Quand un sous-traitant laisse fuiter des données, le réflexe du donneur d’ordre est souvent de pointer du doigt le prestataire. Erreur. La CNIL l’a rappelé dans une fiche publiée le 23 avril 2025 : le responsable de traitement reste en première ligne, y compris quand la brèche vient d’ailleurs. Reste à savoir ce que ça change concrètement dans les contrats, les audits et les réflexes quotidiens d’une entreprise qui externalise une partie de son informatique.

Ce que dit le droit quand le sous-traitant est en cause

L’article 4(12) du RGPD pose une définition large : toute atteinte à la sécurité qui entraîne destruction, perte, altération ou divulgation non autorisée de données constitue une violation. Peu importe que l’origine soit une erreur humaine, un serveur mal configuré ou un pirate organisé. Le donneur d’ordre, en tant que responsable de traitement, porte la charge de démontrer qu’il a pris des mesures appropriées avant l’incident.

La jurisprudence européenne va dans le même sens. La CJUE a tranché qu’un employeur responsable du traitement ne peut pas s’exonérer au motif qu’un salarié a commis une faute. Transposé à la relation de sous-traitance, le principe est limpide : confier une tâche ne transfère pas la responsabilité. Le contrat ne suffit jamais à lui seul.

Violation, compromission, incident : de quoi parle-t-on au juste ?

La fiche CNIL distingue plusieurs niveaux de gravité. Une compromission suppose qu’un tiers a réellement accédé aux données. Un simple dysfonctionnement sans accès externe relève de l’incident de sécurité, pas forcément d’une violation notifiable. Cette distinction change tout pour le donneur d’ordre, qui doit qualifier l’événement avant de décider des suites.

Le volume des signalements donne une idée de la pression. La page « Fuite de données clients | Qui est responsable dans votre cabinet » mentionne 8 613 violations signalées en France en 2025, soit une fuite toutes les heures. Derrière ce chiffre, des responsables de traitement qui doivent documenter, analyser et parfois notifier dans un délai de 72 heures. Autant dire que l’improvisation n’a pas sa place.

Le cas Bu3ba, ou comment une campagne d’hameçonnage remonte jusqu’au donneur d’ordre

La CNIL illustre son propos avec un scénario fictif. Un pirate nommé Bu3ba récupère des adresses e-mails professionnels sur le dark web, puis lance une campagne d’hameçonnage ciblée. Les victimes, employés d’un sous-traitant, cliquent. Des identifiants sont dérobés. Le sous-traitant prévient son client, et c’est là que les ennuis commencent pour ce dernier.

Ce qui frappe dans ce cas, c’est la chaîne de responsabilité. Le donneur d’ordre n’a commis aucune faute directe. Il n’a pas choisi le mot de passe faible, ni cliqué sur le lien piégé. Pourtant, il doit répondre aux personnes concernées, évaluer les risques et documenter sa vigilance. La question devient : qu’avait-il prévu avant l’attaque ?

L’article 32 du RGPD appliqué au quotidien

L’article 32 impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées. La formulation est volontairement ouverte, et c’est là que beaucoup d’entreprises se perdent. Qu’est-ce qu’une mesure « appropriée » ? La réponse dépend du contexte, mais quelques réflexes se dégagent. Sur ce point, voir aussi notre article sur comment savoir si vous avez une fuite ?.

Ce qu’un donneur d’ordre peut vérifier sans être expert

• La clause de notification du sous-traitant mentionne-t-elle un délai précis en cas d’incident, ou se contente-t-elle d’un vague « sans délai injustifié » ?
• Des audits réguliers ?
• Le sous-traitant dispose-t-il d’une politique de gestion des habilitations, ou tout le monde accède-t-il à tout ?
• Une simulation d’incident a-t-elle déjà été menée ensemble, pour voir comment les deux équipes réagissent en conditions réelles ?

Franchement, la plupart des contrats que je vois passer ne vont pas aussi loin. Ils décrivent des obligations générales, mais rien qui permette au donneur d’ordre de prouver une vigilance continue. Or c’est précisément ce que la CNIL attend : une trace écrite, datée, qui montre que la sécurité n’était pas un chapitre décoratif.

La notification : un processus qui se prépare avant l’incident

Quand la fuite est avérée, le temps se contracte. Le RGPD impose de notifier à l’autorité de contrôle dans les 72 heures, mais seulement si la violation présente un risque pour les droits et libertés des personnes. Si le risque est élevé, les personnes concernées doivent aussi être informées. Le donneur d’ordre ne peut pas se contenter de répercuter l’alerte du sous-traitant.

Il lui faut qualifier la violation, évaluer les conséquences probables et décider des mesures à prendre. Ça suppose d’avoir accès aux journaux du sous-traitant, à une description précise des données compromises et à une première analyse des causes. Toutes choses qui se négocient en amont, dans le contrat ou dans un protocole d’incident annexé.

La vigilance contractuelle ne s’arrête pas à la signature

Signer un contrat conforme au RGPD est une chose. Maintenir cette conformité dans le temps en est une autre. Le sous-traitant qui a passé un audit à la signature peut voir ses pratiques dériver, changer de prestataire d’hébergement, intégrer une brique logicielle moins sûre. Le donneur d’ordre qui ne vérifie rien pendant deux ans aura du mal à démontrer sa vigilance.

La fiche CNIL insiste sur la traçabilité des contrôles. Un simple e-mail de relance vaut mieux que rien, mais un compte rendu d’audit, un questionnaire de sécurité rempli et daté, une réunion annuelle dont on garde le relevé de décisions : voilà ce qui pèse dans une procédure. Les conseils d’un avocat-cybersecurite.fr aident souvent à structurer ces preuves avant qu’elles ne deviennent nécessaires.

Bon, il faut aussi admettre que la vigilance a des limites. Un donneur d’ordre ne peut pas vérifier chaque ligne de code de son prestataire. Mais il peut exiger des rapports d’audit indépendants, demander les certifications pertinentes et surveiller les signaux faibles : rotation anormale du personnel sécurité, incidents répétés chez d’autres clients du même sous-traitant, changements de gouvernance.

Ce que le donneur d’ordre devrait retenir d’une fuite chez son prestataire

La fuite de données chez un sous-traitant révèle souvent des failles que personne n’avait voulu voir : des clauses trop vagues, des habilitations jamais revues, une confiance qui tenait lieu de politique de sécurité. Le donneur d’ordre n’est pas coupable de la défaillance technique, mais il est comptable de la manière dont il l’a anticipée, encadrée et documentée.

La fiche CNIL ne demande pas la perfection, elle demande la preuve d’une démarche cohérente et continue. Reste une question inconfortable : combien de responsables de traitement sauraient sortir, en une heure, le dossier de vigilance d’un sous-traitant qui encaisse une fuite ce matin ?