. Une échéance de revue annuelle, dans l'agenda et pas dans la mémoire

Le point 5 est celui que presque personne ne possède, et celui qui pèse le plus lors d'un contrôle. Il démontre qu'une décision a été prise, et pas seulement qu'un contrat a été signé. Le contenu obligatoire de ce contrat, les clauses indispensables et les erreurs les plus fréquentes sont détaillés dans l'article consacré au contrat de sous-traitance RGPD.

La charge est concentrée sur la première année et retombe ensuite à trois heures annuelles. Celui qui l'assume seulement après un incident refait exactement le même travail, mais sous pression, avec un avocat et un délai de 72 heures qui court.