Comment suivre les sous-traitants de vos sous-traitants ?
Pour qui : Vous recevez des avis de changement de sous-traitants ultérieurs, c’est-à-dire des prestataires auxquels votre prestataire confie à son tour une partie du travail. Personne ne sait vraiment qui doit les lire ni quoi en faire.
Choisissez l’autorisation générale avec droit d’objection si personne ne peut traiter chaque demande une à une, puis organisez la lecture des avis : une boîte de réception partagée et un lecteur nommé. C’est le point qui compte le plus, car en autorisation générale, votre silence dans le délai peut valoir accord selon le CEPD.
Devez-vous connaître toute la chaîne ? Le CEPD répond que vous devriez avoir à disposition le nom, l’adresse et un contact de tous les sous-traitants ultérieurs, quel que soit le risque. L’article 28 ne l’écrit pas expressément : le CEPD le déduit des obligations de vérification. Exigez-le au contrat et tenez un fichier.
Notre avis
Retenez une autorisation générale avec droit d’objection si vous n’avez pas les moyens d’une autorisation spécifique. Désignez une boîte de réception et un lecteur, puis tenez à jour un fichier des noms. Une liste sur le site du prestataire ne vous dispense pas de ce travail.
Pourquoi
- En autorisation générale, l’absence d’objection dans le délai peut valoir accord : un avis non lu est une décision prise par défaut.
- En autorisation spécifique, une demande restée sans réponse devrait être tenue pour refusée : sans lecteur, vous bloquez le prestataire au lieu de l’encadrer.
- Pour le CEPD, le prestataire doit signaler chaque nouveau sous-traitant envisagé : l’accès à une liste qui change ne suffit pas.
Ce qui change le choix
Données sensibles, risque élevé ou chaîne longue : passez à l’autorisation spécifique pour ce traitement, ou renforcez la vérification des prestataires de la chaîne. Si les avis à suivre se comptent par dizaines, un outil qui relance peut aider : la lecture et la décision restent à vous.
L’ordre à suivre
- Cas courant : autorisation générale, avec un lecteur nommé et un délai d’objection au contrat.
- Traitement sensible ou à risque élevé : autorisation spécifique, si le prestataire l’accepte et si vous pouvez répondre à temps.
- Autorisation générale déjà signée sans procédure : demandez la liste et le canal d’avis par écrit.
Générale ou spécifique : la vraie différence est votre silence
L’article 28 exige dans les deux cas une autorisation écrite préalable. Si le contrat type du prestataire n’offre que l’autorisation générale, vous ne choisissez plus la forme : il vous reste à organiser la lecture.
| Critère | Autorisation générale | Autorisation spécifique |
|---|---|---|
| Effet de votre silence | Peut valoir accord à l’expiration du délai fixé (CEPD). | Une demande sans réponse dans le délai devrait être tenue pour refusée (CEPD). |
| Ce que fait le prestataire | Vous informe de tout ajout ou remplacement prévu, comme l’exige l’article 28, paragraphe 2. | Vous demande l’autorisation, selon la procédure du contrat. |
| Ce qu’il vous faut | Un lecteur nommé, un délai, une réponse possible. | Quelqu’un qui répond à chaque demande à temps. |
| Notre avis | Le choix par défaut. | Pour un traitement sensible, si vous pouvez tenir ce rythme. |
Trois lignes à obtenir dans le contrat
Selon le CEPD, le contrat devrait préciser le délai pour répondre ou s’opposer, la façon de communiquer, et ce qui se passe après une objection, par exemple le délai pour décider de mettre fin au traitement. Aucun texte lu ne chiffre ce délai : le CEPD demande qu’il soit raisonnable au regard du traitement, de sa complexité et de la relation entre les parties.
Demandez aussi le format de la liste. Le CEPD admet qu’un format précis soit prévu au contrat pour faciliter votre suivi.
Ce qu’une liste en ligne ne remplace pas
Le CEPD est net : donner un accès général à une liste mise à jour de temps en temps ne suffit pas sans signaler chaque nouveau sous-traitant envisagé. Le prestataire doit vous informer activement. Si un contrat renvoie à une page web, demandez un abonnement aux changements ou un avis par courriel, et notez la réponse.
Vous n’avez pas à réclamer tous les contrats de la chaîne. Selon l’avis 22/2024, le responsable n’a pas l’obligation de les demander systématiquement ; il apprécie au cas par cas s’il en a besoin pour démontrer son respect des règles. En cas de risque élevé, il devrait vérifier davantage les informations reçues, selon le même avis. Le prestataire initial reste de son côté pleinement responsable devant vous de son propre sous-traitant (article 28, paragraphe 4).
La procédure pour chaque avis reçu
Elle tient dans un tableur et ne demande aucun logiciel tant que les avis restent peu nombreux.
