Gouvernance des responsables conjoints du traitement : guide d’audit de l’Article 26 du GDPR
L’appel est arrivé un mardi matin. Pour le RSSI de CareConnect, prestataire SaaS MedTech en forte croissance, c’était le moment où tout a basculé.
À l’autre bout du fil se trouvait la responsable conformité de MetroHealth, leur principal partenaire hospitalier. Un patient utilisant leur plateforme de télésurveillance exploitée conjointement avait soumis, un mois plus tôt, une demande d’accès à ses données. Aucune des deux organisations n’y avait répondu complètement. Chacune pensait que l’autre en était responsable.
Puis le service juridique a transféré un second message. Un développeur junior de CareConnect avait exposé par erreur un point de terminaison API non critique contenant un nombre limité d’identifiants de patients. Le problème semblait maîtrisable, et le délai de notification de violation de 72 heures prévu par le GDPR n’était pas encore expiré. Mais la même question a paralysé les deux équipes.
Qui informe l’autorité de contrôle ? Qui communique avec les patients ? Qui est responsable de la mention d’information ? Qui valide la demande de la personne concernée ? Qui consigne la décision ?
L’accord commercial était détaillé sur les crédits de service, la facturation, les plafonds de responsabilité et les jalons de la feuille de route produit. Il était presque muet sur la réalité opérationnelle de la gouvernance des responsables conjoints du traitement au titre de l’Article 26 du GDPR.
C’est là que de nombreux partenariats échouent. Le problème n’est pas que les équipes protection des données, juridique, sécurité et achats n’aient jamais entendu l’expression « accord entre responsables conjoints du traitement ». Le problème est que personne ne peut prouver, avant le début du traitement, qui est responsable de la transparence, de la base légale, des droits des personnes concernées, de l’escalade des violations, des obligations répercutées aux fournisseurs, des transferts, de la conservation, des éléments de preuve et de la communication avec l’autorité de contrôle.
Le GDPR définit l’obligation. ISO/IEC 27701:2025 fournit aux équipes chargées de la protection des données une structure de système de management. Les politiques PIMS de Clarysec, le Zenith Blueprint : feuille de route d’audit en 30 étapes et Zenith Controls : guide de cartographie croisée de conformité transforment l’Article 26 en éléments probants opérationnels exploitables en audit.
Pourquoi la gouvernance des responsables conjoints du traitement échoue avant même d’être détectée
Une relation de responsables conjoints du traitement existe lorsque deux parties ou plus déterminent conjointement les finalités et les moyens du traitement de données à caractère personnel. Le facteur déclencheur n’est pas la rédaction du contrat. C’est le pouvoir de décision.
Dans l’exemple de CareConnect et MetroHealth, CareConnect fournit la plateforme, l’analytique, l’architecture technique, l’interface utilisateur et les flux de données. MetroHealth fournit la relation avec le patient, le contexte clinique, le modèle de service et les données du patient. Les deux influencent la raison pour laquelle les données à caractère personnel sont traitées et le fonctionnement du traitement. Cette situation est très différente de celle d’un fournisseur qui se contente d’héberger une base de données ou d’envoyer des messages sur instructions documentées.
Le même schéma apparaît dans les campagnes de bien-être financier, les partenariats d’assurance embarquée, les places de marché en ligne, les consortiums de détection de fraude, les plateformes de santé connectée, les programmes de fidélité, les écosystèmes de vérification de l’identité et les collaborations analytiques. Une banque, un assureur et une plateforme SaaS peuvent décider conjointement des segments cibles, des règles de profilage, des indicateurs de conversion et des canaux marketing. Un accord de traitement des données avec un sous-traitant ne résoudra pas ce problème si les parties sont en réalité responsables conjoints du traitement.
Les défaillances pratiques sont prévisibles :
- La mention d’information ne dit guère plus que « nous pouvons partager des données avec des partenaires ».
- L’inventaire des traitements identifie les parties, mais pas la répartition des obligations.
- Le processus de gestion des droits des personnes concernées ne prévoit aucun circuit de transmission, de validation ou de réponse aux demandes.
- Le plan de réponse aux incidents indique « notifier le service juridique », sans préciser quel responsable conjoint du traitement pilote la communication externe.
- Le contrat est traité comme un document commercial, et non comme un élément probant de responsabilité.
- Les clauses de fin de relation ne couvrent pas la restitution des données, la suppression, l’anonymisation, la suppression des accès ni la conservation des éléments de preuve.
L’Article 5 du GDPR rend ces défaillances sensibles en audit, car les responsables du traitement ne doivent pas seulement respecter des principes tels que la licéité, la loyauté, la transparence, la limitation des finalités, la minimisation, l’exactitude, la limitation de la conservation, l’intégrité, la confidentialité et la responsabilité. Ils doivent être en mesure de démontrer leur conformité. L’Article 6 ajoute l’exigence de base légale. L’Article 3 peut faire entrer dans le champ d’application des prestataires SaaS, fintech, technologies de santé et analytiques non établis dans l’UE lorsqu’ils offrent des services à des personnes dans l’UE ou surveillent leur comportement.
