Quelle question faut-il poser avant même de signer ?

Si votre prestataire cessait demain, qui garderait encore la main sur vos données, vos comptes et vos exports ? C’est la bonne question, parce que le risque n’est pas seulement la fuite : c’est l’accès qui survit au contrat, aux changements d’équipe et aux oublis de fin de mission.

Le RGPD impose au sous-traitant de ne traiter les données que sur instruction documentée du responsable de traitement et d’encadrer contractuellement sécurité, confidentialité et fin de prestation, comme le rappelle la CNIL dans son chapitre sur le responsable de traitement et le sous-traitant, ainsi que son guide du sous-traitant.

Pour une PME, le bon réflexe est simple : ne pas chercher un contrat “parfait”, mais une sortie maîtrisable. Si vous savez répondre à trois questions — qui accède, comment on retire l’accès, comment on supprime — vous avez déjà réduit la plupart des mauvaises surprises.

  • Qui a un accès nominatif ou partagé ?
  • Quels accès sont temporaires, et pour quelle durée ?
  • Quels éléments doivent être effacés, retournés ou archivés à la fin ?

La méthode en 4 verrous : identité, privilège, durée, preuve

Premier verrou : l’identité. La CNIL recommande d’imposer une authentification avant tout accès à des données personnelles et de gérer des habilitations différenciées selon les besoins. Le principe de moindre privilège limite les dégâts si un compte est compromis ou mal utilisé.

Deuxième verrou : le privilège. Séparez lecture, export, modification et suppression. Un prestataire de support n’a généralement pas besoin d’un droit de suppression en production. Un intégrateur n’a pas besoin d’un accès permanent. Une main courante d’intervention, comme le recommande la CNIL pour la maintenance, aide à garder une trace exploitable.

Troisième verrou : la durée. Ouvrez les accès à la demande du prestataire et pour une durée définie à l’avance, puis fermez-les automatiquement. Cette règle vaut pour la télémaintenance comme pour les projets ponctuels.

  • Créer des comptes nominatifs, jamais un “admin prestataire” permanent.
  • Mettre une date de fin d’accès dès l’ouverture.
  • Journaliser toute intervention utile à l’audit interne.

La sortie contractuelle : ce que la suppression doit couvrir

La fin de prestation n’est pas un simple clic sur “désactiver le compte”. Le projet de référentiel de certification RGPD des sous-traitants publié par la CNIL décrit une logique plus exigeante : supprimer définitivement les données lorsque la prestation se termine, y compris celles détenues par des sous-traitants ultérieurs, avec des mesures adaptées au support et au contexte.

La CNIL recommande aussi une procédure de suppression sécurisée des données et, avant mise au rebut ou retour de matériel, un effacement sécurisé des supports. Pour une PME, cela signifie qu’il faut distinguer trois objets : les données en production, les copies de travail, et les traces techniques ou sauvegardes dont le sort doit être explicitement prévu.

Limite importante : toutes les suppressions ne sont pas instantanées. Certaines sauvegardes sont figées pour une durée définie ; certains journaux doivent être conservés pour des raisons de sécurité ou de preuve. L’enjeu n’est donc pas “tout effacer tout de suite”, mais documenter ce qui est effacé, ce qui est conservé, où, et jusqu’à quand.

  • Prévoir dans le contrat la restitution ou l’effacement des données de travail.
  • Exiger un certificat ou une attestation de suppression, quand c’est pertinent.
  • Décrire le traitement des sauvegardes, journaux et copies locales.

Exemple chiffré fictif : un prestataire marketing, trois zones d’accès

Exemple fictif : une PME confie sa base clients à un prestataire marketing pendant 90 jours. Elle compte 24 personnes dans l’équipe du prestataire, mais seules 6 ont besoin d’un accès nominatif à l’outil. La PME crée 6 comptes avec des droits limités à la lecture et à l’export, 1 compte d’administration interne, et un accès temporaire de 14 jours pour l’intégrateur lors du paramétrage initial.

Au jour 91, la PME retire les 6 comptes prestataires, récupère l’export de restitution, fait confirmer l’effacement des copies locales et demande une liste des emplacements où des données ont pu être stockées. Dans ce scénario, le gain concret n’est pas “plus de sécurité” en général : c’est d’éviter qu’un compte partagé reste actif, qu’un export dorme sur un ordinateur portable, ou qu’une équipe croie à tort que “le prestataire a tout supprimé”.

C’est là que beaucoup d’entreprises se trompent : elles pensent à la confidentialité pendant le projet, mais pas à la démontée finale. Or la sortie se prépare dès l’entrée.

  • 1 prestataire = 1 périmètre d’accès documenté.
  • Les accès temporaires doivent expirer sans action manuelle.
  • La preuve d’effacement doit viser les systèmes, postes et sauvegardes concernés.

Checklist actionnable sur 7 jours

Jour 1 : cartographier les prestataires qui touchent aux données. Propriétaire : DPO ou dirigeant. Résultat observable : une liste unique des prestataires, avec type de données et systèmes concernés.

Jour 2 : classer les accès existants. Propriétaire : responsable IT. Résultat observable : comptes nominatifs, partagés, temporaires et inactifs identifiés.

Jour 3 : supprimer ou réduire les droits non nécessaires. Propriétaire : IT + métier. Résultat observable : une matrice d’habilitation mise à jour, avec lecture/écriture/suppression séparées.

  • Jour 4 : ajouter une durée d’accès et une date de fin dans chaque contrat en cours. Propriétaire : achats/juridique. Résultat observable : clauses ou avenants tracés.
  • Jour 5 : définir la procédure de suppression en fin de mission. Propriétaire : sécurité/IT. Résultat observable : un mode opératoire d’effacement et de restitution.
  • Jour 6 : préparer le modèle d’attestation de suppression. Propriétaire : DPO/juridique. Résultat observable : un document prêt à envoyer.
  • Jour 7 : tester une sortie réelle ou simulée sur un prestataire. Propriétaire : dirigeant ou RSSI. Résultat observable : comptes fermés, données restituées ou effacées, et trace écrite conservée.