Le modèle RGPD d'évaluation des risques fournisseurs dont votre équipe de protection des données a vraiment besoin

Points clés

Ce modèle RGPD gratuit d'évaluation des risques fournisseurs est spécialement conçu pour les délégués à la protection des données et les équipes de protection des données. Il couvre l'ensemble des 10 dispositions obligatoires de l'article 28, paragraphe 3, du RGPD, les analyses d'impact des transferts transfrontaliers alignées sur les recommandations 01/2020 du CEPD, la cartographie de la chaîne des sous-traitants ultérieurs au titre de l'article 28, paragraphes 2 et 4, et les vérifications du respect des droits des personnes concernées au titre des articles 15 à 22. Le modèle inclut une matrice de notation des risques intégrée et un outil de suivi des mesures correctives pour une documentation prête pour un audit.

Définitions

Qu'est-ce qu'une évaluation des risques fournisseurs ?

Une évaluation des risques fournisseurs est une évaluation systématique des pratiques de protection des données, des mesures de sécurité et de la conformité contractuelle d'un prestataire de services tiers. Au titre du RGPD, les responsables du traitement doivent exercer une diligence raisonnable sur les sous-traitants avant et pendant l'engagement afin de satisfaire au principe de responsabilité énoncé à l'article 5, paragraphe 2. [RGPD art. 28]

Qu'est-ce qu'une analyse d'impact des transferts (TIA) ?

Une analyse d'impact des transferts (TIA) est une évaluation documentée requise lors du transfert de données personnelles vers un pays tiers ne bénéficiant pas d'une décision d'adéquation de l'UE. L'évaluation détermine si le cadre juridique du pays de destination offre une protection substantiellement équivalente. Le CEPD a publié des orientations détaillées dans les recommandations 01/2020 faisant suite à l'arrêt Schrems II (CJUE, affaire C-311/18). [Recommandations 01/2020 du CEPD]

Qu'est-ce qu'un contrat de sous-traitance (DPA) ?

Un contrat de sous-traitance (DPA) est un contrat juridiquement contraignant entre un responsable du traitement et un sous-traitant qui définit l'objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées. L'article 28, paragraphe 3, du RGPD précise les 10 clauses obligatoires que tout contrat de sous-traitance doit contenir.

Qu'est-ce que le CEPD ?

Le Comité européen de la protection des données (CEPD) est un organe européen indépendant institué par le RGPD qui contribue à l'application cohérente des règles de protection des données dans l'ensemble de l'EEE. Il publie des lignes directrices, des recommandations et des décisions contraignantes. [CEPD — À propos]

Statistiques et contexte

Selon le rapport IAPP-EY 2023 sur la gouvernance de la vie privée, l'organisation moyenne gère des relations avec plus de 100 fournisseurs tiers qui traitent des données personnelles, ce qui rend une évaluation structurée des risques fournisseurs essentielle pour une conformité évolutive. Le même rapport a constaté que 60 % des professionnels de la protection des données citent la gestion des fournisseurs parmi leurs trois principaux défis opérationnels. Le rapport annuel 2023 du CEPD a relevé une augmentation continue des mesures d'exécution liées à une surveillance insuffisante des sous-traitants, les amendes pour violations de l'article 28 dépassant cumulativement 50 millions d'euros au sein des autorités de contrôle de l'EEE. Selon les prévisions 2023 de Gartner en matière de protection de la vie privée, d'ici 2025, 60 % des grandes organisations utiliseront des outils automatisés d'évaluation des risques tiers, contre moins de 10 % en 2020.

Questions fréquentes

Qu'est-ce qu'une évaluation des risques fournisseurs au sens du RGPD ?

Une évaluation des risques fournisseurs au sens du RGPD est une analyse structurée des pratiques de protection des données d'un sous-traitant tiers, de sa conformité contractuelle à l'article 28, des garanties relatives aux transferts transfrontaliers et de sa capacité à soutenir les droits des personnes concernées au titre des articles 15 à 22. Elle aide les responsables du traitement à démontrer leur responsabilité au titre de l'article 5, paragraphe 2, et à documenter leur diligence raisonnable à l'intention des autorités de contrôle.