Pour les RSSI et les responsables conformité, l’enseignement est direct : la gouvernance des responsables conjoints du traitement n’est pas « seulement juridique ». C’est un système de contrôle interfonctionnel impliquant la protection des données, la sécurité, les achats, le produit, l’ingénierie, le support, la réponse aux incidents, le marketing et la supervision de la direction générale.
Le principe ISO/IEC 27701:2025 PIMS : décider avant le début du traitement
Un système de management des informations relatives à la vie privée ISO/IEC 27701:2025 ne fonctionne que si les rôles liés à la protection des données sont déterminés avant le début du traitement. C’est la discipline opérationnelle qui empêche l’Article 26 de devenir un exercice de reconstitution après incident.
La Politique relative au système de management des informations relatives à la vie privée de Clarysec, clause 4.2.2, énonce :
[Responsable conjoint du traitement] Le responsable fournisseurs / achats DOIT documenter la répartition des responsabilités entre responsables conjoints du traitement dans REG08 avant le début du traitement conjoint.
L’expression « avant le début du traitement conjoint » constitue le point de contrôle. Elle signifie avant la mise en production de l’intégration de la plateforme, avant l’activation du tableau de bord partagé, avant le démarrage de la synchronisation CRM, avant l’activation des audiences de campagne et avant l’arrivée des demandes des personnes concernées.
L’obligation d’inventaire associée figure dans la Politique d’inventaire des traitements de données à caractère personnel et de base légale, clause 4.3.5 :
[Responsable conjoint du traitement] Le responsable fournisseurs / achats DOIT consigner la finalité du traitement réalisé par les responsables conjoints du traitement et la référence de répartition des responsabilités dans REG02 et REG08 avant le début du traitement par les responsables conjoints du traitement.
Ensemble, ces clauses créent la chaîne d’éléments probants attendue par les auditeurs :
- REG02 consigne l’activité de traitement, la finalité, les catégories de données, la base légale, la conservation, les systèmes, les destinataires, les transferts et la référence au responsable conjoint du traitement.
- REG08 consigne l’accord entre responsables conjoints du traitement et la répartition des responsabilités.
- REG07 consigne la synthèse publique relative à la transparence.
- REG06 peut consigner la réception des demandes d’exercice des droits, leur routage, leur validation, les échéances et les éléments de preuve de réponse.
- REG10 consigne les décisions d’évaluation des incidents et des violations.
Cette chaîne transforme l’Article 26 d’une déclaration juridique en un processus de système de management.
Commencer par le champ d’application, les parties prenantes et une matrice RACI
Le Zenith Blueprint commence par le champ d’application et les parties prenantes, car la gouvernance des responsables conjoints du traitement échoue lorsque les parties intéressées et les exigences sont identifiées trop tard.
Dans la phase Fondation et leadership du SMSI, étape 2, Besoins des parties prenantes et domaine d’application du SMSI, le Zenith Blueprint recommande une analyse des parties prenantes qui capture les exigences explicites et implicites :
Comment identifier les besoins et attentes : pour chaque groupe de parties prenantes identifié, indiquez ce qu’il
exige en matière de sécurité de l’information. Certaines exigences sont explicites (lois, contrats,
SLA), tandis que d’autres sont implicites (attentes ou bonnes pratiques générales). Il est utile de :✓ Revoir les exigences légales et réglementaires applicables à votre contexte (issues de l’analyse
du contexte de l’étape 1). Établissez une liste des clauses ou obligations spécifiques relatives à la sécurité
de l’information ou à la protection des données.
✓ Revoir les contrats et accords : de nombreux contrats commerciaux comportent des annexes de confidentialité ou
de sécurité. Extrayez ces exigences.
✓ Mener des entretiens ou ateliers avec les parties prenantes : échangez avec des représentants de
chaque groupe (par exemple, un responsable RH pour la perspective des employés, un responsable commercial pour les
attentes des clients) afin de comprendre leurs préoccupations ou besoins.
✓ Tenir compte des normes sectorielles ou codes de bonnes pratiques que les parties prenantes s’attendent à vous voir
suivre.
Pour un accord auditable entre responsables conjoints du traitement au titre de l’Article 26 du GDPR, l’analyse des parties intéressées doit inclure les clients, patients, utilisateurs, autorités de contrôle, autres parties responsables du traitement, sous-traitants, sous-traitants ultérieurs, assureurs, prestataires cloud, services internes, autorités de régulation et organes de direction.
L’étape 4, Rôles et responsabilités dans le SMSI, transforme ensuite cette analyse en responsabilité opérationnelle. Le Zenith Blueprint souligne l’intérêt d’un modèle RACI :
✓ Responsabilité opérationnelle et redevabilité : un outil utile est la matrice RACI (Responsible,
Accountable, Consulted, Informed). Pour chaque processus ou contrôle majeur du SMSI, identifiez
qui est Responsible (réalise le travail), qui est Accountable (répond in fine du résultat, souvent un
responsable), qui est Consulted (fournit des informations) et qui est Informed.