- Faites arriver les avis dans une boîte partagée, avec un lecteur et un remplaçant nommés. Notre méthode. Modifiez le contact déclaré chez chaque prestataire.
- Notez le nom, le pays, le rôle dans le service et les données touchées. Identité : nom, adresse, personne de contact, selon le CEPD.
- Calculez la date limite d’objection dès la réception. Délai fixé par votre contrat.
- Décidez : rien à signaler, question à poser, ou objection. Nouveau pays hors de l’Espace économique européen, données sensibles, ou activité qui change : posez la question avant la date limite.
- Reportez la décision dans le fichier des prestataires, et dans le registre si un destinataire ou un transfert change. Article 30, paragraphe 1, points d et e.
Limites de cette page
Les lignes directrices et avis du CEPD sont des interprétations de l’article 28, sans valeur d’article du règlement. Nous ne disons pas quelle part des contrats types permet une autorisation spécifique : nous n’avons pas lu ces contrats pour cette page. Demandez-le à votre prestataire. Lisez aussi les conditions d’une objection : la sortie prévue peut être une résiliation.
Prochaine action
Désignez une boîte de réception et un lecteur. Puis demandez à votre prestataire le plus sensible la liste à jour de ses sous-traitants ultérieurs, avec leur pays, et la façon dont il signale un changement.
Preuves et sources
Lu le 5 novembre 2026 : l’article 28 du RGPD dans le texte publié par la CNIL, l’avis 22/2024 du CEPD, adopté le 7 octobre 2024, et ses lignes directrices 07/2020 (version 2.1).
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 28, paragraphe 2 du RGPD interdit au sous-traitant de recruter un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale ; en cas d’autorisation générale, il informe le responsable de tout changement prévu, qui peut émettre des objections.
Portée : Chaîne de sous-traitance.
Réserve : Texte reproduit par la CNIL, numéros de paragraphe rétablis.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 28, paragraphe 4 impose au sous-traitant ultérieur les mêmes obligations par contrat ou acte juridique, et le sous-traitant initial demeure pleinement responsable devant le responsable du traitement.
Portée : Chaîne de sous-traitance.
Réserve : Numéro de paragraphe rétabli.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Selon le CEPD, la principale différence entre les deux autorisations tient au sens du silence : en autorisation générale, l’absence d’objection dans le délai peut s’interpréter comme une autorisation ; en autorisation spécifique, une demande sans réponse dans le délai devrait être tenue pour refusée.
Portée : Lignes directrices 07/2020, version 2.1, points 155 et 157.
Réserve : Interprétation du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, le contrat devrait préciser le délai d’approbation ou d’objection, raisonnable au regard du traitement, sa complexité et la relation entre les parties, la façon de communiquer et les suites d’une objection.
Portée : Lignes directrices 07/2020, version 2.1, point 158.
Réserve : Aucun délai chiffré dans le passage lu.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, un accès général à une liste de sous-traitants mise à jour de temps en temps ne suffit pas sans signaler chaque nouveau sous-traitant envisagé : le sous-traitant doit informer activement le responsable.
Portée : Lignes directrices 07/2020, version 2.1, point 128 et note 54.
Réserve : Interprétation du CEPD.
- CEPD : Guidelines 07/2020 on the concepts of controller and processor in the GDPR Version 2.1, adoptée le 7 juillet 2021. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon l’avis 22/2024 du CEPD, le responsable devrait avoir à disposition à tout moment l’identité (nom, adresse, personne de contact) de tous les sous-traitants et sous-traitants ultérieurs, quel que soit le risque, le sous-traitant devant la fournir de façon proactive et la tenir à jour ; le CEPD indique que ce n’est pas explicite dans les dispositions.
Portée : Avis adopté le 7 octobre 2024, résumé et points 31 et 32.
Réserve : Avis du CEPD. Le contrat peut prévoir le format de ces informations.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon l’avis 22/2024 du CEPD, le responsable n’a pas le devoir de demander systématiquement les contrats de sous-traitance ultérieure et apprécie au cas par cas ; pour un risque élevé, il devrait renforcer la vérification des informations reçues.
Portée : Avis adopté le 7 octobre 2024, résumé.
Réserve : Avis du CEPD.
- CEPD/EDPB : Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s) 9 octobre 2024. Lu le 5 novembre 2026. Document d’origine.
Notre avis. Préférer par défaut l’autorisation générale, parce qu’une autorisation spécifique sans réponse à temps bloque le prestataire, est notre avis.
Portée : Organisations sans équipe dédiée.
Réserve : Un traitement sensible peut justifier le choix inverse.
Daté du 5 novembre 2026.
Notre méthode. La procédure en cinq étapes et le critère de question avant date limite sont une méthode proposée par cette page.
Portée : Traitement des avis reçus.
Réserve : Sans valeur légale.
Daté du 5 novembre 2026.