Suivre ses sous-traitants dans un fichier, jusqu’où ?
Pour qui : Vous gérez à la main les contrats, questionnaires et relances de vos prestataires qui traitent des données pour vous. Certains ne répondent pas, et vous vous demandez s’il faut un outil.
Un fichier suffit tant que quelqu’un planifie les relances et que chaque silence aboutit à une décision écrite. N’achetez rien tant que cette règle tient : le problème d’un prestataire muet ne se règle pas par un logiciel, mais par une conséquence fixée d’avance.
Testez un outil si, sur six mois, des relances partent en retard ou restent sans décision malgré la règle. Le gratuit public vous donne les clauses du contrat. Nous n’y avons trouvé aucun suivi des signatures ni des relances, dans ce que nous avons lu le 5 novembre 2026.
Notre avis
Gardez le fichier tant que chaque relance part à sa date et que chaque silence finit par une décision. Le signal à observer est le silence resté sans suite, davantage que le nombre de questionnaires.
Pourquoi
- Une relance à l’heure sans décision derrière ne change rien.
- Un outil automatise l’envoi et la trace, et le prestataire reste libre de se taire. Le moyen de pression se trouve dans le contrat.
Ce qui change le choix
Sur six mois, des relances parties en retard ou des silences sans décision, alors que la règle était écrite : testez un outil. Plusieurs dizaines de questionnaires par an : testez-le aussi. Ce dernier seuil est notre repère, à éprouver sur vos six mois.
L’ordre à suivre
- Relances tenues à leur date et décisions prises : gardez le fichier.
- Relances oubliées sur six mois malgré la règle en trois dates : testez un outil.
- Silence d’un prestataire que vous ne pouvez pas remplacer : passez par le contrat avant tout outil.
La règle de relance en trois dates
Ces délais sont nos repères, sans valeur légale. Raccourcissez-les pour un traitement sensible ou un incident en cours.
- Jour de l’envoi : posez une question précise et une échéance. Notez le destinataire, la question et la date attendue. Quinze jours conviennent à une demande courante.
- Échéance dépassée : relancez une fois, en écrivant ce qui se passera ensuite. Nommez le contact contractuel en copie et donnez quinze jours de plus.
- Trente jours : décidez, même sans réponse. Prévenez la personne qui achète la prestation, notez le risque et ce que vous en faites : accepté, limité, ou prestataire à remplacer.
Le fichier : une ligne par demande, et non par prestataire
Une ligne par demande vous permet de compter les silences. Prévoyez ces colonnes : prestataire, contact, objet, date d’envoi, échéance, date de réponse, décision. Pour le Comité européen, le responsable devrait disposer à tout moment de l’identité de tous ses sous-traitants et sous-traitants ultérieurs, quel que soit le risque, et l’ampleur de la vérification varie avec ce risque : un silence sur un outil d’envoi de courriels et un autre sur un hébergeur de données sensibles n’appellent pas la même décision.
Un outil tient les dates, et la décision vous reste
Avant de signer, faites rejouer un prestataire réel qui n’a pas répondu : que se passe-t-il le trentième jour, et qui est prévenu ?
| Option | Ce qu’elle apporte | Ce qui reste à votre charge |
|---|---|---|
| Clauses de la Commission du 4 juin 2021 | Le contenu du contrat | Signatures et relances : rien trouvé côté public |
| Madis, logiciel libre | La documentation annonce un registre des sous-traitants et un suivi des échanges | Un serveur à exploiter |
| Witik | L’éditeur annonce l’automatisation de l’envoi, des relances et du traitement des questionnaires | Quotas et prix à lire pour votre cas ; 2 audits sur l’offre gratuite |
Le prestataire que vous ne pouvez pas remplacer
Le fichier montre le silence, sans moyen de pression. Trouvez dans le contrat le point de contact et la clause d’information : l’article 28 prévoit que le sous-traitant met à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits. Citez ce passage dans la relance. Si le contrat ne contient rien de tel, le chantier porte sur le contrat.
Limites de cette page
Les délais et le seuil de plusieurs dizaines de questionnaires n’ont été éprouvés sur aucun cas réel, et aucun outil n’a été essayé. La décision d’accepter un risque revient au responsable de traitement.
Prochaine action
Écrivez votre règle de relance en trois dates, puis comptez sur six mois les demandes restées sans réponse et celles restées sans décision. Pour un prestataire indispensable, cherchez d’abord la clause d’information et le contact contractuel.
Preuves et sources
Lu le 5 novembre 2026 : l’article 28 du RGPD dans le texte publié par la CNIL ; la page CNIL sur les clauses types ; l’avis 22/2024 du Comité européen de la protection des données ; la documentation et le journal des modifications de Madis ; la page de tarifs de Witik.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 28 du RGPD prévoit que le responsable ne recourt qu’à des sous-traitants présentant des garanties suffisantes et que le contrat oblige le sous-traitant à mettre à disposition les informations nécessaires pour démontrer le respect de ses obligations et permettre des audits.
Portée : Article 28, paragraphes 1 et 3, point h, texte publié par la CNIL.
Réserve : Numéros de paragraphe rétablis d’après l’ordre du texte.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Pour le Comité européen de la protection des données, le responsable devrait disposer à tout moment de l’identité de tous ses sous-traitants et sous-traitants ultérieurs, quel que soit le risque, et l’ampleur de la vérification des garanties varie avec le risque.
Portée : Avis 22/2024 du 9 octobre 2024, résumé lu.
Réserve : Avis du Comité, à lire avec le cas d’espèce.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Dans ce que nous avons lu le 5 novembre 2026, les ressources publiques fournissent des clauses et des explications ; nous n’y avons trouvé aucun suivi des signatures ou des relances.
Portée : Ressources publiques recensées dans notre lecture.
Réserve : Une absence constatée ne prouve pas l’inexistence.
- CNIL : Clauses contractuelles types entre responsable de traitement et sous-traitant | CNIL Page datée du 30 juin 2021. Lu le 5 novembre 2026. Document d’origine.
- CNIL : RGPD - Guide sous-traitant Édition septembre 2017. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La documentation de Madis annonce un registre des sous-traitants avec un bloc de suivi des échanges, ajouté selon son journal des modifications dans la version 2.6.0 du 17 septembre 2026.
Portée : Documentation utilisateur et journal des modifications.
Réserve : Logiciel non essayé, hébergement à votre charge.
- Soluris (projet Madis) : Présentation — Documentation Madis date non trouvée sur les pages lues le 5 novembre 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
- Soluris (projet Madis) : Madis (CHANGELOG) 2.6.0, 17 septembre 2026. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Déclaration de l’éditeur. Witik annonce l’automatisation de l’envoi, des relances et du traitement de ses questionnaires d’audit, et son offre Starter affiche jusqu’à 2 audits avec le filtre PME et une entité, lu le 5 novembre 2026.
Portée : Page de tarifs RGPD de l’éditeur.
Réserve : Fonction non essayée. Disponibilité de la relance dans l’offre gratuite non établie.
- witik.io : Tarifs logiciel RGPD | Witik non trouvée. Lu le 5 novembre 2026. Déclaration de l’éditeur.
Notre méthode. Faire du silence resté sans décision le signal principal, et la règle de relance en trois dates, sont des propositions de méthode : les délais de quinze et trente jours et le repère de plusieurs dizaines de questionnaires n’ont aucune valeur légale.
Portée : Suivi des sous-traitants dans un fichier.
Réserve : À ajuster au risque du traitement.
Daté du 5 novembre 2026.