Répondez à un questionnaire RGPD avant qu’il ne vous engage

Le questionnaire RGPD d’un acheteur ressemble à un formulaire de sécurité, mais ses réponses alimentent le contrat qui encadre la façon dont vous traitez les données personnelles de l’acheteur. En vertu du règlement général sur la protection des données (RGPD) de l’UE, un acheteur agissant en tant que responsable du traitement ne peut faire appel qu’à un sous-traitant présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, et le questionnaire lui sert à vérifier les vôtres. Répondez à chaque question récurrente à partir d’un seul jeu de preuves daté, doté d’un responsable et rattaché à la clause du contrat que la réponse deviendra, et assurez-vous que chaque engagement que vous signez repose sur une preuve.

Là où un questionnaire RGPD se grippe entre vos équipes

La plupart des questionnaires RGPD fournisseurs semblent familiers, si bien qu’on les fait circuler comme n’importe quel autre questionnaire de sécurité. Les difficultés surgissent lorsque des réponses rédigées à partir de contributions distinctes de l’équipe sécurité, du service juridique et du délégué à la protection des données (DPO) deviennent des clauses contractuelles sans preuve à jour pour les étayer.

Supposons qu’un acheteur qui renouvelle votre service de paie hébergé vous envoie son questionnaire sur la protection des données sous forme de tableur. Vous le répartissez entre trois intervenants. L’équipe sécurité répond aux questions sur les mesures en citant le certificat ISO 27001 du groupe. Le service juridique répond à la question sur la notification des violations avec une formulation reprise du contrat d’un autre acheteur. Le DPO décrit les lieux de traitement d’après la politique de confidentialité, et l’onglet des sous-traitants ultérieurs recopie la liste envoyée lors du dernier renouvellement.

Prise isolément, chaque réponse tient la route. Ensemble, elles vous engagent sur un périmètre de certification, un délai de notification, des lieux de traitement et une liste de sous-traitants ultérieurs que personne n’a vérifiés au regard du service tel qu’il fonctionne aujourd’hui. Dès que l’équipe juridique de l’acheteur reporte ces réponses dans le contrat, l’écart est à votre charge, et en tant que bid manager, vous êtes comptable de ce que la réponse a promis.

Selon l’avis 22/2024 du Comité européen de la protection des données (CEPD) sur les sous-traitants, les clauses contractuelles ne suffisent pas, à elles seules, à démontrer que les garanties sur lesquelles elles reposent sont effectivement en place.

Classez chaque question selon la clause du contrat qu’elle alimente

Avant toute rédaction, associez chaque question à la clause de l’accord de traitement des données qu’elle alimentera, car c’est cette clause qui détermine qui valide la réponse. L’accord de traitement des données (DPA) est le contrat contraignant que l’article 28 du RGPD impose entre l’acheteur et vous, en tant que sous-traitant. Il définit l’objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel ainsi que les droits et obligations de l’acheteur. Les questions que pose immanquablement un questionnaire RGPD fournisseur correspondent aux clauses de cet accord.

Une réponse qui vous engage à agir - notifier, supprimer, autoriser, ouvrir vos systèmes à un audit - passe par le service juridique avant d’arriver chez l’acheteur. Chacune est une promesse que l’acheteur peut inscrire dans l’accord.

Des questions qui vont au-delà des besoins du service

Répondez pour le service proposé dans l’offre, et dites clairement où une question va au-delà de ce qu’il traite. Selon l’avis du CEPD, l’ampleur des vérifications de l’acheteur dépend des mesures techniques et organisationnelles en jeu, qui découlent elles-mêmes du risque du traitement. Une réponse circonscrite au service correspond donc à ce que l’acheteur doit vérifier. Si une question porte sur des données que le service ne reçoit jamais, indiquez qu’il ne les traite pas, décrivez ce qu’il traite et proposez les preuves qui s’y rapportent. Cocher « oui » pour garder le formulaire propre est plus risqué, car ce oui peut devenir une clause.

Décrivez les données et les lieux de traitement

Décrivez les données personnelles et chaque lieu de traitement d’après le fonctionnement réel du service, car le DPA vous oblige à ne traiter les données que sur instruction documentée de l’acheteur, y compris pour les transferts vers un pays tiers. Une réponse qui mentionne moins de lieux que vous n’en utilisez fixe des instructions que le service enfreint déjà.

