Modèle de questionnaire fournisseur RGPD gratuit

Présentation

Le questionnaire fournisseur RGPD est un outil de due diligence utilisé par une organisation avant de contractualiser avec un prestataire ou un éditeur de logiciel qui traitera, à quelque titre que ce soit, des données personnelles pour son compte. Il permet de vérifier, avant la signature du contrat, que le fournisseur envisagé présente des garanties suffisantes pour agir en qualité de sous-traitant au sens de l'article 28 du RGPD. Cadre juridique : l'article 28.1 du RGPD impose au responsable de traitement de ne faire appel qu'à des sous-traitants présentant des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées, de manière à ce que le traitement réponde aux exigences du règlement et garantisse la protection des droits de la personne concernée. Cette obligation de sélection préalable est distincte de l'obligation contractuelle qui suit (la conclusion d'un contrat de sous-traitance conforme à l'article 28.3) — le questionnaire fournisseur intervient en amont, pendant la phase de sélection, pour objectiver cette vérification. Contenu type : l'identification du fournisseur et de son organisation de la conformité (DPO désigné ou non, certifications éventuelles) ; la nature et la finalité précises du traitement envisagé (quelles données, pour quel usage) ; les mesures de sécurité techniques et organisationnelles mises en œuvre (chiffrement, gestion des accès, sauvegardes, tests d'intrusion) ; le recours éventuel à des sous-traitants ultérieurs (sous-traitance en cascade) et les garanties associées ; la localisation des données et les éventuels transferts hors Union européenne ; les procédures en cas de violation de données (délai d'alerte du client, modalités) ; et les modalités de suppression ou de restitution des données à la fin du contrat. Quand l'utiliser : avant la signature de tout contrat avec un nouveau prestataire technique traitant des données personnelles pour le compte de l'organisation (hébergeur, éditeur SaaS, prestataire de paie, agence marketing, cabinet de recrutement...), et de manière périodique pour réévaluer les fournisseurs existants, notamment en cas d'évolution significative du service rendu ou de signalement d'incident. Erreurs à éviter : se contenter des déclarations commerciales du fournisseur sans demander de preuves ou de documentation technique à l'appui (politique de sécurité, certifications, résultats d'audit) ; ne pas relancer l'évaluation lorsque le fournisseur modifie substantiellement son infrastructure ou sa chaîne de sous-traitance ; traiter le questionnaire comme une simple formalité administrative sans en exploiter réellement les réponses dans la décision de contractualiser ; et omettre de conserver une trace écrite du questionnaire complété, qui constitue un élément de preuve de la démarche de sélection en cas de contrôle de la CNIL.

Informations à personnaliser

• Nom de l'organisation évaluatrice (responsable de traitement)

• Nom du fournisseur évalué

• Contact du fournisseur pour ce questionnaire

• Nature et finalité du traitement envisagé

  Ex. : hébergement des données clients, envoi d'emails transactionnels, gestion de la paie.

• Catégories de données personnelles concernées

• Le fournisseur a-t-il désigné un DPO ?

  Oui / Non / Non applicable.

• Date de réponse au questionnaire

• Responsable de l'évaluation côté organisation évaluatrice

Personnalisez votre modèle

Questions fréquentes

Le questionnaire fournisseur RGPD est-il obligatoire ?

Le RGPD n'impose pas de questionnaire type, mais il impose au responsable de traitement de s'assurer, avant de contractualiser, que le sous-traitant présente des garanties suffisantes (article 28.1 du RGPD). Le questionnaire est l'outil le plus courant pour objectiver et documenter cette vérification préalable.

Le questionnaire remplace-t-il le contrat de sous-traitance ?

Non, ce sont deux documents distincts et complémentaires. Le questionnaire intervient en amont, lors de la phase de sélection du fournisseur. Le contrat de sous-traitance, conforme à l'article 28.3 du RGPD, formalise ensuite les obligations contractuelles réciproques une fois le fournisseur retenu.

Faut-il réévaluer un fournisseur déjà sous contrat ?

Oui, il est recommandé de réévaluer périodiquement les fournisseurs existants, en particulier en cas de changement significatif dans leur infrastructure, l'ajout d'un nouveau sous-traitant ultérieur, un changement de pays d'hébergement, ou un incident de sécurité signalé.

Que faire si le fournisseur ne répond pas de manière satisfaisante ?

Le responsable de traitement doit apprécier si les garanties présentées sont suffisantes au regard du risque associé au traitement envisagé. Des réponses insuffisantes ou évasives sur les mesures de sécurité, la sous-traitance en cascade ou les transferts hors UE doivent conduire à demander des compléments, voire à écarter le fournisseur si les garanties demeurent insuffisantes.

Le questionnaire doit-il être conservé après la contractualisation ?

Oui, il constitue un élément de preuve de la démarche de sélection préalable exigée par l'article 28.1 du RGPD, et doit être conservé pendant la durée de la relation contractuelle, voire au-delà selon la politique de conservation de l'organisation, pour pouvoir être présenté en cas de contrôle de la CNIL.

Le questionnaire doit-il être adapté selon le fournisseur évalué ?

Oui, le niveau de détail attendu doit être proportionné au risque : un hébergeur traitant des données de santé ou des volumes importants de données sensibles appelle une évaluation plus approfondie qu'un prestataire traitant des données limitées et non sensibles.

Modèles associés