Certificats de suppression des données à caractère personnel pour la conformité lors de la sortie d’un sous-traitant

Maria, RSSI d’une fintech européenne en forte croissance, fixa le bref courriel reçu de DataLeap, le fournisseur SaaS d’analytique marketing que son entreprise venait de résilier.

« Nous confirmons que toutes les données associées à votre compte ont été supprimées de nos systèmes de production. »

Le message était poli, rapide et presque inutile.

Pendant trois ans, DataLeap avait traité des identifiants clients, des données d’interaction avec les campagnes, des attributs de scoring de prospects, des métadonnées de consentement et des analyses comportementales concernant des milliers de clients de l’UE. FinSecure préparait un audit DORA, le délégué à la protection des données examinait les éléments probants de responsabilité au titre du GDPR, et l’équipe Achats voulait clôturer l’enregistrement fournisseur avant le prochain cycle de facturation. Le courriel ne répondait qu’à une question limitée : les données de production. Il ne disait rien des sauvegardes, des journaux, des tickets de support, des espaces de travail analytiques, des caches des sous-traitants ultérieurs, des copies de test, des identifiants API ni des rapports archivés.

Maria posa la question à laquelle tout RSSI, DPO et responsable conformité finit par être confronté lors de la rupture avec un fournisseur SaaS :

Où est le certificat de suppression ?

Cette question transforme une résiliation contractuelle ordinaire en événement de conformité. Au titre du GDPR, les responsables du traitement doivent être en mesure de démontrer la conformité avec des principes tels que la limitation de la conservation, l’intégrité, la confidentialité et la responsabilité. Au titre de DORA, les entités financières doivent gérer le risque lié aux prestataires tiers de services TIC sur l’ensemble du cycle de vie de la relation, y compris la résiliation et les stratégies de sortie qui préviennent les perturbations, la non-conformité réglementaire et les préjudices pour les clients. Au titre de ISO/IEC 27701:2025, les organisations ont besoin d’éléments probants PIMS fondés sur les rôles pour les activités de traitement de données à caractère personnel en tant que responsable du traitement, sous-traitant, sous-traitant ultérieur et sous-traitant cloud. Au titre de ISO/IEC 27001:2022, les dépendances fournisseurs, les services externalisés, les contrôles opérationnels et les éléments probants conservés doivent être gérés dans le système de management de la sécurité de l’information (SMSI).

La lacune est rarement découverte lors de l’intégration. Elle apparaît à la sortie. Le contrat indique que les données seront supprimées, mais ne définit pas les éléments probants attendus. Le fournisseur cloud peut exporter un CSV, mais ne peut pas expliquer le traitement des sauvegardes. Les Achats peuvent résilier le fournisseur, mais la conformité ne peut pas prouver le sort final des données. L’informatique peut désactiver les comptes, mais la désactivation des accès n’est pas une suppression. Le juridique peut envoyer un avis de résiliation, mais les auditeurs demandent une chaîne d’éléments probants.

Clarysec considère la sortie d’un sous-traitant comme une chaîne de contrôles auditable, et non comme une formalité administrative.

Pourquoi la sortie d’un sous-traitant est devenue un point sensible de conformité

La fin d’une relation avec un service SaaS, de paie, RH, finance, CRM, d’hébergement cloud, d’analytique marketing ou de services TIC managés constitue l’un des moments les plus risqués du cycle de vie des données à caractère personnel. En exploitation normale, l’organisation sait au moins quel système est en production, qui en est propriétaire et quel contrat s’applique. À la résiliation, la propriété se fragmente rapidement. Les Achats clôturent l’enregistrement fournisseur. L’informatique désactive les utilisateurs. Le juridique archive le contrat. Le métier migre vers la plateforme de remplacement. L’ancien fournisseur continue de conserver des données selon ses cycles standard de sauvegarde, d’archivage ou de journalisation.

Cette fragmentation est précisément ce que les auditeurs et les autorités de régulation testent.

Le GDPR définit largement le traitement, y compris le stockage, l’effacement et la destruction. Il distingue les responsables du traitement, qui déterminent les finalités et les moyens, des sous-traitants, qui agissent pour le compte des responsables du traitement. Article 5 établit des principes tels que la limitation des finalités, la minimisation des données, la limitation de la conservation, ainsi que l’intégrité et la confidentialité. Article 5(2) ajoute le principe de responsabilité, ce qui signifie que le responsable du traitement doit être en mesure de démontrer la conformité. Article 28(3)(g) exige que les contrats de sous-traitance prévoient que, au choix du responsable du traitement, le sous-traitant supprime ou restitue toutes les données à caractère personnel à la fin du service et supprime les copies existantes, sauf si le droit impose leur conservation.

