Une semaine, plusieurs fuites par la même porte La région Hauts-de-France a confirmé une fuite de données touchant plus de 500 000 personnes. Ce n'est pas son propre système qui a été visé, mais deux de ses prestataires, victimes d'une cyberattaque ayant permis un accès non autorisé. Identité, adresse mail et potentiellement RIB : plus de 700 000 personnes pourraient être concernées selon les premiers éléments. Une plainte a été déposée. Même semaine, même mécanique ailleurs. Un e-commerçant notifie la CNIL après une fuite passée par son prestataire de suivi logistique, avec des clients de grandes places de marché parmi les personnes touchées. Un distributeur informatique signale lui aussi un incident ayant permis de consulter des données clients. Ce que l'article 28 exige vraiment Le texte est clair. Le responsable de traitement ne peut recourir qu'à des sous-traitants présentant des garanties suffisantes, et le contrat doit encadrer précisément le traitement. L'article 33 impose au sous-traitant de notifier toute violation à son client dans les meilleurs délais. Le client, lui, dispose de 72 heures pour notifier la CNIL à compter du moment où il en a connaissance. Le problème est là. Le délai de 72 heures dépend de la réactivité d'un tiers. L'écart entre la clause et la pratique Dans beaucoup d'organisations, la clause article 28 a été signée telle que proposée par le prestataire. Pas d'audit. Pas de délai de notification chiffré. Pas de vision précise des données réellement confiées à chaque sous-traitant, ni des sous-traitants ultérieurs. Ça tient tant qu'il ne se passe rien. Le jour de l'incident, la responsabilité reste celle du responsable de traitement. Les personnes concernées s'adressent à l'organisation qui a collecté leurs données, pas à un prestataire dont elles ignorent souvent l'existence. Remettre les sous-traitants au cœur de la mise en conformité Une démarche réaliste commence par les prestataires qui hébergent ou manipulent les volumes les plus importants. Pour chacun : quelles données, quel délai de notification contractuel, quelle dernière vérification. Un audit RGPD centré sur ces seuls points révèle généralement plus de risques qu'une revue documentaire complète.
