Un projet présenté par la CNIL Le 8 octobre 2026, la CNIL a présenté un projet de certification destiné aux sous-traitants, sur le fondement de l'article 42 du RGPD. Il est soumis au CEPD. Si celui-ci l'approuve, la certification aura une portée européenne. Pour l'instant, rien n'est en vigueur. Et les critères définitifs ne seront connus qu'après approbation. Un projet, donc. Mais un projet qui touche un point sensible. La faiblesse actuelle de l'évaluation Évaluer un sous-traitant, aujourd'hui, c'est souvent lire ce qu'il dit de lui-même. Questionnaires de sécurité remplis par le prestataire, clauses contractuelles standard, annexes de garanties génériques. La part déclarative domine. Les vérifications sur pièces ou sur site restent rares, faute de temps et de moyens. Une certification approuvée changerait la base de comparaison. Un référentiel commun, reconnu, applicable d'un prestataire à l'autre. Moins de déclaratif, plus de vérifiable. Ce que prévoit déjà l'article 28.5 Le RGPD a anticipé ce mécanisme. L'article 28.5 prévoit que l'application d'un mécanisme de certification approuvé peut servir d'élément pour démontrer les garanties suffisantes présentées par le sous-traitant. Un élément. Pas une présomption irréfragable. Le responsable de traitement reste tenu de vérifier que le prestataire convient à ses propres traitements, à leur sensibilité, à leurs volumes. Une certification ne remplacera jamais cette analyse. Elle la facilitera. Comment s'y préparer dès maintenant Pour les acheteurs et les DPO, une mesure simple est possible tout de suite : prévoir, dans les critères de sélection des prestataires, la prise en compte d'une future certification. Sans l'exiger dans les appels d'offres tant qu'elle n'existe pas, évidemment. Pour les prestataires, le signal est différent. La conformité RGPD pourrait devenir un critère de différenciation mesurable, et non plus une page de garanties en annexe d'un contrat. Une question mérite d'être posée dès aujourd'hui, en interne. Si cette certification existait demain, combien de vos sous-traitants critiques seraient capables de l'obtenir ? Personne n'aime la réponse. Mais elle dit beaucoup de la solidité réelle de la chaîne de sous-traitance.