Pour les responsables conjoints du traitement, la matrice RACI n’est pas facultative en pratique. Sans elle, le service juridique suppose que l’équipe protection des données répond à la demande, l’équipe protection des données suppose que le support gère la file de réception, le support suppose que le partenaire répondra, et le délai légal continue de courir.
Le modèle d’éléments probants Clarysec pour les responsables conjoints du traitement
Un accord mature entre responsables conjoints du traitement doit être compréhensible en une page et vérifiable en dix minutes. L’objectif n’est pas d’ensevelir les équipes sous des documents juridiques. L’objectif est de rendre les responsabilités visibles, acceptées et testables.
| Élément de preuve | Ce qu’il démontre | Emplacement dans la boîte à outils Clarysec | Responsable |
|---|---|---|---|
| Enregistrement de détermination des rôles | Pourquoi les parties sont responsables conjoints du traitement plutôt que sous-traitants ou responsables du traitement indépendants | Détermination des rôles PIMS, REG08 | Responsable de la protection des données ou responsable fournisseurs |
| Entrée d’inventaire des traitements | Finalité, catégories de données à caractère personnel, base légale, conservation, systèmes, destinataires et transferts | REG02 | Responsable de la protection des données ou service juridique |
| Répartition des responsabilités | Qui gère les mentions d’information, les droits, la coordination des violations, la conservation, les transferts, les contacts sécurité et le support d’audit | REG08 | Responsable fournisseurs ou achats |
| Synthèse publique | Comment les personnes sont informées de l’essentiel de l’accord et du point de contact | REG07 | Responsable de la protection des données ou responsable du PIMS |
| Processus de gestion des droits | Réception, validation, routage, support du partenaire, responsable de la réponse, échéances et éléments de preuve | REG06 ou registre des demandes d’exercice des droits | Responsable de la protection des données et support |
| Enregistrement de coordination des violations | Notifiant principal, responsable des communications, journal des décisions, classification de l’incident et éléments de preuve | REG10 | Responsable des incidents et responsable de la protection des données |
| Clauses contractuelles | Partage de données, responsabilité, audit, confidentialité, sécurité, transferts, fin de relation et règles applicables aux sous-traitants | Registre des contrats | Juridique et achats |
Les politiques de protection des données de Clarysec renforcent chaque couche.
La Politique relative aux mentions d’information et à la transparence, clause 4.1.5, énonce :
[Responsable conjoint du traitement] Le responsable de la protection des données / responsable du PIMS DOIT consigner dans REG07 la synthèse publique des responsabilités entre responsables conjoints du traitement et le point de contact avant le lancement ou la modification substantielle du traitement conjoint.
La Politique de gestion des droits des personnes concernées, clause 6.1.5, énonce :
[Responsable conjoint du traitement] Le responsable de la protection des données / responsable du PIMS DOIT documenter les responsabilités de traitement des droits et les circuits de contact dans REG02, REG06 ou REG08 avant le début du traitement conjoint.
La Politique de gestion des incidents et violations relatifs aux données à caractère personnel, clause 4.2.5, ajoute :
[Responsable conjoint du traitement] Le responsable de la protection des données / responsable du PIMS DOIT vérifier la responsabilité convenue en matière de violation, la responsabilité principale de communication et le dispositif de coordination avant toute notification ou communication externe par un responsable conjoint du traitement, et DOIT consigner la décision dans REG08 et REG10.
C’est à ce stade que ISO/IEC 27701:2025 et le GDPR deviennent opérationnels. L’organisation ne se contente pas d’affirmer que les responsabilités sont réparties. Elle montre où elles sont consignées, qui les a approuvées, quand elles ont été testées et comment elles sont utilisées.
Exemple pratique : REG08 pour une plateforme de télésurveillance
Supposons que CareConnect et MetroHealth exploitent conjointement une plateforme de télésurveillance. Les deux décident pourquoi les données des patients sont traitées, quelles données sont collectées, comment les alertes de surveillance sont configurées, comment l’analytique est utilisée et comment les patients interagissent avec le service.
Premièrement, REG02 doit consigner l’activité de traitement :
- Nom du traitement : service de télésurveillance des patients
- Rôle de responsable du traitement : responsable conjoint du traitement
- Parties : CareConnect et MetroHealth
- Finalité : surveillance des patients, coordination des soins, amélioration du service, analytique de plateforme
- Catégories de données à caractère personnel : données de contact, identifiants de compte, observations cliniques, événements d’équipement, interactions avec le support
- Vérification des catégories particulières : des données de santé sont traitées et nécessitent des mesures de protection renforcées
- Base légale : documentée par partie et par finalité
- Conservation : définie selon les exigences cliniques, de plateforme, juridiques et opérationnelles
- Systèmes : application mobile, plateforme de surveillance, outil de support, entrepôt analytique, fournisseur d’identité
- Destinataires : parties responsables conjointes du traitement, prestataire d’hébergement, fournisseurs de support, prestataires de notification
- Transferts : accès à distance et traitement hors EEE évalués
- Référence REG08 : JC-2026-004
Deuxièmement, REG08 doit répartir les responsabilités d’une manière exploitable par les équipes opérationnelles.
