Besoin de conseil ?
Prendre rdv sur Teams
La conformité au RGPD est une obligation légale. Externaliser l’informatique ne transfère pas la responsabilité : l’entreprise reste responsable de ses choix, de ses accès et de son niveau de contrôle.
Le vrai risque, ce n’est pas la technique : c’est un contrat mal cadré (article 28), sans preuves de sécurité (article 32) ni réversibilité.
Cet article définit les exigences non négociables et les actions concrètes pour maîtriser ce risque.
🔗 Pour tout savoir sur l’infogérance, voir: présentation de l’infogérance.
Il est crucial de distinguer ce qu’un prestataire informatique peut et doit faire de ce qui reste de votre ressort exclusif.
Ce que votre prestataire fournit :
Il est votre bras armé pour mettre en œuvre la politique de sécurité que vous, en tant que responsable de traitement, avez définie.
Ce que votre prestataire ne fait pas :
La conformité est un processus continu qui inclut la tenue d’un registre de traitement, la gestion des demandes de droits des personnes, la réalisation d’analyses d’impact (AIPD) si nécessaire, et la supervision globale de la gouvernance des données.
Ces obligations vous incombent.
En pratique, dès qu’un prestataire intervient sur un SI contenant des données personnelles (accès, consultation, modification, sauvegarde, journalisation…), il réalise un traitement pour le compte de l’entreprise.
La relation doit donc être encadrée comme une sous-traitance au sens du RGPD (article 28). La CNIL détaille ce cadre dans sa page responsable de traitement / sous-traitant.
La CNIL est explicite : ne pas commencer la prestation sans contrat reprenant les exigences de l’article 28. Ce document n’est pas une formalité administrative, c’est le socle qui définit les obligations de votre prestataire et protège votre entreprise.
Ce contrat doit être signé avant le début de toute prestation — point non négociable. Il doit contenir des clauses précises, dont voici les plus critiques :
| Clause | Description | Objectif pour la PME |
| Objet, durée, finalités | Décrit précisément la nature des traitements de données que le prestataire effectuera pour votre compte. | Éviter tout traitement non autorisé ou non documenté. |
| Instructions documentées | Le prestataire ne peut agir que sur la base de vos instructions écrites. | Garder le contrôle total sur l’usage des données. |
| Confidentialité | Le personnel du prestataire autorisé à accéder aux données doit être soumis à une obligation de confidentialité. | Prévenir les fuites d’information. |
| Sécurité des données | Le prestataire doit mettre en œuvre les mesures de sécurité techniques et organisationnelles requises par l’article 32. | Garantir un niveau de protection adéquat pour les données. |
| Sous-traitants ultérieurs | Le prestataire ne peut pas engager un autre sous-traitant sans votre autorisation écrite préalable. | Maîtriser toute la chaîne de traitement et éviter les angles morts. |
| Transferts hors UE | Les transferts de données hors de l’Union Européenne doivent être encadrés par des garanties appropriées. | Assurer la conformité légale des flux de données internationaux. |
| Assistance et droits | Le prestataire doit vous aider à répondre aux demandes d’exercice des droits des personnes (accès, rectification, etc.). | Remplir vos propres obligations de responsable de traitement. |
| Fin de contrat | Définit les modalités de restitution ou de destruction sécurisée des données à la fin de la prestation. | Assurer une réversibilité propre et ne laisser aucune donnée derrière. |
La CNIL met à disposition des Clauses Contractuelles Types (CCT) comme référence principale pour la rédaction de ces contrats. Pour aller plus loin : exemple de clauses historiques.
Un contrat ne vaut rien sans la preuve de son application. La « sécurité déclarative », où le prestataire affirme simplement être sécurisé, est insuffisante.
Vous devez exiger des preuves de la mise en place de mesures pragmatiques et adaptées au contexte d’une PME. Voici une liste de contrôles fondamentaux, inspirés du guide d’hygiène informatique de l’ANSSI :
Pour que la conformité soit un processus vivant et non un simple document, vous devez obtenir des rapports réguliers de votre prestataire. Ces documents sont la preuve de la diligence et de la bonne exécution du contrat.
En cas de violation de données, un processus de gestion d’incident doit être défini par écrit en amont. Ce document doit clarifier :
Nous vous détaillons ici les éléments à vérifier pour éviter les mauvaises surprises en infogérance.
L’infogérance me rend-elle « conforme RGPD » ?
Non. Elle est un outil essentiel pour atteindre et maintenir la conformité technique, mais la gouvernance globale — registre de traitement, droits des personnes, AIPD — reste de la responsabilité de l’entreprise.
Quelles clauses de l’article 28 sont les plus critiques ?
L’obligation d’agir sur instruction, l’engagement de sécurité, la gestion des sous-traitants ultérieurs et la clause de réversibilité sont absolument fondamentales.
Sauvegarde vs archivage probant : quelle différence ?
La sauvegarde vise la continuité d’activité (reprise après panne). L’archivage probant (norme ISO 14641-1) vise à garantir l’intégrité et la valeur légale d’un document sur le long terme. Ce sont deux objectifs et deux technologies distincts.
Mon prestataire peut-il conserver les accès administrateur ?
Oui, mais ces accès doivent être délégués, nominatifs, tracés et soumis au MFA. L’entreprise doit rester propriétaire des comptes principaux et pouvoir révoquer ces accès à tout moment.
Cloud américain : que vérifier ?
Vérifier l’existence de clauses contractuelles types (CCT) ou d’autres mécanismes de transfert reconnus par la CNIL, et s’assurer que le prestataire peut documenter ces garanties sur demande.