Un simple courriel fournisseur satisfait rarement à cette exigence lorsque les données concernent des informations de paie, des enregistrements financiers, des données relatives à la santé, des identifiants clients, des journaux d’authentification ou des dossiers clients réglementés.

DORA relève le niveau d’exigence pour les entités financières. À compter du 17 janvier 2025, DORA s’applique comme cadre réglementaire de résilience opérationnelle numérique du secteur financier de l’UE. Il impose aux entités financières de gérer le risque lié aux prestataires tiers de services TIC comme partie intégrante de leur cadre global de gestion des risques et de demeurer pleinement responsables de la conformité lorsque des services sont externalisés. DORA attend des organisations qu’elles maintiennent des registres d’informations des contrats de services TIC, identifient les services soutenant des fonctions critiques ou importantes, réalisent des diligences préalables, évaluent le risque de concentration, prévoient des droits contractuels d’accès, de récupération et de restitution des données, et maintiennent des stratégies de résiliation et de sortie.

Pour les fonctions critiques ou importantes, les contrats DORA doivent aller plus loin. Ils doivent prévoir des clauses relatives aux droits d’audit, aux périodes de transition, aux niveaux de service, aux tests de continuité, aux obligations de coopération et à l’assistance à la sortie. Un certificat de suppression ne constitue pas l’intégralité du dossier de sortie DORA, mais il en est un livrable probant critique.

NIS2 est également pertinent pour de nombreux prestataires de la chaîne TIC au sens large, notamment les fournisseurs de services d’informatique en nuage, les prestataires de centres de données, les prestataires de services managés, les prestataires de services de sécurité managés et les autres prestataires d’infrastructures numériques. NIS2 Article 21 exige des mesures techniques, opérationnelles et organisationnelles appropriées et proportionnées, notamment la sécurité de la chaîne d’approvisionnement, les contrôles de la relation fournisseur, le contrôle d’accès, la gestion des actifs, la gestion des incidents, la continuité et l’hygiène cyber. Pour les entités financières couvertes par DORA, DORA agit généralement comme acte juridique de l’Union propre au secteur pour les exigences comparables en matière de risque ICT, de reporting, de tests et de tiers, mais NIS2 continue d’encadrer l’écosystème de cybersécurité plus large.

Le message opérationnel est simple : si un fournisseur a traité des données à caractère personnel, soutenu des opérations réglementées ou fait partie de votre chaîne de services TIC, les éléments probants de sortie constituent un contrôle du risque.

La vision Clarysec : la sortie d’un sous-traitant est une chaîne de contrôles

Un processus mature de sortie de sous-traitant répond à trois questions :

1. Quelles données, quels systèmes et quels sous-traitants ultérieurs relèvent du périmètre ?
2. Quelle action de restitution, de transfert, de suppression ou d’élimination est requise au plan légal et contractuel ?
3. Quels éléments probants démontrent que l’action a été menée à son terme avant la clôture de la sortie ?

Dans Zenith Controls: The Cross-Compliance Guide, ce scénario est rattaché à la mesure ISO/IEC 27002:2022 5.20, « gestion de la sécurité de l’information dans les relations avec les fournisseurs » ; à la mesure 8.10, « suppression des informations » ; et à la mesure 7.14, « élimination sécurisée ou réutilisation des équipements ». Il ne s’agit pas d’éléments de checklist séparés. La sortie d’un sous-traitant relie les accords fournisseurs, la gestion du cycle de vie des données, la sortie du cloud, la révocation des accès, la propriété des actifs, la conservation des éléments probants et la préparation à l’audit.

Le Zenith Blueprint: An Auditor’s 30-Step Roadmap de Clarysec place ce sujet dans la phase Controls in Action. À l’étape 23, Contrôles organisationnels, les accords fournisseurs doivent couvrir les dispositions de fin de contrat, les contrôles des sous-traitants, les droits d’audit et les protocoles d’incident. Le Blueprint décrit les domaines typiques des accords fournisseurs comme incluant :

« Dispositions de fin de contrat, telles que la restitution ou la destruction des données, la récupération des actifs et la désactivation des comptes. »

C’est dans cette phrase que se rejoignent la responsabilité au titre du GDPR, les éléments probants PIMS ISO/IEC 27701:2025, les attentes de sortie DORA, la sécurité de la chaîne d’approvisionnement NIS2 et le contrôle opérationnel ISO/IEC 27001:2022.

Le même Zenith Blueprint, à l’étape 19, Contrôles technologiques I, explique le risque de suppression qui sous-tend la sortie d’un sous-traitant :

« Ce contrôle garantit que les données ne sont pas conservées plus longtemps que nécessaire et, lorsqu’elles ne sont plus nécessaires, qu’elles doivent être supprimées de manière sécurisée et fiable. »

L’étape 18, Contrôles physiques II, traduit l’exigence d’éléments probants en termes pratiques :

« En cas de recours à un prestataire externe, demander et conserver les certificats de destruction comme éléments probants d’audit. »

Pour les systèmes cloud, l’élimination physique échappe généralement au contrôle direct du client. Cela rend encore plus importantes la confirmation contractuelle de suppression, les certificats d’effacement à valeur de conformité et la documentation SMSI archivée.

