Obligation de vigilance envers les sous-traitants

Définition

L'obligation de vigilance envers les sous-traitants désigne le devoir qui incombe à une organisation de s'assurer, tout au long de sa relation contractuelle, que ses sous-traitants et prestataires respectent effectivement les obligations légales et contractuelles qui leur sont applicables, notamment en matière de protection des données personnelles et de sécurité de l'information, cette vigilance ne se limitant pas à la seule vérification initiale réalisée au moment de la sélection du prestataire mais devant se poursuivre de manière active pendant toute la durée de la relation. Cette obligation trouve un fondement explicite dans l'article 28 du RGPD, qui impose au responsable de traitement de choisir un sous-traitant présentant des garanties suffisantes et de vérifier le respect effectif de ces garanties, ainsi que, plus largement en droit français, dans le devoir de vigilance imposé à certaines grandes entreprises concernant les activités de leurs filiales, sous-traitants et fournisseurs, y compris sur des enjeux dépassant la seule sécurité de l'information, comme les droits humains et l'environnement dans la chaîne d'approvisionnement. Pour la sécurité de l'information spécifiquement, cette vigilance se traduit concrètement par l'évaluation continue des tiers, l'exercice effectif du droit d'audit contractuellement prévu, et une réactivité appropriée en cas de signalement d'un manquement, une organisation ne pouvant se contenter d'une clause contractuelle théorique jamais mise en œuvre pour s'exonérer de sa propre responsabilité en cas de manquement avéré et non détecté de son sous-traitant.