| Domaine de responsabilité | CareConnect | MetroHealth | Élément de preuve |
|---|---|---|---|
| Rédaction de la mention d’information | Fournit les détails techniques du traitement | Pilote la rédaction destinée aux patients et la publication | Enregistrement de mention REG07 |
| Enregistrement de la base légale | Documente la base de l’analytique de plateforme | Documente la base relative à la prestation de soins et à la relation patient | Entrée de base légale REG02 |
| Demandes d’accès des personnes concernées | Fournit les exports de données de plateforme dans le niveau de service convenu | Pilote la réception, la validation, les vérifications d’identité et la réponse | Processus REG06 |
| Demandes de rectification et de suppression | Exécute les changements approuvés dans les systèmes de plateforme | Détermine le traitement du dossier clinique et la communication au patient | Journal d’éléments de preuve des demandes d’exercice des droits |
| Évaluation des violations | Détecte, contient et classe les incidents de plateforme | Évalue l’impact patient et la communication réglementaire | Enregistrement de violation REG10 |
| Notification externe | Pilote les incidents d’origine plateforme lorsque cela est convenu | Pilote le contact avec les patients et l’autorité lorsque cela est convenu | REG08 et plan de réponse aux incidents |
| Mesures de protection de sécurité | Maintient les contrôles de plateforme, la journalisation, les accès et la sécurité cloud | Maintient les accès côté hôpital et les contrôles opérationnels | Déclaration d’applicabilité et éléments probants de contrôle |
| Gestion des sous-traitants | Gère les sous-traitants ultérieurs cloud et SaaS | Gère les sous-traitants hospitaliers et les destinataires en aval | Registre des fournisseurs |
| Conservation et suppression | Supprime ou anonymise les enregistrements de plateforme selon le calendrier | Confirme les règles de conservation clinique et de suppression en aval | Registre de conservation |
| Éléments probants d’audit | Fournit les journaux, politiques, résultats de tests et attestations | Fournit les approbations de gouvernance et les enregistrements de droits | Outil de suivi des demandes d’audit |
Troisièmement, REG07 doit consigner la synthèse publique. La mention d’information doit expliquer l’essentiel de l’accord conjoint en langage clair, identifier les responsables conjoints du traitement, décrire les responsabilités de chacun et fournir un point de contact utilisable. Elle ne doit pas contraindre les patients ou utilisateurs à décoder la complexité opérationnelle interne.
Quatrièmement, testez le processus avant le lancement. Envoyez une demande d’accès simulée au point de contact publié. Confirmez que le support l’identifie comme une demande d’exercice des droits d’une personne concernée, la route vers l’équipe protection des données, vérifie REG08, sollicite les informations du partenaire, consigne les actions dans REG06 et produit un dossier de réponse. Réalisez ensuite un exercice sur table de violation avec un scénario tel que « un point de terminaison API expose des identifiants de patients à des utilisateurs non autorisés » ou « des utilisateurs exclus des suppressions sont accidentellement inclus dans une campagne d’engagement ».
Ces tests révèlent les véritables lacunes : boîtes aux lettres sans propriétaire, engagements de service partenaires imprécis, texte de mention non approuvé, enregistrements de base légale incomplets, vérifications de catégories particulières manquantes et plans de réponse aux incidents qui ne désignent pas le responsable de la communication externe.
Cartographier l’Article 26 vers les contrôles ISO/IEC 27002:2022 avec Zenith Controls
Un accord entre responsables conjoints du traitement n’est pas seulement un artefact juridique. Il doit être soutenu par des contrôles techniques et organisationnels. Zenith Controls aide les équipes à cartographier les attentes de contrôle ISO/IEC 27001:2022 et ISO/IEC 27002:2022 vers les éléments probants relatifs à la protection des données, aux fournisseurs, aux incidents, au cloud et à la gouvernance.
Trois contrôles ISO/IEC 27002:2022 sont particulièrement pertinents.
Mesure 5.2, Rôles et responsabilités en sécurité de l’information, soutient le modèle opérationnel. Elle se rattache à ISO/IEC 27001:2022 Clause 5.3, rôles, responsabilités et autorités au sein de l’organisation. Elle soutient également la préparation aux incidents, car des rôles imprécis fragilisent ISO/IEC 27002:2022 Mesure 5.24, planification et préparation de la gestion des incidents de sécurité de l’information. Dans la gouvernance des responsables conjoints du traitement, la Mesure 5.2 est l’endroit où la matrice RACI, les responsables REG08, les gestionnaires des demandes d’exercice des droits, les responsables de violation et les contacts d’escalade deviennent des éléments probants d’audit.