Qu'exige l'article 28 du RGPD pour les contrats de sous-traitance ?

L'article 28, paragraphe 3, du RGPD impose 10 dispositions spécifiques dans chaque contrat de sous-traitance : traitement uniquement sur instructions documentées, obligations de confidentialité, mesures de sécurité appropriées au titre de l'article 32, autorisation des sous-traitants ultérieurs, assistance aux droits des personnes concernées, suppression ou restitution des données à la fin des services, droits d'audit et démonstration de la conformité. Ce modèle évalue chaque disposition de manière systématique.

Comment ce modèle gère-t-il le risque lié aux transferts transfrontaliers ?

La section 3 s'aligne sur les recommandations 01/2020 du CEPD relatives aux mesures supplémentaires faisant suite à l'arrêt Schrems II. Elle couvre les mécanismes de transfert (clauses contractuelles types, décisions d'adéquation, règles d'entreprise contraignantes), l'évaluation des lois de surveillance du pays de destination, les mesures techniques et organisationnelles supplémentaires, ainsi que l'applicabilité concrète des droits des personnes concernées dans la juridiction du destinataire.

Pourquoi la cartographie des sous-traitants ultérieurs est-elle importante pour la conformité au RGPD ?

En vertu de l'article 28, paragraphes 2 et 4, du RGPD, les responsables du traitement doivent autoriser les sous-traitants ultérieurs et veiller à ce que les obligations du RGPD soient répercutées contractuellement à travers toute la chaîne de traitement. Le CEPD a souligné que la responsabilité du responsable du traitement ne s'arrête pas au niveau 1 — elle s'étend à chaque sous-traitant ultérieur de la chaîne. Ce modèle cartographie les localisations des sous-traitants ultérieurs, leurs rôles de traitement et les garanties contractuelles.

Combien de temps prend une évaluation des risques fournisseurs typique ?

Selon une analyse comparative interne de Priverion, les équipes de protection des données déclarent consacrer plus de 8 heures par fournisseur aux évaluations de risques manuelles réalisées à l'aide de modèles de tableur. Un modèle structuré et spécialement conçu peut réduire considérablement le temps d'évaluation en éliminant les questions de sécurité non pertinentes et en se concentrant exclusivement sur les obligations spécifiques au RGPD, telles que la conformité à l'article 28, l'aptitude à la TIA et la capacité de traitement des demandes des personnes concernées.

Ce modèle convient-il à la conformité à la nLPD suisse ?

Bien qu'il soit principalement conçu pour le RGPD, de nombreuses exigences recoupent celles de la nouvelle loi sur la protection des données (nLPD/nDSG) révisée, entrée en vigueur le 01.09.2023. Les sections relatives aux transferts transfrontaliers, aux sous-traitants ultérieurs et aux droits des personnes concernées sont pertinentes pour les deux cadres. La plateforme de Priverion prend en charge nativement des flux de travail de conformité combinés au RGPD et à la nLPD.

Quelle méthodologie de notation des risques le modèle utilise-t-il ?

Le modèle inclut une grille de notation intégrée qui classe le risque fournisseur en Faible, Moyen, Élevé ou Critique selon des réponses pondérées sur l'ensemble des six sections d'évaluation. Cette approche s'aligne sur la méthodologie fondée sur les risques recommandée par le cadre de gestion des risques de l'ENISA et produit la classification des risques défendable et documentée que les autorités de contrôle attendent lors des audits.

Comment Priverion se compare-t-il aux évaluations fournisseurs basées sur des tableurs ?

Les évaluations basées sur des tableurs manquent de contrôle des versions, de notation automatisée, de visibilité inter-entités et de pistes d'audit. La plateforme de Priverion automatise les flux de travail liés aux risques fournisseurs grâce à des questionnaires structurés, une notation des risques en temps réel, un suivi de la chaîne des sous-traitants ultérieurs et une gestion des mesures correctives — le tout hébergé sur une infrastructure suisse et soumis à la loi suisse sur la protection des données.

Comparatif : approches d'évaluation des risques fournisseurs