Aller au contenu principal
Quel logiciel RGPD

Votre prestataire a une fuite : qui fait quoi ?

Pour qui : Un sous-traitant vous annonce un incident : éditeur de logiciel, hébergeur, prestataire de paie. Son message est court et rassurant. Vous devez comprendre ce qui lui revient, ce qui vous revient, et à partir de quand.

Le prestataire vous informe dans les meilleurs délais, sans avoir à évaluer d’abord le risque. C’est vous, responsable du traitement, qui appréciez ce risque et décidez de notifier la CNIL et d’informer les personnes.

Selon le Comité européen, vous êtes en principe réputé avoir pris connaissance de la violation dès que le prestataire vous en a informé : vos 72 heures partent donc de là. Le RGPD ne fixe pas de délai chiffré au prestataire. Vérifiez ce que dit votre contrat.

Notre avis

Considérez chaque message de prestataire comme le début possible de vos 72 heures, et ne lisez jamais sa conclusion rassurante comme une évaluation de votre risque. Avant tout incident, vérifiez que le contrat fixe un délai court et un contact.

Pourquoi

  • Le prestataire ne connaît pas toujours tout le contexte : le Comité européen cite le cas d’une sauvegarde que vous détenez encore, qui change la conclusion.
  • L’article 33 ne donne aucun délai chiffré au sous-traitant, et le Comité renvoie au contrat le soin de préciser. Un délai exprimé en heures dans le contrat donne un repère qu’une formule générale ne donne pas. Le chiffre se négocie selon le prestataire et les données.
  • Vos 72 heures partent en principe de son message. Prévoyez donc une adresse surveillée, et un suppléant pour les congés.

Ce qui change le choix

Vous pouvez autoriser par contrat votre prestataire à notifier en votre nom. La responsabilité reste la vôtre : nous ne le conseillons que si vous gardez la décision et recevez une copie immédiate.

L’ordre à suivre

  1. Avant l’incident : clause écrite sur le délai, le contenu, le contact et l’aide.
  2. À la réception : heure notée, faits demandés, évaluation du risque de votre côté.
  3. Prestataire qui propose de notifier pour vous : seulement avec une autorisation écrite.

La répartition des rôles au moment de l’incident

La colonne de droite indique d’où vient chaque rôle.

Qui fait quoi pendant l’incident
TâchePrestataireVousAppui
AlerterVous prévient dans les meilleurs délais.Surveillez le contact prévu.Article 33, paragraphe 2.
Établir l’existence de la violationÉtablit si elle a eu lieu.Vérifiez de votre côté ce qui vous est propre.Point 44.
Évaluer le risque pour les personnesN’a pas à le faire avant d’alerter.Décide et documente.Point 44.
Compléter l’informationDonne les détails par étapes.Demande ce qui manque.Point 45 ; article 28.
Notifier la CNILSeulement avec votre autorisation contractuelle.Reste légalement responsable.Point 48.
Informer les personnesAide, sur ses informations.Décide selon le risque élevé.Article 34 ; article 28.

Les questions à poser dès le premier message

Cette liste est la nôtre. Elle reprend ce dont vous aurez besoin pour la notification prévue à l’article 33, paragraphe 3 : nature de la violation, catégories et nombres approximatifs, conséquences, mesures.

  1. Quand l’incident a-t-il été découvert, et comment ? Pour comparer ce moment à la date de son message.
  2. Quelles données de notre organisation sont touchées, et combien de personnes ? Une réponse générale sur tous ses clients ne suffit pas : il doit informer chaque client touché, point 47.
  3. L’atteinte porte-t-elle sur la confidentialité, l’intégrité ou la disponibilité ? Les trois types de violation retenus par la CNIL.
  4. Quelles mesures sont prises, et qu’est-ce qui reste inconnu ? Vous pourrez notifier en plusieurs temps.
  5. Quand aurons-nous la prochaine information, et par qui ? Pour tenir votre propre échéance.