Mesure 5.31, Exigences légales, statutaires, réglementaires et contractuelles, est l’endroit où l’Article 26 du GDPR entre dans le SMSI plutôt que de rester un sujet strictement juridique. Elle soutient l’identification et la gestion de la responsabilité prévue à l’Article 5 du GDPR, de la base légale de l’Article 6, de la répartition des responsabilités de l’Article 26, de la sécurité de l’Article 32, de la notification à l’autorité de contrôle de l’Article 33 et de la communication aux personnes concernées de l’Article 34. Elle se rattache également à ISO/IEC 27001:2022 Clause 4.2, compréhension des besoins et attentes des parties intéressées, et à la Clause 6.1.3, traitement des risques de sécurité de l’information.
Mesure 5.34, Protection de la vie privée et protection des données à caractère personnel, intègre la protection des données à caractère personnel dans le modèle opérationnel de sécurité. Elle est particulièrement importante lorsque l’accord utilise l’analytique cloud, des tableaux de bord partagés, des environnements sécurisés de partage de données, des plateformes de surveillance, l’automatisation marketing ou des outils de support. Les mesures de protection associées peuvent inclure ISO/IEC 27002:2022 Mesure 5.23, sécurité de l’information pour l’utilisation des services cloud, et Mesure 8.11, masquage des données.
L’écosystème ISO de soutien compte également. ISO/IEC 27018 aide lorsque des services de cloud public traitent des données à caractère personnel. ISO/IEC 29100 fournit des principes de protection de la vie privée tels que transparence, consentement, finalité légitime, limitation de la collecte, minimisation des données, limitation de l’utilisation, exactitude, mesures de protection de sécurité et responsabilité. ISO/IEC 27001:2022 fournit l’ossature du système de management à travers le contexte, les parties intéressées, le champ d’application, le leadership, l’appréciation des risques, le traitement des risques, la Déclaration d’applicabilité, l’audit interne, la revue de direction et l’amélioration continue.
Les contrats doivent refléter le modèle opérationnel
Un accord entre responsables conjoints du traitement ne peut pas exister uniquement dans une mention d’information. Il doit être reflété dans les contrats, annexes, procédures opérationnelles, plans de réponse aux incidents, circuits d’escalade et clauses de fin de relation.
La Politique de conformité juridique et réglementaire de Clarysec, clause 5.3.1.2, intègre explicitement les types de contrats dans la gouvernance, notamment :
Les contrats impliquant le partage de données, les droits de propriété intellectuelle, les limitations de responsabilité ou les clauses d’audit
La Politique de protection des données et de la vie privée, clause 5.1, établit le fondement pour l’entreprise :
L’organisation doit maintenir un cadre formel de gouvernance de la protection des données intégré au système de management de la sécurité de l’information (SMSI) afin d’appliquer cette politique.
Pour les PME, le même principe est adapté à la réalité opérationnelle. La Politique de protection des données et de la vie privée - PME, clause 5.2.1, énonce :
Le coordinateur protection des données doit tenir un registre de toutes les activités de traitement de données à caractère personnel, comprenant les catégories de données, la finalité, la base légale et les durées de conservation
La clause 5.2.2 ajoute :
Les contrats avec des tiers traitant des données à caractère personnel doivent inclure des clauses de protection des données et doivent être revus par le DG ou le conseiller juridique
Il s’agit d’une gouvernance proportionnée. Une multinationale peut disposer d’équipes distinctes pour le juridique, la protection des données, les achats, la sécurité, les risques et la conformité. Une PME peut s’appuyer sur un coordinateur protection des données, un directeur général et un conseil juridique externe. L’attente en matière d’éléments de preuve reste la même : les activités de traitement, les responsabilités, la base légale, les mentions d’information, la gestion des droits, l’escalade des incidents et les obligations de fin de relation doivent être documentées et vérifiables.
Le Zenith Blueprint, étape 23, Contrôles organisationnels, soutient la discipline des accords fournisseurs à travers la confidentialité, les responsabilités de contrôle d’accès, les mesures techniques et organisationnelles, les délais de notification des incidents, les droits d’audit, les contrôles des sous-traitants et les clauses de fin de contrat. Dans les relations entre responsables conjoints du traitement, ces clauses doivent être adaptées au partage de données et à la répartition des responsabilités, plutôt que copiées depuis un modèle destiné aux sous-traitants.
Gouvernance des incidents et des violations : désigner le pilote avant la violation
Les violations impliquant des responsables conjoints du traitement deviennent chaotiques lorsque les équipes attendent l’incident pour décider qui communique en externe.
Le GDPR définit une violation de données à caractère personnel comme une violation de sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel ou l’accès non autorisé à de telles données. Lorsque cela est requis, la notification à l’autorité de contrôle doit intervenir sans retard indu et, si possible, dans les 72 heures suivant la prise de connaissance de la violation. NIS2 et DORA peuvent ajouter des attentes supplémentaires en matière de notification des cyberincidents et de communication aux clients.
La Politique de réponse aux incidents - PME de Clarysec, clause 5.3.2, formalise la discipline temporelle :
Les délais de réponse, y compris les obligations de restauration des données et de notification, doivent être documentés et alignés sur les exigences légales, telles que l’exigence du GDPR de notification des violations de données à caractère personnel dans un délai de 72 heures.
