Quelles garanties demander à un prestataire ?
Pour qui : Vous préparez un questionnaire pour choisir ou revoir un prestataire qui traitera des données pour vous. Vous hésitez entre un long formulaire et quelques questions dont quelqu’un lira vraiment les réponses.
Posez dix questions au plus, et cinq pour un petit risque : où sont les données, quels sous-traitants, quelle sécurité pour votre traitement, comment vous êtes prévenu d’une violation, et ce qui se passe en fin de contrat. Pour un petit risque, un document public qui répond à ces points, lu et daté par vos soins, peut suffire.
Le RGPD ne fixe aucun questionnaire. Il demande de ne recourir qu’à des prestataires présentant des garanties suffisantes, et le CEPD précise que cette vérification vaut quel que soit le risque. Pour des données sensibles, une réponse déclarative ne suffit plus : demandez une preuve et lisez-la.
Notre avis
Envoyez dix questions au plus, cinq pour les petits risques. Conservez la réponse, datée, et lisez-la. Pour un traitement courant, notez les réponses aux questions 7 et 10. Réservez la lecture du rapport d’audit et du périmètre de la certification aux données sensibles et aux risques élevés.
Pourquoi
- L’article 28, paragraphe 1 demande des garanties suffisantes sans fixer de forme : la forme se règle sur le risque.
- Le CEPD attend que vous puissiez montrer que la vérification a eu lieu : une réponse datée et lue vous le permet.
- Votre temps de lecture est la limite réelle : un formulaire de cent lignes n’en donne pas davantage.
Ce qui change le choix
Données sensibles ou risque élevé : réclamez la preuve. Si les relances se perdent sur plusieurs prestataires le trimestre suivant, un logiciel de suivi peut se justifier ; il relance et date, et l’appréciation reste à vous.
L’ordre à suivre
- Petit risque : cinq questions, ou un document public du prestataire qui y répond, lu et daté.
- Traitement courant : les dix questions.
- Données sensibles ou risque élevé : les dix questions, plus une preuve lue, comme un rapport d’audit ou le périmètre d’une certification.
Dix questions, dont les cinq à garder pour un petit risque
Les cinq premières forment la version courte. Le choix et le nombre de questions sont notre méthode, aucun texte ne les impose. Chaque réponse attendue reste une déclaration du prestataire tant que vous n’avez rien vérifié.
| Question | Réponse utile | Point d’appui |
|---|---|---|
| 1. Quelle entité signe, où sont hébergées les données et depuis quels pays y accède-t-on ? | Noms des entités, liste de pays, support compris. | Article 28 et chapitre V |
| 2. Quels sont vos sous-traitants ultérieurs, et comment signalez-vous un changement ? | Liste avec noms et pays, canal d’avis. | Article 28, paragraphe 2 ; avis 22/2024 |
| 3. Quelles mesures de sécurité s’appliquent à notre traitement ? | Un document daté qui vise ce service. | Article 32 via l’article 28 |
| 4. Comment et sous quel délai nous prévenez-vous d’une violation de données ? | Contact, canal, engagement écrit. | Article 33, paragraphe 2 : dans les meilleurs délais |
| 5. Que deviennent nos données à la fin du contrat ? | Choix entre suppression et renvoi, format, délai, confirmation écrite. | Article 28, paragraphe 3, point g |
| 6. Utilisez-vous nos données pour vos propres objectifs : amélioration, statistiques, entraînement d’un modèle ? | Oui ou non, et la clause. | Article 28, paragraphe 10 |
| 7. Quelle certification ou quel code de conduite avancez-vous ? | Intitulé, entités et services couverts, date de validité. | Article 28, paragraphe 5 |
| 8. Sur quelle base se font les transferts hors de l’Espace économique européen ? | Décision d’adéquation, clauses types ou autre outil, par pays. | Chapitre V |
| 9. Comment nous aidez-vous pour les demandes de droits et les analyses d’impact ? | Procédure et contact. | Article 28, paragraphe 3, points e et f |
| 10. Quels audits acceptez-vous, et quel rapport pouvez-vous remettre ? | Conditions d’audit, rapport daté et son périmètre. | Article 28, paragraphe 3, point h |
Que vaut une réponse
Le CEPD admet que vous vous appuyiez sur les informations reçues et que vous les complétiez si elles paraissent incomplètes, inexactes ou posent question. Pour un risque élevé, il attend que vous contrôliez davantage ces informations. Dans tous les cas, il faut pouvoir montrer que la vérification a eu lieu.