La clause à vérifier avant le prochain incident

L’article 28 impose un contrat prévoyant que le sous-traitant vous aide pour les articles 32 à 36. Le Comité européen ajoute que ce contrat devrait préciser comment l’article 33 s’applique, et peut prévoir une alerte précoce. Relisez quatre points : le délai, de préférence chiffré en heures ; le contenu minimal de l’alerte ; l’adresse de votre côté, surveillée ; le droit d’obtenir les éléments complémentaires. Si le contrat se limite à « dans les meilleurs délais », il reprend le texte sans vous donner de repère. Faites compléter ce point au renouvellement, ou plus tôt si le prestataire traite des données sensibles.

Si vous êtes vous-même le prestataire

Le même article s’applique dans l’autre sens : vous prévenez chaque client concerné, sans attendre d’avoir évalué le risque pour ses personnes. Vous ne notifiez la CNIL à sa place que s’il vous a donné une autorisation écrite.

Limites de cette page

Cette page donne la règle générale. Le texte des clauses types de la Commission européenne sur ce point n’a pas été lu pour cette page, et votre contrat peut prévoir autre chose. Le Comité écrit « en principe » pour le point de départ : un cas particulier peut justifier une autre analyse. Pour un incident lourd avec un prestataire qui refuse de répondre, faites intervenir votre conseil.

Prochaine action

Ouvrez le contrat de votre prestataire le plus exposé et vérifiez le délai de notification, le contact et le contenu de l’alerte. Si vous recevez une alerte dès aujourd’hui, notez l’heure de réception et décidez du risque de votre côté, même s’il annonce avoir tout réglé.

Preuves et sources

Lu le 5 novembre 2026 : les articles 28 et 33 du RGPD dans le texte publié par la CNIL ; les lignes directrices 9/2022 du Comité européen, version 2.0 du 28 mars 2023, points 43 à 48.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode

  • Fait lu. Le sous-traitant notifie au responsable du traitement toute violation dans les meilleurs délais après en avoir pris connaissance.

    Portée : RGPD, article 33, paragraphe 2.

    Réserve : Texte reproduit par la CNIL, numéro de paragraphe rétabli. Aucun délai chiffré.

  • Déclaration de l’éditeur. Le Comité européen écrit que le sous-traitant n’a pas à évaluer d’abord le risque avant de notifier le responsable, que cette évaluation revient au responsable, et que celui-ci doit en principe être considéré comme ayant pris connaissance de la violation dès que le sous-traitant l’en a informé.

    Portée : Lignes directrices 9/2022, version 2.0, point 44.

    Réserve : Doctrine, formulée « en principe ».

  • Déclaration de l’éditeur. Le Comité européen cite le cas d’un responsable détenant encore une copie ou une sauvegarde de données détruites ou perdues chez le sous-traitant, qui peut changer la nécessité de notifier.

    Portée : Point 44.

    Réserve : Exemple.

  • Déclaration de l’éditeur. Le Comité européen note l’absence de délai explicite pour le sous-traitant, recommande une notification rapide avec des informations par étapes, et indique que le contrat devrait préciser comment l’article 33, paragraphe 2, s’applique, y compris par une notification précoce.

    Portée : Points 45 et 46.

    Réserve : Recommandation.

  • Déclaration de l’éditeur. Un sous-traitant servant plusieurs responsables touchés par le même incident doit en informer chacun, et il ne peut notifier au nom du responsable qu’avec l’autorisation contractuelle de celui-ci, la responsabilité légale de notifier restant au responsable.

    Portée : Points 47 et 48.

    Réserve : Doctrine.

  • Fait lu. L’article 28 prévoit que le contrat oblige le sous-traitant à aider le responsable à garantir le respect des obligations des articles 32 à 36, compte tenu de la nature du traitement et des informations à sa disposition.

    Portée : RGPD, article 28, paragraphe 3, point f.

    Réserve : Texte reproduit par la CNIL.

  • Fait lu. L’article 33, paragraphe 3, liste les éléments minimaux de la notification à l’autorité : nature de la violation, contact, conséquences probables et mesures.

    Portée : RGPD, article 33, paragraphe 3.

    Réserve : Catégories et nombres « si possible ».

  • Notre avis. La recommandation d’un délai contractuel chiffré en heures, d’un contact surveillé et les cinq questions à poser sont un avis de cette page, sans chiffre imposé par le texte.

    Portée : Rédaction et lecture des contrats de sous-traitance.

    Réserve : Le chiffre dépend du prestataire et des données.