Le Zenith Blueprint, étape 5, Communication, sensibilisation et compétence, met l’accent sur la planification des communications externes, notamment avec les clients, les autorités de régulation, les partenaires et le public. Pour les responsables conjoints du traitement, la matrice d’incident doit identifier qui effectue la classification initiale de la violation, qui contacte l’autre responsable du traitement, qui détermine si des données à caractère personnel sont concernées, qui évalue les seuils de notification, qui rédige les notifications aux autorités, qui communique avec les personnes, qui coordonne le reporting NIS2 ou DORA, qui approuve les déclarations publiques et qui consigne les éléments de preuve dans REG10.
Si l’accord implique une entité financière relevant de DORA, le processus d’incident doit également prendre en charge la classification des incidents majeurs liés aux TIC, l’escalade à la direction générale, les mises à jour intermédiaires, le reporting final et la communication aux clients lorsque leurs intérêts financiers sont affectés. Si l’organisation relève du champ de NIS2, la notification des incidents significatifs peut exiger une notification par étapes et une communication aux destinataires du service.
La pratique la plus sûre consiste à réaliser un exercice sur table conjoint avant le lancement. Un bon scénario oblige les équipes à utiliser REG08, REG10, le plan de réponse aux incidents, les contacts partenaires, les modèles de notification, les arbres d’escalade et les journaux d’éléments de preuve sous contrainte de temps.
Cartographie croisée de conformité : l’Article 26 vit rarement seul
Les accords entre responsables conjoints du traitement s’inscrivent souvent dans des écosystèmes réglementés plus larges. Une campagne fintech, une plateforme de santé connectée, une relation de services managés, une intégration de place de marché cloud ou un partenariat d’infrastructure numérique peut déclencher des obligations au-delà du GDPR.
NIS2 peut s’appliquer aux entités essentielles ou importantes de taille moyenne et grande dans des secteurs tels que l’infrastructure numérique, les services d’informatique en nuage, les centres de données, les prestataires de services managés, les prestataires de services de sécurité managés, les places de marché en ligne, les moteurs de recherche et les plateformes de réseaux sociaux. L’Article 20 de NIS2 impose aux organes de direction la supervision de la gestion des risques de cybersécurité. L’Article 21 exige des mesures techniques, opérationnelles et organisationnelles, notamment l’analyse des risques, la gestion des incidents, la continuité d’activité, la sécurité de la chaîne d’approvisionnement, le développement sécurisé, la gestion des vulnérabilités, la formation, le chiffrement, la sécurité RH, le contrôle d’accès, la gestion des actifs et l’authentification. L’Article 23 introduit une notification par étapes des incidents significatifs.
DORA s’applique depuis le 17 janvier 2025 à de nombreuses entités financières. Il couvre la gestion des risques liés aux TIC, la notification des incidents majeurs liés aux TIC, les tests de résilience opérationnelle numérique, le risque lié aux tiers TIC, les accords contractuels avec les prestataires TIC et la supervision des prestataires tiers critiques de services TIC. L’Article 5 de DORA place la gouvernance des risques TIC au niveau de l’organe de direction. Les Articles 8 à 14 couvrent l’identification des actifs, la protection, la détection, la continuité, la sauvegarde, le rétablissement, les enseignements tirés, la formation et les communications de crise. Les Articles 17 à 20 définissent le cycle de vie des incidents et le reporting. Les Articles 28 à 30 font du risque de tiers TIC, des clauses contractuelles, des registres, du risque de concentration, des droits d’audit et de la planification de sortie des obligations centrales.
NIST CSF 2.0 fournit une couche d’intégration pratique. Sa fonction GOVERN inclut les obligations légales, réglementaires, contractuelles, de protection de la vie privée et relatives aux libertés civiles, la responsabilité de la direction, l’appétence au risque, la politique, la supervision et le risque fournisseur. Des résultats tels que GV.OC-03 et GV.SC-02 s’alignent naturellement sur les éléments probants de l’Article 26, car ils exigent que les obligations légales et les rôles des partenaires soient compris, gérés, communiqués et coordonnés.
