Modèle de questionnaire fournisseur RGPD gratuit

Présentation

Le questionnaire fournisseur RGPD est un outil de due diligence utilisé par une organisation avant de contractualiser avec un prestataire ou un éditeur de logiciel qui traitera, à quelque titre que ce soit, des données personnelles pour son compte. Il permet de vérifier, avant la signature du contrat, que le fournisseur envisagé présente des garanties suffisantes pour agir en qualité de sous-traitant au sens de l'article 28 du RGPD. Cadre juridique : l'article 28.1 du RGPD impose au responsable de traitement de ne faire appel qu'à des sous-traitants présentant des garanties suffisantes pour mettre en œuvre des mesures techniques et organisationnelles appropriées, de manière à ce que le traitement réponde aux exigences du règlement et garantisse la protection des droits de la personne concernée. Cette obligation de sélection préalable est distincte de l'obligation contractuelle qui suit (la conclusion d'un contrat de sous-traitance conforme à l'article 28.3) — le questionnaire fournisseur intervient en amont, pendant la phase de sélection, pour objectiver cette vérification. Contenu type : l'identification du fournisseur et de son organisation de la conformité (DPO désigné ou non, certifications éventuelles) ; la nature et la finalité précises du traitement envisagé (quelles données, pour quel usage) ; les mesures de sécurité techniques et organisationnelles mises en œuvre (chiffrement, gestion des accès, sauvegardes, tests d'intrusion) ; le recours éventuel à des sous-traitants ultérieurs (sous-traitance en cascade) et les garanties associées ; la localisation des données et les éventuels transferts hors Union européenne ; les procédures en cas de violation de données (délai d'alerte du client, modalités) ; et les modalités de suppression ou de restitution des données à la fin du contrat. Quand l'utiliser : avant la signature de tout contrat avec un nouveau prestataire technique traitant des données personnelles pour le compte de l'organisation (hébergeur, éditeur SaaS, prestataire de paie, agence marketing, cabinet de recrutement...), et de manière périodique pour réévaluer les fournisseurs existants, notamment en cas d'évolution significative du service rendu ou de signalement d'incident. Erreurs à éviter : se contenter des déclarations commerciales du fournisseur sans demander de preuves ou de documentation technique à l'appui (politique de sécurité, certifications, résultats d'audit) ; ne pas relancer l'évaluation lorsque le fournisseur modifie substantiellement son infrastructure ou sa chaîne de sous-traitance ; traiter le questionnaire comme une simple formalité administrative sans en exploiter réellement les réponses dans la décision de contractualiser ; et omettre de conserver une trace écrite du questionnaire complété, qui constitue un élément de preuve de la démarche de sélection en cas de contrôle de la CNIL.