Un code de conduite approuvé ou une certification approuvée peut servir d’élément pour démontrer les garanties (article 28, paragraphe 5). Lisez ce qu’il couvre avant de lui donner du poids : l’entité qui signe votre contrat et le service que vous achetez sont-ils dans le périmètre ? Une note automatique ou un statut « validé » dans un outil ne remplace pas cette lecture, car l’appréciation reste celle du responsable.
Répondre une fois ne suffit pas
Le CEPD présente cette obligation comme continue : vérifiez les garanties à intervalles appropriés, par des audits et inspections si nécessaire. Aucun texte lu n’en fixe la fréquence.
Notre repère : refaites les cinq premières questions à chaque renouvellement de contrat, et les dix chaque année pour vos prestataires les plus exposés. Si vous en suivez peu, un onglet de tableur suffit, avec la question, la date d’envoi, la réponse et la personne qui l’a lue.
Limites de cette page
Ce questionnaire ne contient aucune liste de contrôles techniques : la cybersécurité détaillée sort du sujet de ce site. Une réponse positive ne dit rien de la réalité des mesures, et ces questions n’ont été essayées auprès d’aucun prestataire. Pour un traitement à risque élevé, associez votre responsable sécurité à la lecture de la preuve reçue.
Prochaine action
Choisissez vos dix questions et envoyez-les à votre prestataire le plus exposé. Pour les petits risques, gardez les cinq premières, ou notez la date et l’adresse du document public qui y répond.
Preuves et sources
Lu le 5 novembre 2026 : les articles 28 et 33 et le chapitre V du RGPD dans le texte publié par la CNIL, l’avis 22/2024 du CEPD, adopté le 7 octobre 2024, et ses lignes directrices 07/2020 (version 2.1).
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 28, paragraphe 1 du RGPD impose au responsable de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes quant aux mesures techniques et organisationnelles appropriées.
Portée : Responsables du traitement.
Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli. Le texte ne prévoit aucun questionnaire.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon l’avis 22/2024 du CEPD, la vérification des garanties s’applique quel que soit le risque et son ampleur varie selon lui ; le responsable peut s’appuyer sur les informations reçues du sous-traitant et les compléter, et devrait renforcer sa vérification en cas de risque élevé.
Portée : Avis adopté le 7 octobre 2024, résumé.
Réserve : Avis du CEPD.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’application d’un code de conduite approuvé ou d’un mécanisme de certification approuvé peut servir d’élément pour démontrer l’existence de garanties suffisantes.
Portée : Article 28, paragraphe 5.
Réserve : Numéro de paragraphe rétabli. Le texte en fait un élément, sans valeur automatique.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon les lignes directrices 07/2020 du CEPD, l’obligation de ne recourir qu’à des sous-traitants présentant des garanties suffisantes est continue et le responsable devrait vérifier à intervalles appropriés, par des audits et inspections le cas échéant ; elles citent l’expertise, la fiabilité, les ressources et la réputation.
Portée : Version 2.1, points 97 à 99.
Réserve : Aucune fréquence chiffrée.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le sous-traitant notifie au responsable toute violation de données dans les meilleurs délais après en avoir pris connaissance.
Portée : Article 33, paragraphe 2.
Réserve : Numéro de paragraphe rétabli.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre méthode. Le choix de dix questions, de cinq pour un petit risque, et les fréquences de reprise sont une méthode proposée par cette page.
Portée : Questionnaire de départ.
Réserve : Sans valeur légale. À adapter au traitement.
Daté du 5 novembre 2026.
Notre avis. Accepter un document public du prestataire pour un petit risque, à condition de le lire et de le dater, est notre avis.
Portée : Traitements à faible risque.
Réserve : L’avis 22/2024 parle des informations reçues du sous-traitant, sans viser expressément une page publique.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Une note ou un statut automatique dans un outil ne vaut pas vérification, l’appréciation restant celle du responsable.
Portée : Déduction de l’article 28, paragraphe 1 et de l’avis 22/2024.
Réserve : Aucun logiciel essayé pour cette page.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.