| Prisme de conformité | Ce qu’il exige dans un accord entre responsables conjoints du traitement | Éléments probants Clarysec |
|---|---|---|
| GDPR | Qui détermine les finalités et les moyens, comment les responsabilités sont réparties, comment les personnes sont informées, et comment les droits et les violations sont gérés | REG02, REG07, REG08, REG10, journaux des demandes d’exercice des droits |
| ISO/IEC 27701:2025 PIMS | Si les rôles liés à la protection des données, les registres de traitement, la base légale, la transparence, les processus de gestion des droits, la gestion des incidents et les éléments probants de responsabilité sont gérés de façon systématique | Politiques PIMS, registres, éléments probants de revue de direction |
| ISO/IEC 27001:2022 | Si les exigences légales, les obligations de protection des données, les dépendances fournisseurs, l’utilisation du cloud, les rôles d’incident et le traitement des risques sont intégrés au SMSI | Champ d’application, registre des parties intéressées, registre des risques, Déclaration d’applicabilité, éléments probants de l’Annexe A |
| NIS2 | Si la gouvernance, la gestion des incidents, la chaîne d’approvisionnement, le contrôle d’accès, la continuité, la formation et le reporting sont intégrés | Plan d’incident, registre des fournisseurs, enregistrements de formation, tests de continuité |
| DORA | Si le risque lié aux tiers TIC, le reporting des incidents, les tests de résilience, la protection des données et les contrôles contractuels sont gouvernés pour les services financiers | Registre TIC, clauses contractuelles, classification des incidents, plans de sortie |
| NIST CSF 2.0 | Si les résultats de gouvernance actuels et cibles, le risque fournisseur, la réponse aux incidents et le rétablissement sont définis et mesurables | Profil CSF, plan d’écarts, POA&M, registre des risques |
| COBIT 2019 | Si les objectifs de gouvernance, la responsabilité, la mesure de la performance et les éléments probants d’assurance sont traçables jusqu’aux objectifs de l’entreprise | RACI, indicateurs de contrôle, reporting de direction, dossier d’éléments probants d’audit |
L’avantage du modèle Clarysec est la réutilisation des éléments de preuve. REG08 n’est pas seulement un enregistrement GDPR. Il soutient la responsabilité ISO/IEC 27701:2025, la gouvernance ISO/IEC 27001:2022, la clarification des rôles fournisseurs dans NIST CSF 2.0, la gouvernance des tiers DORA lorsque des services financiers sont concernés, et la supervision par la direction au titre de NIS2 lorsque l’entité est dans le champ d’application.
Ce que les auditeurs et autorités de régulation testeront
Les différents évaluateurs aborderont la gouvernance des responsables conjoints du traitement avec des prismes différents, mais convergeront vers la même question centrale : l’organisation peut-elle prouver que la responsabilité fonctionne ?
| Prisme d’audit | Question d’audit probable | Éléments probants à préparer |
|---|---|---|
| Auditeur ISO/IEC 27001:2022 | Les exigences légales, réglementaires, contractuelles, de protection des données, fournisseurs, incidents et cloud sont-elles identifiées et incluses dans le domaine d’application du SMSI et le traitement des risques ? | Champ d’application, registre des parties intéressées, registre des obligations de conformité, appréciation des risques, Déclaration d’applicabilité, contrôles fournisseurs |
| Auditeur ISO/IEC 27701:2025 PIMS | Les rôles PIMS sont-ils déterminés et les responsabilités des responsables conjoints du traitement sont-elles documentées avant le début du traitement ? | REG02, REG07, REG08, processus de gestion des droits, enregistrements de violation, revue de direction |
| Auditeur orienté GDPR ou DPO | L’organisation peut-elle démontrer la responsabilité au titre de l’Article 5 et la répartition des responsabilités au titre de l’Article 26 ? | Accord entre responsables conjoints du traitement, synthèse de mention, enregistrements de base légale, journaux des demandes d’exercice des droits, journaux des décisions de violation |
| Évaluateur NIST CSF 2.0 | Les résultats liés à la protection des données, au juridique, aux fournisseurs, aux incidents et au rétablissement sont-ils représentés dans les profils actuel et cible avec un plan de remédiation ? | Profil CSF, analyse d’écarts, registre des risques, POA&M, surveillance des fournisseurs |
| Évaluateur DORA | Les dépendances vis-à-vis de tiers TIC, le reporting des incidents, la résilience, les droits contractuels et les plans de sortie sont-ils gouvernés lorsque des services financiers sont concernés ? | Registre contractuel TIC, classification des incidents, tests de résilience, droits d’audit, stratégie de sortie |
| Superviseur NIS2 | La direction a-t-elle approuvé et supervisé les mesures de risque, la sécurité des fournisseurs, la gestion des incidents, la continuité, les contrôles d’accès et la formation ? | Comptes rendus du conseil d’administration, politiques, plan d’incident, tests de continuité, enregistrements de formation, revues des risques fournisseurs |
| Auditeur COBIT 2019 ou ISACA | La responsabilité est-elle attribuée, surveillée, mesurée et reportée au moyen de structures de gouvernance ? | RACI, KPI, tests des contrôles, reporting de direction, remédiation des points ouverts |
La posture d’audit la plus solide repose sur la traçabilité. Partez de l’exigence légale, reliez-la à la politique PIMS, pointez vers l’entrée de registre, montrez le processus, puis présentez les éléments de preuve de test ou un enregistrement de cas réel.
Par exemple, l’Article 26 du GDPR exige la répartition des responsabilités entre responsables conjoints du traitement. La Politique relative au système de management des informations relatives à la vie privée exige REG08 avant le début du traitement. REG08 montre la répartition des responsabilités pour les mentions, les droits, les violations, la conservation, la gestion des fournisseurs et les contacts. REG07 montre la synthèse publique. Une simulation de demande d’exercice des droits prouve que le processus fonctionne. Les comptes rendus de revue de direction montrent les exceptions, décisions et améliorations.
