Comment recenser vos sous-traitants sans y passer un mois ?
Pour qui : Vous devez lister les prestataires qui traitent des données pour votre compte et aucune liste n’existe. Des applications apparaissent parfois après coup, achetées par un service sans que vous le sachiez.
Ne commencez pas par un questionnaire envoyé aux services. Demandez à la comptabilité les fournisseurs payés sur douze mois et la liste des abonnements, retirez ceux qui n’ont accès à aucune donnée personnelle, puis classez le reste selon l’exposition. Traitez d’abord les dix premiers.
N’achetez rien pour cette étape : un tableur fait le travail. Un outil de découverte ne se justifie que si des applications inconnues continuent d’apparaître d’un relevé à l’autre.
Notre avis
Demandez l’extraction fournisseurs de l’année, retirez ceux qui ne touchent aucune donnée personnelle, classez le reste et traitez d’abord les dix plus exposés. Un tableur suffit pour ce travail.
Pourquoi
- La comptabilité vous donne une première liste sans questionner chaque service.
- Le travail utile tient dans le tri : un fournisseur payé n’est pas forcément un sous-traitant.
- Commencer par les dix plus exposés donne un résultat exploitable avant d’avoir fini la liste entière.
Ce qui change le choix
Si deux relevés successifs révèlent des applications inconnues qui traitent des données, le problème vient des achats hors circuit : corrigez d’abord le circuit d’achat et vérifiez que cartes et notes de frais sont bien relevées, puis regardez seulement alors un outil de découverte.
L’ordre à suivre
- Extraction des fournisseurs payés sur douze mois.
- Abonnements, relevés de carte et notes de frais si les services achètent seuls.
- Annuaire d’authentification, pour les outils connectés.
- Outil de découverte, seulement si la liste bouge plus vite que vos relevés.
Quatre sources, et l’angle mort de chacune
Prenez-les dans cet ordre et passez par les quatre au premier relevé : chacune rattrape un angle mort des autres. Aux relevés suivants, gardez celles qui ajoutent encore des noms. La comptabilité ne voit pas un outil gratuit ouvert par un service : c’est pour cela qu’elle ne suffit jamais seule.
| Source | Ce qu’elle vous donne | Ce qu’elle rate |
|---|---|---|
| Extraction fournisseurs sur douze mois | Tous les prestataires facturés, avec le service qui a validé la dépense. | Les outils gratuits et les achats par carte. |
| Abonnements, relevés de carte, notes de frais | Les applications achetées directement par les services. | Les comptes gratuits, et ce qu’un salarié paie sans le déclarer. |
| Annuaire d’authentification | Les applications connectées à vos comptes, gratuites comprises. | Tout ce qui se connecte avec un mot de passe propre. |
| Une question à chaque service : « quel outil utilisez-vous sans facture ? » | Les outils que seuls les utilisateurs connaissent. | Ce que personne ne pense à citer. |
Le tri : sous-traitant, autre responsable ou hors sujet
Un sous-traitant traite des données pour votre compte. Le critère se lit dans les faits : qui décide de l’objectif et des moyens, et le prestataire accède-t-il à des données ? L’accès n’a pas besoin d’être l’objet principal du service.
Les quatre premiers cas viennent des exemples du CEPD ; le dernier est notre lecture. Ils se discutent selon vos instructions réelles, et une ligne douteuse reste sur la liste avec un point d’interrogation.
| Prestataire | Rôle probable | Pourquoi |
|---|---|---|
| Centre d’appels qui accède à votre base clients | Sous-traitant | Il n’utilise les données que pour le service commandé. |
| Support informatique général | Sous-traitant | L’accès n’est pas l’objet du service, mais il est inévitable et systématique. |
| Cabinet d’avocats dans un litige | Responsable de son propre traitement | Il agit avec une large indépendance, sans instruction sur les données. |
| Comptable qui audite vos comptes | Responsable, selon le cas | Il décide seul dans le cadre légal de sa mission. Des instructions très détaillées, sans obligation légale propre, feraient de lui un sous-traitant. |
| Fournisseur sans aucun accès (loyer, énergie, matières premières) | Hors liste | Aucune donnée personnelle confiée en dehors de sa propre facturation. |
Classer pour savoir par lequel commencer
Donnez un point par critère présent : données de santé ou autres données sensibles, grand nombre de personnes, accès permanent aux données, accès depuis un pays hors de l’Espace économique européen. Ces critères et ce barème sont notre méthode, aucun texte ne les fixe. Ajoutez à la main tout prestataire dont une panne ou une fuite vous inquiète.
Exemple fictif : une PME paie 420 fournisseurs dans l’année. Elle en écarte 340 sans accès aux données et garde 80 lignes. Celles à trois ou quatre points forment les dix premières à traiter, sans attendre les 70 autres, qui suivront par lots.
