Registre des sous-traitants RGPD : le modèle pour agences

Le règlement (UE) 2016/679 distingue le responsable de traitement, qui décide des finalités et des moyens, et le sous-traitant, qui traite des données personnelles pour son compte. Votre client, qui exploite son site, sa boutique ou sa newsletter, est en général responsable de traitement. Dès que vous hébergez, administrez ou sauvegardez ce site, vous traitez ces données pour lui : l'agence agit alors, le plus souvent, comme sous-traitant. L'hébergeur, le fournisseur d'e-mail ou le service de sauvegarde que vous employez travaillent à leur tour pour votre compte. Ce sont des sous-traitants ultérieurs de l'agence, qui ne devraient intervenir qu'avec l'autorisation écrite du client.

La qualification ne se choisit pas à sa convenance. La CNIL rappelle que le donneur d'ordre et le prestataire analysent ensemble leurs rôles, d'après ce que chacun fait réellement des données. Une agence qui réutilise les données d'un client pour ses propres besoins, par exemple sa prospection, devient responsable de traitement pour ce seul usage. L'objection fréquente, « cela concerne l'hébergeur », oublie donc que la chaîne passe par vous : c'est l'agence que le client interroge, et c'est elle qui doit savoir quels maillons elle a ajoutés.

Le scénario est banal. Le client prépare un audit, répond à un appel d'offres ou remplit le questionnaire d'un grand compte, et demande la liste des sous-traitants de l'agence avec l'accord correspondant. Sans registre, l'agence reconstitue de mémoire : le serveur est chez tel hébergeur, les boîtes e-mail chez un autre, la sauvegarde dans un stockage créé un soir de panne, le DNS chez le bureau d'enregistrement d'origine. Ce travail à chaud prend des jours et laisse des trous. Un registre à jour tient sur une feuille commune plus une feuille par client, et se produit en quelques minutes. Il sert aussi l'agence elle-même : le jour d'une faille ou d'une fuite, vous savez où regarder et qui prévenir.

Le registre n'a pas besoin d'un outil spécialisé. Un tableur partagé, en lecture pour les clients concernés et en écriture pour deux personnes de l'agence, suffit au départ. Gardez une ligne par service et par client, plutôt qu'une ligne par prestataire : l'hébergeur d'un parc de trente sites est un seul prestataire, mais trente périmètres de données distincts. Voici les colonnes à prévoir.

Le piège est de ne lister que l'hébergeur, parce que c'est lui qu'on paye chaque mois. Or un site client envoie des données à bien plus d'endroits : la zone DNS, la messagerie, la sauvegarde que vous avez branchée, l'outil qui reçoit les alertes, le service qui relaie le trafic, les scripts chargés depuis un tiers. Chacun peut voir des adresses IP, des adresses e-mail ou le contenu de formulaires. La liste ci-dessous sert de grille de départ ; ajoutez-y ce que votre pile contient en plus.

Un accord ne se signe pas les yeux fermés, et il ne se résume pas à une case cochée dans un panneau client. Pour l'hébergeur, le DNS ou la sauvegarde, vérifiez que le document couvre les sept points ci-dessous. Nous ne citons ici aucun article de loi : la CNIL publie un guide du sous-traitant et un exemple de clauses, à lire avec votre conseil. Si un point manque, ne le déduisez pas du silence du contrat : demandez-le par écrit et conservez la réponse avec la ligne du registre.

Tenez le registre sur deux niveaux. Une feuille commune décrit chaque prestataire une seule fois : accord, localisation, contact, liste de ses sous-traitants ultérieurs. Une feuille par client indique quels services touchent ses données et quel périmètre ils couvrent. Quand un client demande sa liste, vous extrayez ses lignes, sans rien reconstituer. Fixez une revue à rythme régulier, par exemple chaque trimestre, et une revue déclenchée par tout changement : nouveau prestataire, migration de serveur, nouvelle extension qui appelle un service externe. L'audit mensuel d'un VPS client et le test de restauration d'une sauvegarde sont de bons moments pour relever ces écarts, parce que vous y regardez déjà ce qui tourne réellement.

Chaque service pris chez un acteur distinct ajoute une ligne, un accord à collecter, un contact à tenir et une liste de sous-traitants ultérieurs à suivre. Regrouper domaine, hébergement et DNS chez un même prestataire réduit mécaniquement le nombre de lignes, et ce qui reste à relire. La contrepartie existe : la dépendance à un seul fournisseur se note elle aussi dans le registre, avec la manière de repartir si nécessaire. Sur ServOrbit.com, les pages /pourquoi/securite et /pourquoi/infrastructure décrivent ce que nous exploitons et où. Elles ne remplacent pas un document contractuel et cet article n'affirme aucune certification : pour obtenir les documents d'un service précis, écrivez à [email protected] en indiquant le périmètre visé.

Créez le tableur avec les sept colonnes. Remplissez-le pour le client dont les données sont les plus sensibles, avec les huit étapes de cartographie. Envoyez ensuite une demande écrite à chaque prestataire dont l'accord ou la liste de sous-traitants ultérieurs manque. Pour les textes de référence, appuyez-vous sur les sources officielles : le guide du sous-traitant de la CNIL (https://www.cnil.fr/fr/reglement-europeen-sur-la-protection-des-donnees-un-guide-pour-accompagner-les-sous-traitants), sa page consacrée au sous-traitant (https://www.cnil.fr/fr/qualification-juridique-sous-traitance) et le texte du règlement sur EUR-Lex (https://eur-lex.europa.eu/eli/reg/2016/679/oj). Cet article est un repère pratique et ne constitue pas un conseil juridique : faites valider vos accords et vos qualifications par un professionnel du droit.