C’est une gouvernance auditable.
La revue de direction transforme le risque relatif à la vie privée en responsabilité de la direction générale
La gouvernance des responsables conjoints du traitement ne doit pas rester cachée dans un dossier protection des données. Elle relève de la revue de direction parce qu’elle affecte l’exposition réglementaire, la confiance des clients, la confiance des patients, la préparation aux incidents, le risque fournisseur, la responsabilité contractuelle et la résilience opérationnelle.
ISO/IEC 27001:2022 exige l’engagement de la direction, des rôles, des ressources, l’alignement des politiques, une planification fondée sur les risques, l’évaluation de la performance et l’amélioration continue. NIS2 impose aux organes de direction des obligations de supervision de la cybersécurité. DORA confie à l’organe de direction la responsabilité ultime des risques TIC pour les entités financières.
La Politique relative aux rôles et responsabilités de gouvernance - PME de Clarysec, clause 5.5, énonce :
Toutes les décisions de sécurité importantes, exceptions et escalades doivent être enregistrées et traçables.
Pour les entreprises, la Politique relative aux rôles et responsabilités de gouvernance, clause 5.2, exige :
Un registre des rôles et responsabilités doit être maintenu et doit inclure :
Ce registre doit inclure les rôles de gouvernance de la protection des données lorsqu’ils affectent la sécurité, la réponse aux incidents, l’assurance fournisseurs, la résilience opérationnelle et le reporting de direction. Les exceptions relatives aux responsables conjoints du traitement doivent être escaladées avant le lancement, et non découvertes après une réclamation.
Un dossier pratique de revue de direction doit inclure :
- Les nouveaux accords entre responsables conjoints du traitement et ceux ayant été modifiés
- Le statut d’achèvement de REG08
- Les activités de traitement à haut risque et le statut des DPIA, le cas échéant
- Les points ouverts relatifs à la base légale ou à la transparence
- La performance des demandes d’exercice des droits et les actions partenaires en retard
- Les résultats des exercices sur table relatifs aux violations et les lacunes non résolues
- Les dépendances fournisseurs, sous-traitants ultérieurs, cloud et transferts
- Les exceptions de conservation et de fin de relation
- Les constats d’audit et le statut de remédiation
- L’impact sur le reporting GDPR, NIS2, DORA, NIST CSF 2.0 et COBIT 2019
Une approche Clarysec en cinq étapes pour rendre l’Article 26 auditable
Si votre organisation partage avec une autre partie le pouvoir de décision sur un traitement de données à caractère personnel, n’attendez pas une réclamation, un audit, une violation ou un litige avec un partenaire pour clarifier les responsabilités.
Utilisez cette approche en cinq étapes :
- Utilisez l’étape 2 de Zenith Blueprint pour identifier les parties prenantes, les exigences légales, les attentes des partenaires, les obligations de protection des données et le périmètre réglementaire.
- Utilisez l’étape 4 de Zenith Blueprint pour construire une matrice RACI couvrant les mentions d’information, la base légale, les droits, la communication en cas de violation, la conservation, les transferts, les fournisseurs, les éléments probants d’audit et la fin de relation.
- Consignez l’activité de traitement dans REG02 et la répartition des responsabilités entre responsables conjoints du traitement dans REG08 au moyen de l’ensemble de politiques PIMS de Clarysec.
- Cartographiez l’accord avec Zenith Controls, en particulier ISO/IEC 27002:2022 Mesure 5.2, Mesure 5.31 et Mesure 5.34.
- Testez l’accord avec une simulation de demande d’exercice des droits et un exercice sur table relatif aux violations avant le début du traitement.
CareConnect et MetroHealth n’avaient pas besoin d’un alignement informel supplémentaire. Ils avaient besoin d’une répartition documentée des responsabilités, d’une synthèse publique, d’un processus de gestion des droits, d’un enregistrement de coordination des violations, de clauses contractuelles et d’éléments probants de revue de direction.
C’est toute la différence entre « nous pensions que le partenaire s’en occupait » et « voici l’accord approuvé, la mention, le processus, les éléments de preuve de test et l’enregistrement de décision relatif à la violation ».
Clarysec peut vous aider à mettre en œuvre la gouvernance PIMS ISO/IEC 27701:2025, à l’aligner sur l’Article 26 du GDPR, à l’intégrer dans votre SMSI ISO/IEC 27001:2022 et à produire des éléments probants exploitables en audit pour répondre aux attentes GDPR, NIS2, DORA, NIST CSF 2.0 et COBIT 2019.
Prêt à remplacer l’ambiguïté entre responsables conjoints du traitement par des éléments probants exploitables en audit ? Découvrez le Zenith Blueprint : feuille de route d’audit en 30 étapes, utilisez Zenith Controls : guide de cartographie croisée de conformité, ou contactez Clarysec pour une évaluation PIMS et SMSI qui transforme l’Article 26 en système de contrôles opérationnels avant la mise en production de votre prochain partenariat.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