Pour chaque ligne, gardez : entité qui signe, service interne, données touchées, rôle, pays d’accès, contrat retrouvé ou non, fiches du registre liées.
Relier cette liste au registre
L’article 30 demande au registre les catégories de destinataires et les transferts. Le CEPD va plus loin sans que le texte l’écrive : vous devriez avoir à disposition l’identité de tous vos sous-traitants et sous-traitants ultérieurs, quel que soit le risque. Le fichier des prestataires répond à cette attente, le registre reste organisé autrement.
La CNIL demande d’identifier les traitements par objectif, car un même logiciel peut en servir plusieurs. Une application facturée peut donc renvoyer à plusieurs fiches. Ajoutez une colonne « fiches liées » : une application sans fiche signale un traitement à inscrire, et une fiche sans prestataire signale un destinataire oublié.
Refaites la comparaison au trimestre suivant. Si des applications inconnues apparaissent encore, corrigez d’abord le circuit d’achat. Un outil de découverte devient défendable sur un grand parc, à condition d’essayer ses connecteurs sur vos applications réelles.
Limites de cette page
Cette méthode trouve ce qui se paie et ce qui se connecte, sans garantie d’exhaustivité. La qualification reste à faire contrat par contrat. Aucun outil de découverte n’a été essayé pour cette page. Si un cas reste discuté avec un prestataire important, faites trancher le rôle par votre DPO ou votre conseil.
Prochaine action
Demandez à la comptabilité l’extraction des fournisseurs payés sur douze mois et la liste des abonnements. Si vos services achètent par carte ou notes de frais, demandez aussi ces relevés.
Preuves et sources
Lu le 5 novembre 2026 : les articles 28 et 30 du RGPD dans le texte publié par la CNIL, la page CNIL sur le registre, datée du 13 avril 2018, les lignes directrices 07/2020 du CEPD (version 2.1) et son avis 22/2024, adopté le 7 octobre 2024.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 30 du RGPD demande au registre du responsable les catégories de destinataires, y compris dans des pays tiers, et les transferts avec l’identification du pays.
Portée : Article 30, paragraphe 1, points d et e.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis d’après l’ordre du texte.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon l’avis 22/2024 du CEPD, le responsable devrait avoir à disposition à tout moment l’identité de tous ses sous-traitants et sous-traitants ultérieurs, quel que soit le risque, bien que ce ne soit pas explicite dans le texte.
Portée : Avis adopté le 7 octobre 2024, point 31.
Réserve : Avis du CEPD, à lire comme une interprétation. Le mot employé est « should ».
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Les lignes directrices 07/2020 du CEPD donnent le centre d’appels et le support informatique général comme exemples de sous-traitants, l’accès aux données pouvant ne pas être l’objet principal du service.
Portée : Version 2.1, point 83 et exemples.
Réserve : Exemples, à confronter aux faits de chaque contrat.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Les lignes directrices 07/2020 du CEPD donnent le cabinet d’avocats en litige et le comptable qui audite comme exemples de responsables, ce dernier pouvant devenir sous-traitant en présence d’instructions très détaillées sans obligation légale propre.
Portée : Version 2.1, exemples « Law firms » et « Accountants ».
Réserve : L’analyse dépend du niveau d’instructions.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, les traitements s’identifient par finalité et un même logiciel peut servir différents traitements.
Portée : Page CNIL datée du 13 avril 2018.
Réserve : Méthode de la CNIL pour le registre.
- CNIL : Le registre des activités de traitement | CNIL Page datée du 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
- CNIL : Le registre des activités de traitement | CNIL 13 avril 2018. Lu le 5 novembre 2026. Document d’origine.
Notre méthode. L’ordre des sources, les quatre critères de classement et le choix de traiter d’abord dix prestataires sont une méthode proposée par cette page, sans valeur légale.
Portée : Inventaire de départ.
Réserve : À ajuster à la taille de l’organisation.
Daté du 5 novembre 2026.
Notre calcul ou déduction. Une extraction comptable ne fait pas apparaître un outil gratuit utilisé sans facture.
Portée : Déduction de la nature d’une extraction de paiements.
Réserve : Les outils gratuits peuvent apparaître par l’annuaire d’authentification.
Daté du 5 novembre 2026.
Notre calcul ou déduction. Dans l’exemple fictif, 420 fournisseurs moins 340 sans accès donnent 80 lignes, et 80 moins les 10 premières en laissent 70.
Portée : Organisation fictive, hypothèses de la page.
Réserve : Chiffres inventés pour l’exemple, sans valeur de marché.
Daté du 5 novembre 2026.
Notre avis. Réserver un outil de découverte au cas où des applications inconnues continuent d’apparaître d’un relevé à l’autre est notre avis.
Portée : Organisations de toute taille.
Réserve : Aucun outil de découverte essayé.
Daté du 5 novembre 2026.