Clause d'audit du sous-traitant (RGPD)

Définition

La clause d'audit du sous-traitant est une disposition contractuelle rendue obligatoire par l'article 28 du RGPD, qui impose que tout contrat de sous-traitance de données personnelles prévoie la possibilité pour le responsable de traitement de réaliser des audits, y compris des inspections, ou de faire réaliser ceux-ci par un tiers mandaté, afin de vérifier le respect effectif par le sous-traitant des obligations qui lui incombent. Cette clause doit préciser les modalités concrètes d'exercice de ce droit d'audit : fréquence acceptable, délais de préavis, périmètre couvert, et obligations réciproques de coopération et de mise à disposition des informations nécessaires par le sous-traitant. En pratique, la mise en œuvre effective de cette clause se heurte souvent à des contraintes opérationnelles, en particulier lorsque le sous-traitant est un grand fournisseur de services cloud mutualisés qui ne peut matériellement pas accepter des audits individuels de chacun de ses milliers de clients ; ces fournisseurs proposent alors fréquemment des rapports d'audit tiers, comme un rapport SOC 2 de type II ou une certification ISO 27001, en substitution partielle d'un audit direct. Le responsable de traitement doit néanmoins conserver la possibilité de démontrer une diligence raisonnable, en documentant que les rapports fournis couvrent effectivement les traitements concernés et sont suffisamment récents pour rester probants.