Dans l’exemple de la paie, la politique de confidentialité mentionnait la région d’hébergement, mais pas les lieux d’où l’équipe support ouvre les dossiers ni ceux où se trouvent les sauvegardes. Construisez plutôt la réponse à partir du service lui-même, en énumérant les catégories de données personnelles et de personnes concernées, les systèmes qui les hébergent et chaque lieu où elles sont stockées ou depuis lequel on y accède. Si l’un de ces lieux se trouve dans un pays tiers, dites-le et renvoyez aux conditions de transfert que l’acheteur fixera dans ses instructions, plutôt que de le laisser le découvrir plus tard.

Cette même description alimente l’analyse d’impact relative à la protection des données de l’acheteur, c’est-à-dire sa propre évaluation des risques que le traitement fait peser sur les personnes concernées. Le RGPD impose notamment au sous-traitant d’aider l’acheteur dans cette analyse. Donnez donc des informations détaillées sur lesquelles l’acheteur peut travailler, et non un résumé de votre politique de confidentialité.

Répondez aux questions de sécurité dans le périmètre du certificat

Un certificat ou un rapport ne vaut que pour ce qu’il couvre. Avant de le citer, vérifiez que le service proposé dans l’offre entre dans son périmètre, et répondez par écrit à tout écart.

Ce que couvre un certificat ISO 27001

La certification ISO/IEC 27001 exige qu’une organisation définisse le périmètre de son système de management de la sécurité de l’information, comme l’explique la National Standards Authority of Ireland. Lisez la déclaration de périmètre avant de citer le certificat, et vérifiez qu’elle couvre le service, les systèmes et les équipes qui traitent les données de l’acheteur. Dans l’exemple de la paie, un certificat de groupe limité aux activités d’hébergement répond aux questions d’infrastructure, mais les contrôles d’accès de l’application appellent une réponse écrite.

Ce que couvre un rapport SOC 2

Selon l’AICPA, un examen SOC 2 peut porter sur la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée, et le rapport précise les domaines inclus dans son périmètre. Vérifiez ces domaines ainsi que le système décrit par le rapport. Un rapport limité à la sécurité ne couvre pas les critères de protection de la vie privée : les questions sur ce sujet appellent donc leurs propres réponses.

Ne présentez ni l’un ni l’autre comme une certification RGPD. Citez chacun pour ce qu’il couvre, puis rédigez les réponses aux questions qu’il laisse ouvertes pour qu’elles résistent à l’examen de l’acheteur.

Nommez chaque sous-traitant ultérieur et tenez la liste à jour

En vertu du RGPD, un sous-traitant ne peut pas recruter un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, de l’acheteur. Chaque sous-traitant ultérieur que vous listez est un sous-traitant que vous demandez à l’acheteur d’autoriser : la liste doit donc être complète au moment de l’envoi.

L’avis du CEPD va plus loin. Il attend du sous-traitant qu’il fournisse de manière proactive le nom, l’adresse et la personne de contact de chaque sous-traitant ultérieur, avec une description des traitements que chacun effectue, et qu’il tienne ces informations à jour en permanence. La liste devient ainsi une preuve entretenue, et non un onglet que l’on recopie d’un dossier à l’autre.

Confiez la liste à un responsable unique, chargé de la mettre à jour chaque fois qu’un prestataire est ajouté, modifie les données qu’il traite ou déplace le lieu de traitement. Dans l’exemple de la paie, l’onglet recopié omettait un prestataire de support ajouté depuis le dernier renouvellement, et vous répondez de l’exécution de ses obligations par ce prestataire. Publier la liste une seule fois peut vous épargner des réponses répétées, à condition que son responsable la tienne à jour : c’est tout l’arbitrage derrière la question de savoir si un centre de confiance publié peut remplacer un questionnaire.

Engagez-vous sur la notification des violations prévue au contrat

Le RGPD impose au sous-traitant de notifier à l’acheteur toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance, sans fixer de nombre d’heures. Tout délai en heures figurant dans le questionnaire vient du DPA de l’acheteur, ou de celui qu’il veut vous faire signer.

Cela change votre façon de répondre. Décrivez le processus que vous appliquez réellement : comment un incident est détecté, qui décide si des données personnelles sont touchées, qui prévient l’acheteur et par quel canal. L’acheteur peut confronter ce processus à ses propres besoins. Un simple « oui » à un délai donné ne lui dit rien de la manière dont vous le tiendriez, et vous engage sur un délai que votre processus de gestion des incidents n’est peut-être pas conçu pour respecter.

