Quand la fuite ne vient pas de chez vous

Une constante des incidents de cet été : dans un grand nombre de cas, l’organisation dont les données se retrouvent en vente n’est pas celle qui a été attaquée. L’intrusion a eu lieu chez un prestataire — éditeur du logiciel métier, hébergeur, plateforme de gestion des ressources humaines, sous-traitant d’un sous-traitant.

Du point de vue de la personne concernée, la nuance n’existe pas. Elle a confié ses données à une organisation, elles circulent. Du point de vue du régulateur, elle n’existe pas davantage : le responsable de traitement reste responsable du choix de son sous-traitant et des garanties qu’il en a obtenues.

Du point de vue opérationnel en revanche, la différence est brutale. Vous découvrez l’incident par un tiers, vous n’avez pas accès aux journaux, vous ne maîtrisez ni le rythme des investigations ni le contenu de la communication — et vous devez malgré tout notifier dans les délais.

Ce que l’article 28 impose déjà

Beaucoup d’organisations découvrent après incident que leurs contrats sont en deçà du minimum légal. L’article 28 du RGPD exige un contrat écrit prévoyant l’objet et la durée du traitement, les catégories de données et de personnes concernées, l’obligation de confidentialité, les mesures de sécurité, le sort des données en fin de contrat, la mise à disposition des informations nécessaires pour démontrer la conformité, et l’encadrement de la sous-traitance ultérieure.

Ce socle est rarement absent — il est le plus souvent présent sous forme d’annexe type, signée sans être négociée, et rédigée par le prestataire. Ce qui manque, ce sont les modalités : des obligations formulées sans délai, sans format, sans destinataire identifié, donc sans possibilité de constater un manquement.

Les quatre clauses qui font la différence

Le délai de notification, chiffré. Vous disposez de soixante-douze heures pour notifier la CNIL à compter de la prise de connaissance d’une violation. Si votre prestataire s’engage à vous informer « dans les meilleurs délais », votre délai commence quand il le décide. Une clause utile fixe un nombre d’heures — vingt-quatre est un usage raisonnable pour un fournisseur critique — et précise que le point de départ est la détection chez lui, pas la fin de ses investigations.

Ajoutez le canal : une adresse générique de support n’est pas un canal de notification d’incident. Il faut un contact nommé de part et d’autre, et une consigne de remontée qui fonctionne un week-end.

L’accès aux preuves. C’est la clause la plus souvent oubliée et la plus déterminante après coup. Sans journaux, vous ne pouvez ni qualifier l’étendue de la violation, ni déterminer les catégories de données touchées, ni décider s’il faut informer les personnes concernées au titre de l’article 34. Vous vous retrouvez à notifier une violation dont vous ne pouvez pas décrire le périmètre.

Précisez quels journaux sont conservés, combien de temps, sous quel format, et dans quel délai ils vous sont remis en cas d’incident. Une conservation de trente jours est fréquente et souvent insuffisante : le délai moyen entre l’intrusion initiale et sa découverte se compte en semaines.

La sous-traitance ultérieure. Votre éditeur héberge chez quelqu’un, sauvegarde ailleurs, sous-traite parfois le support. Chacun de ces maillons est un point d’entrée, et vous restez responsable de la chaîne entière. Exigez une liste tenue à jour, une information préalable en cas de changement, et un droit d’opposition motivé — la clause standard qui prévoit une simple information a posteriori ne vous laisse aucune marge.

La réversibilité. Elle sert deux fois : le jour où vous changez de fournisseur, et le jour où vous devez prouver que les données ont bien été supprimées. Le point systématiquement oublié est le sort des sauvegardes. Un prestataire peut supprimer la base de production de bonne foi et conserver douze mois de sauvegardes chiffrées, qui restent des données à caractère personnel.

Le droit d’audit qui n’en est pas un

Presque tous les contrats prévoient un droit d’audit. Presque aucun n’est exerçable.

Une clause utile précise la fréquence, le délai de prévenance, le périmètre, qui supporte les coûts, et ce qui est accepté en substitution — un rapport ISO 27001 ou SOC 2 récent vaut souvent mieux qu’un audit sur site que vous ne conduirez jamais. Une clause qui se contente d’énoncer le principe donne un faux sentiment de couverture.

Le corollaire pratique : demandez chaque année les certificats et rapports en cours de validité, et lisez le périmètre. Une certification dont le champ exclut précisément le service que vous consommez est un cas fréquent.

Le décalage qui arrive avec le CRA

Un point à anticiper pour les renouvellements de l’automne. À partir du 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler sous vingt-quatre heures les vulnérabilités activement exploitées dans leurs produits. Vos éditeurs de logiciels sont concernés.

Cette obligation ne vous vise pas directement, mais elle crée un flux d’information amont plus rapide et plus formel qu’aujourd’hui. Deux conséquences : il faut quelqu’un chez vous pour recevoir ces avis et savoir si vous êtes concerné — ce qui suppose un inventaire des produits et de leurs versions ; et il devient cohérent d’aligner vos clauses de notification fournisseur sur ces délais, puisque vos fournisseurs y sont désormais tenus par ailleurs.

Par où commencer sans tout renégocier

Renégocier l’ensemble du portefeuille contractuel n’est ni réaliste ni utile. Trois étapes suffisent à couvrir l’essentiel du risque.

Établissez la liste des prestataires qui accèdent à des données personnelles ou à votre système d’information. Classez-les selon deux critères : le volume et la sensibilité des données, et la difficulté à s’en passer du jour au lendemain. Les fournisseurs qui cumulent les deux constituent votre périmètre critique — dans une PME, ils sont en général entre cinq et quinze.

Pour ceux-là uniquement, relisez le contrat au regard des quatre clauses ci-dessus, et traitez les écarts au renouvellement. Pour les autres, un avenant type suffit.

Enfin, testez la chaîne de notification une fois. Un courriel au contact désigné chez votre prestataire critique, un vendredi à dix-huit heures, avec une question simple. Le délai de réponse vous en apprendra davantage que la relecture du contrat.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 28, 32, 33 et 34
• CNIL — guide du sous-traitant ; obligations de notification des violations de données
• Règlement (UE) 2024/2847 (Cyber Resilience Act), article 14, applicable au 11 septembre 2026