RGPD compliant : ce que ça veut dire et comment le prouver

L'expression « RGPD compliant » apparaît dans les appels d'offres, les questionnaires fournisseurs et sur les sites de nombreux prestataires. Reprise de l'anglais « GDPR compliant », elle laisse penser qu'il existerait un statut officiel. Ce n'est pas le cas : la conformité est une situation de fait, que l'organisme doit pouvoir démontrer à tout moment. Voici ce qu'un client peut vous demander pour la vérifier, et comment répondre sans vous engager au-delà de ce que vous pouvez prouver.

Que signifie cette expression venue de l'anglais ?

Être « RGPD compliant » signifie appliquer les règles du règlement (UE) 2016/679 et être capable d'en apporter la preuve. Le règlement ne prévoit ni statut, ni tampon, ni liste officielle d'organismes conformes. La conformité se constate dans les documents, les contrats et les pratiques de l'organisme, pas dans un label.

Le texte repose sur un principe appelé responsabilité, ou « accountability ». L'article 5, paragraphe 2 du RGPD dispose que le responsable du traitement « est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté ». L'article 24 précise qu'il met en œuvre des mesures techniques et organisationnelles appropriées « pour s'assurer et être en mesure de démontrer que le traitement est effectué conformément au présent règlement ». La conformité est donc une capacité à prouver, pièce par pièce, que les obligations sont respectées.

Les certifications prévues à l'article 42 sont volontaires (paragraphe 3) et, selon le paragraphe 4, ne diminuent pas la responsabilité du responsable du traitement ou du sous-traitant. Aucune ne remplace la démonstration prévue par le règlement.

Que peut vous demander un client pour vérifier votre conformité ?

Un client qui vous confie des données personnelles agit comme responsable du traitement et vous comme sous-traitant. L'article 28, paragraphe 1 lui impose de faire « uniquement appel à des sous-traitants qui présentent des garanties suffisantes ». Il est donc fondé à vous demander des documents avant de signer.

La CNIL recommande au responsable du traitement d'exiger la politique de sécurité du prestataire et ses éventuelles certifications, puis de vérifier l'effectivité des garanties, par exemple par des audits (fiche « Sécurité : gérer la sous-traitance »). Le contrat exigé par l'article 28, paragraphe 3 prévoit d'ailleurs, au point h, que le sous-traitant met à disposition « toutes les informations nécessaires pour démontrer le respect des obligations » et contribue aux audits.

La CNIL publie des exemples de clauses de sous-traitance à adapter à chaque prestation ; le contenu de ce contrat est détaillé dans notre article sur le contrat avec un fournisseur sous-traitant.

Comment répondre à un questionnaire fournisseur sans mentir ?

Répondez par des faits vérifiables plutôt que par un « oui » global. Pour chaque question, indiquez ce qui existe, ce qui est en cours et ce qui ne s'applique pas, en joignant la pièce correspondante. Une case cochée sans document vous engage sans rien prouver.

Un questionnaire fournisseur décrit votre situation, ce n'est pas un examen à réussir. Un prestataire RGPD compliant sur le papier mais incapable de produire son registre ou sa procédure de violation se trouve en difficulté le jour où son client subit un contrôle ou un incident. À l'inverse, un écart signalé avec une date de correction est généralement mieux reçu.

1. 1Qualifier — Déterminez pour chaque prestation si vous êtes sous-traitant, responsable du traitement ou les deux : les obligations à prouver diffèrent.
2. 2Documenter — Citez pour chaque question la pièce qui l'étaye (registre, politique de sécurité, procédure, contrat), plutôt que de cocher « conforme ».
3. 3Signaler — Indiquez les points non couverts ou en cours, avec une échéance et un interlocuteur nommé.
4. 4Mettre à jour — Datez vos réponses et refaites-les quand votre organisation change.

Quels signaux montrent qu'un prestataire n'est pas conforme ?

Un prestataire non conforme se reconnaît moins à ce qu'il dit qu'à ce qu'il ne peut pas fournir. Les signaux les plus fréquents : aucun contrat de sous-traitance écrit, pourtant exigé par l'article 28 ; une liste de sous-traitants ultérieurs non communiquée ; l'impossibilité de dire où les données sont hébergées ; aucun interlocuteur identifié et toute clause d'audit refusée par principe ; un badge « 100 % conforme » sans document pour l'appuyer.

Les badges « 100 % conforme RGPD » ont-ils une valeur ?

Un badge auto-déclaré ne vaut pas certification au sens du règlement et ne crée aucune présomption de conformité. Seuls les mécanismes de certification approuvés par la CNIL, dans le cadre de l'article 42, bénéficient d'une reconnaissance, sur un périmètre délimité.

La formule « 100 % conforme » pose un problème de fond : la conformité n'est pas un pourcentage atteint un jour mais un état à maintenir. Un prestataire sérieux qui se présente comme RGPD compliant accompagne cette mention des pièces qui la justifient et accepte que son client les examine. Si l'on vous oppose un badge à la place d'un registre, demandez les documents. La page Certification de la CNIL permet de vérifier quels mécanismes sont approuvés et quels organismes sont certifiés.

À retenir

• Être RGPD compliant ne correspond à aucun statut officiel : c'est la capacité à démontrer le respect du règlement (articles 5.2 et 24).
• Un client est en droit de vous demander registre, politique de sécurité, contrat de sous-traitance, liste des sous-traitants ultérieurs et procédure de violation.
• Répondez à un questionnaire fournisseur point par point, pièces à l'appui, en signalant les écarts et leur échéance.
• Les badges « 100 % conforme » n'ont pas de valeur officielle ; seules les certifications approuvées par la CNIL sont reconnues, sur un périmètre précis.