Dans l’exemple de la paie, la formulation empruntée par le service juridique promettait le délai d’un autre acheteur. Si un questionnaire vous demande de vous engager sur un nombre d’heures que votre DPA standard ne fixe pas, répondez avec votre engagement actuel et signalez la demande au service juridique comme un point contractuel.

Tenez un seul jeu de preuves à jour pour tous les acheteurs

L’obligation pour l’acheteur de recourir à des sous-traitants présentant des garanties suffisantes est permanente et, selon l’avis du CEPD, il devrait vérifier à nouveau ces garanties à intervalles appropriés. C’est pourquoi les mêmes questions reviennent au renouvellement et lors des réexamens périodiques, et pourquoi les preuves qui les étayent doivent rester à jour d’une évaluation à l’autre.

Répondez à chaque questionnaire RGPD à partir d’un seul jeu de preuves par service. Il réunit la description des données et des lieux de traitement, le certificat ISO 27001 et le rapport SOC 2 avec leur périmètre, la liste des sous-traitants ultérieurs, la procédure de notification des violations, la procédure de suppression et de restitution, ainsi que votre DPA standard. Attribuez à chaque preuve un responsable, une date de révision et la clause du DPA qu’elle alimente, de sorte qu’une modification de l’une d’elles montre les réponses qu’elle touche.

Réutiliser revient alors à reprendre les faits de ce jeu de preuves et à n’adapter que la formulation au format de chaque acheteur, qu’il s’agisse d’un tableur, d’un formulaire sur un portail ou d’un document Word. Réutiliser les réponses d’un format à l’autre ne fonctionne que tant que la preuve qui les sous-tend est à jour. Une réponse copiée depuis le dossier du précédent acheteur conserve son ancienneté.

Comment SEQUESTO gère un questionnaire RGPD

Dans l’agentic operating system (aOS) de SEQUESTO, le questionnaire du service de paie reste dans le tableur de l’acheteur. Agent Force, les agents spécialisés de l’aOS, en extrait une liste de questions, et James, qui orchestre le travail, rédige chaque réponse à partir du Knowledge Hub. Chaque preuve y conserve son responsable, son cycle de révision et sa date d’expiration, et les contenus expirés, y compris une liste de sous-traitants ultérieurs expirée, sont signalés avant d’arriver dans un brouillon.

L’équipe sécurité, le service juridique et le DPO s’appuient désormais sur un seul ensemble de sources au lieu de trois. Chaque réponse cite la politique et le passage dont elle est issue, avec l’extrait source à côté, et le rapport SOC 2 peut être joint aux réponses qu’il étaye. Lorsque le Knowledge Hub ne contient rien de pertinent, un score de confiance faible révèle la lacune avant que quelqu’un ne la comble par une promesse.

Chaque question peut avoir son propre relecteur et son propre approbateur : les réponses sur la notification des violations, les sous-traitants ultérieurs et la suppression vont au service juridique, celles sur les mesures à l’équipe sécurité. L’équipe voit ce que James a rédigé et l’accepte, l’ajuste ou le rejette. Le bid manager valide avant l’export, qui conserve la structure d’origine du tableur pour qu’un membre de l’équipe le remette.

Lorsqu’une politique est mise à jour, le système signale pour relecture chaque réponse qui s’appuie sur elle, et chaque réponse conserve la version de la politique dont elle est issue. Chaque action est journalisée avec son auteur, son horodatage et l’élément concerné, si bien qu’au prochain réexamen de l’acheteur, l’équipe peut montrer quelles preuves étayaient chaque réponse et qui l’a validée.

Checklist pour chaque questionnaire RGPD

Effectuez ces vérifications avant la validation du bid manager.

• Chaque question est associée à la clause du DPA qu’elle alimente et à la personne qui valide la réponse.
• Les questions qui vont au-delà du service reçoivent une réponse limitée à ce qu’il traite, motif à l’appui.
• Les catégories de données et les lieux de traitement correspondent au service tel qu’il fonctionne, accès du support et sauvegardes compris.
• Tout transfert vers un pays tiers renvoie aux conditions de transfert de l’acheteur.
• Chaque certificat ou rapport cité couvre le service proposé dans l’offre, et chaque écart a une réponse écrite.
• La liste des sous-traitants ultérieurs indique pour chacun le nom, l’adresse, la personne de contact et le traitement effectué, et son responsable a confirmé qu’elle est à jour.
• La réponse sur la notification des violations correspond au DPA que vous signerez et indique qui prévient l’acheteur.
• Chaque preuve a un responsable et une date de révision qui n’est pas dépassée.
• Le service juridique a validé chaque réponse qui vous engage à agir.