Le modèle opérationnel de Clarysec est direct : clause contractuelle, événement déclencheur de sortie, inventaire des données, action de suppression, confirmation des sous-traitants ultérieurs, registre d’éléments probants, vérification finale.

Pourquoi « supprimé » n’est pas équivalent à démontré

Un constat d’audit fréquent se formule ainsi :

« L’organisation a indiqué que le fournisseur avait supprimé les données, mais n’a pas pu fournir d’éléments probants relatifs à la suppression, au périmètre de suppression, à la date de suppression, à la partie responsable, aux systèmes inclus, au traitement des sauvegardes ou à la confirmation des sous-traitants ultérieurs. »

Cela se produit dans les grandes entreprises, mais aussi fréquemment dans les PME qui s’appuient fortement sur des outils SaaS pour la paie, la gestion des tickets de support, le CRM, l’intégration RH, le stockage cloud, la collaboration, l’analytique et le développement logiciel. Lorsqu’un fournisseur change, des données à caractère personnel restent souvent dans des comptes dormants, des pièces jointes de support, des fichiers temporaires de migration, des exports de développement, des bases de données de préproduction et des cycles de sauvegarde.

Le corpus de politiques Clarysec transforme « supprimé » en exigence d’éléments probants.

La Politique de sécurité des tiers et des fournisseurs [P26] exige à la clause 6.5.1.2 :

« Restitution ou destruction certifiée de toutes les informations appartenant à l’organisation »

La clause 6.5.1.3 exige ensuite :

« Vérification finale de la conformité (par exemple, revue des journaux, attestations de conformité) »

Cette distinction est importante. Un certificat de suppression ne constitue pas l’ensemble du contrôle. Il s’agit d’un livrable justificatif dans un dossier de vérification finale de conformité. Les auditeurs voudront vérifier si le certificat correspond au contrat fournisseur, à l’inventaire des données, au ticket de sortie, aux journaux des accès, à la liste des sous-traitants ultérieurs, au calendrier de conservation et à l’appréciation des risques.

Pour les PME, la Politique de sécurité des tiers et des fournisseurs - PME [P26S] fournit un référentiel pratique. La clause 5.3.6, au titre des Exigences de gouvernance, exige :

« Conditions de résiliation, y compris la restitution ou la destruction sécurisée des données »

La clause 6.4.2.3, au titre des Exigences de mise en œuvre de la politique, impose aux fournisseurs de :

« Confirmer par écrit que les données ont été supprimées de manière sécurisée »

La Politique de conservation et d’élimination des données [P14] ajoute l’exigence d’éléments probants à la clause 4.7.2 :

« Doit fournir, sur demande, des éléments probants documentés de conformité (par exemple, journaux de suppression, certificats de destruction). »

Pour les PME, la Politique de conservation des données et d’élimination sécurisée - PME exige à la clause 6.2.3 :

« Les événements d’élimination doivent être consignés avec la date, la catégorie d’enregistrement, la méthode et la personne responsable. »

C’est la différence entre la confiance accordée au fournisseur et les éléments probants d’audit.

ISO/IEC 27701:2025 : éléments probants de sortie fondés sur les rôles

ISO/IEC 27701:2025 ajoute une couche de management de la protection de la vie privée au SMSI. La sortie d’un sous-traitant doit refléter le rôle PIMS de l’organisation. Un responsable du traitement qui met fin à une relation avec un sous-traitant n’a pas les mêmes responsabilités qu’un sous-traitant qui met fin à une relation avec un sous-traitant ultérieur. Un sous-traitant agissant sur instructions du client doit documenter qu’il a suivi ces instructions. Un sous-traitant cloud doit démontrer que la restitution, le transfert, la suppression ou l’élimination a eu lieu dans le délai convenu avec le client.

Le corpus de politiques PIMS de Clarysec utilise des balises de rôle pour rendre cette exigence opérationnelle. « Responsable du traitement et sous-traitant » s’applique que l’organisation soit responsable du traitement ou sous-traitant. « Sous-traitant » s’applique lors du traitement de données à caractère personnel sur instructions documentées du responsable du traitement. « Sous-traitant ultérieur » s’applique lorsqu’un sous-traitant ultérieur est engagé par un autre sous-traitant.

