RGPD et sous-traitants : le maillon faible que la CNIL va sanctionner en 2026

Vous avez une politique de sécurité en béton. Des pare-feux partout. Des audits tous les ans. Et pourtant, c’est votre prestataire qui se fait pirater. Vos données fuient par le maillon que vous n’avez jamais regardé de près.

Ce scénario n’est pas une fiction. Il s’est reproduit des dizaines de fois entre 2024 et 2026. Les fuites de données ne viennent plus de vos propres serveurs. Elles passent par vos sous-traitants. Votre cabinet de paie. Votre hébergeur. Votre agence marketing. Tous ces partenaires qui touchent à vos données sans que vous ne vérifiiez vraiment ce qu’ils en font.

Et la CNIL le sait parfaitement. C’est pourquoi elle fait de l’audit des sous-traitants un point de contrôle systématique en 2026. Si votre prestataire se fait pirater, c’est vous qui paierez la note. Regardons ensemble ce que dit la loi, et comment vous protéger concrètement.

80% des fuites : le problème invisible des sous-traitants

Les chiffres parlent d’eux-mêmes. La grande majorité des incidents de sécurité 2024 à 2026 ont pour origine un prestataire externe. Et non, ce n’est pas une tendance passagère. C’est devenu le vecteur numéro un des fuites de données en France.

Prenons le cas d’Almerys. Ce prestataire de services pour mutuelles a subi une fuite massive. Plus de 15 millions de numéros de Sécurité Sociale ont été exposés. Résultat, tous les clients des mutuelles concernées se retrouvent impactés. Pourtant, aucune de ces mutuelles n’avait elle-même été piratée directement.

France Travail a connu le même drame. Une cyberattaque via des logiciels malveillants a compromis les données de millions de demandeurs d’emploi. Le point faible, encore une fois, passait par un prestataire.

Dans le secteur du tourisme, le tableau n’est guère plus brillant. Gîtes de France, Center Parcs et Belambra ont tous été piratés via leurs sous-traitants. Des milliers de clients ont vu leurs données personnelles exposées au grand jour. Ces entreprises avaient pourtant investi dans leur propre sécurité. Mais elles n’avaient pas vérifié celle de leurs partenaires.

Le constat est clair aujourd’hui. Votre sécurité ne vaut que celle de votre maillon le plus faible. Et ce maillon, c’est presque toujours un sous-traitant.

Article 28 RGPD : ce que la loi exige vraiment

L’article 28 du RGPD est souvent cité, mais rarement appliqué correctement. Pourtant, il est au cœur de votre conformité. Voici ce qu’il dit concrètement.

D’abord, vous ne pouvez confier des données personnelles qu’à un sous-traitant offrant des garanties suffisantes. Ce n’est pas une suggestion. C’est une obligation légale. Vous devez vérifier que votre prestataire dispose des mesures techniques et organisationnelles adéquates.

Ensuite, le contrat doit être écrit. Un échange de mails ne suffit pas. Le document doit préciser l’objet du traitement, sa durée, la nature des données, et les obligations précises du sous-traitant. Il doit aussi interdire la sous-traitance en cascade sans votre autorisation écrite préalable.

Enfin, et c’est le point le plus souvent négligé, vous devez assurer un suivi documenté. Signer un contrat ne suffit pas. Vous devez vérifier régulièrement que votre sous-traitant respecte bien ses engagements. La CNIL vous demandera des preuves lors de ses contrôles. Pas des promesses, des preuves.

Le kit pratique de l’audit sous-traitant

Voici comment mener un audit concret de vos sous-traitants. Commencez par poser les bonnes questions. Ensuite, exigez les bonnes preuves. Enfin, documentez tout.

Pour la sécurité technique, demandez si l’authentification multi-facteurs est activée sur tous les comptes. Vérifiez que les sauvegardes sont régulières et testées. Contrôlez l’existence d’un plan de reprise d’activité. Assurez-vous que les accès sont journalisés et révisés périodiquement.

Pour la dimension humaine, vérifiez que le personnel du sous-traitant a reçu une formation RGPD récente. Demandez la politique de gestion des mots de passe. Contrôlez les procédures de départ des collaborateurs et la révocation des accès associés.

Côté preuves, ne vous contentez pas des déclarations. Exigez les rapports de tests d’intrusion. Demandez les certificats en cours de validité. Consultez les politiques de sécurité documentées. Conservez tout dans un registre dédié. Ce registre sera votre meilleure défense en cas de contrôle CNIL.

La fréquence idéale, c’est un audit complet par an. En cas d’incident chez votre prestataire, auditez immédiatement. Et à chaque nouveau sous-traitant, réalisez une évaluation préalable avant de lui transmettre la moindre donnée.

Sanctions : les entreprises qui ont appris à leurs dépens

Les sanctions RGPD ne sont plus anecdotiques. En 2025, ce sont 487 millions d’euros de sanctions qui ont été prononcés en France. Et la tendance ne fait que s’accélérer.

Le cas Almerys est particulièrement éclairant. Ce prestataire de services pour mutuelles a vu plus de 15 millions de numéros de Sécurité Sociale fuiter. Tous les clients des mutuelles partenaires ont été concernés. La CNIL a montré qu’elle ne distinguerait plus les responsabilités entre le responsable de traitement et son sous-traitant. Les deux seront sanctionnés si l’encadrement contractuel était insuffisant.

France Travail a subi une cyberattaque massive via des logiciels malveillants. Les données de millions de demandeurs d’emploi ont été compromises. L’enquête a révélé des failles dans la gestion des accès chez un prestataire technique. Encore une fois, le sous-traitant était le point d’entrée.

Dans le tourisme, Gîtes de France, Center Parcs et Belambra ont tous subi des incidents liés à leurs prestataires. Les données de réservation, les coordonnées bancaires, les informations de santé pour certains établissements, tout cela s’est retrouvé exposé.

Le secteur public sera particulièrement ciblé en 2026. La CNIL a annoncé une attention renforcée envers les organismes qui externalisent des traitements sensibles. Si vous traitez des données de santé, de justice ou d’identité via un prestataire, votre conformité sera scrutée de près.

Le message est limpide. Vous ne pouvez plus déléguer votre responsabilité RGPD à vos sous-traitants. Vous devez les encadrer, les auditer, et garder des preuves de ce suivi. Sinon, la facture sera salée.