La Politique de gestion de la protection des données des sous-traitants, sous-traitants ultérieurs et tiers exige à la clause 4.5.6 :

« [Responsable du traitement et sous-traitant] Le Responsable fournisseurs/achats DOIT obtenir les éléments probants de restitution, de suppression, d’élimination ou de transition dans REG08 dans les 30 jours suivant la résiliation du contrat, son expiration, l’instruction du client ou l’événement de sortie approuvé, sauf si un délai contractuel plus court s’applique. »

La Politique de conservation, suppression et élimination des données à caractère personnel distingue les obligations du sous-traitant et du sous-traitant ultérieur. La clause 4.3.3 énonce :

« [Sous-traitant] Le Responsable fournisseurs/achats DOIT exécuter ou confirmer la restitution, le transfert, la suppression ou l’élimination demandés par le client dans REG08 avant l’échéance contractuelle ou la date documentée de l’instruction du client. »

La clause 4.3.4 énonce :

« [Sous-traitant ultérieur] Le Responsable fournisseurs/achats DOIT obtenir les éléments probants de restitution, de suppression ou d’élimination du sous-traitant ultérieur dans REG08 pendant la période contractuelle de fourniture des éléments probants suivant l’instruction du client, la sortie du service ou la résiliation du sous-traitant ultérieur. »

La clause 7.1.7 rattache l’exigence à la clôture :

« [Responsable du traitement et sous-traitant] Le Responsable fournisseurs/achats DOIT obtenir les éléments probants du sous-traitant, du sous-traitant ultérieur ou du service externe pour les actions requises de restitution, de transfert ou de sort final dans REG08 avant de clôturer la sortie du service. »

Pour les services cloud, la Politique relative aux sous-traitants cloud de données à caractère personnel exige à la clause 4.6.3 :

« [Sous-traitant] Le propriétaire du système / propriétaire d’application DOIT finaliser la restitution, le transfert, la suppression ou l’élimination approuvés des données à caractère personnel du client dans le délai convenu avec le client et consigner les éléments probants d’achèvement dans REG08 ou REG12. »

L’amélioration opérationnelle est immédiate. N’attendez pas un audit. Créez l’exigence d’éléments probants dès l’événement déclencheur de sortie, attribuez-la à un responsable, fixez une échéance et empêchez la clôture tant que REG08 ou REG12 n’est pas complet.

Ce que doit contenir un bon dossier d’éléments probants de sortie de sous-traitant

Un certificat de suppression ne doit pas être un PDF vague avec un logo et une phrase unique. Il doit soutenir un dossier d’éléments probants structuré capable de résister à une demande au titre du GDPR, à un audit PIMS ISO/IEC 27701:2025, à un audit de surveillance ISO/IEC 27001:2022, à une demande d’autorité de contrôle au titre de DORA, à une revue d’assurance demandée par les clients ou à un audit interne.

Ce n’est pas de la bureaucratie. C’est une chaîne de conservation pratique des données à caractère personnel à la sortie du service.

La clause contractuelle qui évite la crise

Le problème de Maria avait commencé des années avant le courriel final de DataLeap. Il avait commencé au moment de la signature du contrat, avec une clause de suppression vague et aucune obligation d’éléments probants. Le processus de sortie de sous-traitant le plus robuste commence aux Achats, et non à la résiliation.

Pour les services cloud, la Politique d’utilisation du cloud d’entreprise exige à la clause 5.4.4 :

« Clauses de résiliation permettant une sortie sécurisée et vérifiable »

Pour les PME, la Politique d’utilisation du cloud - PME exige à la clause 6.3.5 :

« Confirmation des procédures de suppression sécurisée avant la clôture du compte »

Une clause contractuelle fournisseur efficace doit imposer la restitution ou la suppression, définir les délais, couvrir les sauvegardes et les sous-traitants ultérieurs, exiger des éléments probants et préserver les droits d’audit.

Exemple de clause : restitution des données, suppression et éléments probants

À la résiliation ou à l’expiration du contrat, ou sur instruction écrite du responsable du traitement, le sous-traitant doit, au choix du responsable du traitement, restituer de manière sécurisée toutes les données à caractère personnel dans un format lisible par machine convenu ou supprimer de manière sécurisée toutes les données à caractère personnel des systèmes, supports, sauvegardes et environnements sous le contrôle du sous-traitant, sauf si le droit de l’Union ou d’un État membre impose leur conservation.

Dans les trente jours calendaires suivant l’achèvement de l’action requise, ou dans un délai plus court lorsqu’il est contractuellement convenu, le sous-traitant doit fournir un certificat de suppression signé ou une attestation de conformité équivalente. Le certificat doit identifier le service, les catégories de données, les systèmes couverts, la période de suppression, la méthode de suppression, le traitement des sauvegardes et des archives, le statut des sous-traitants ultérieurs, les exceptions conservées et le signataire autorisé.

Le responsable du traitement peut demander des éléments probants raisonnables à l’appui, notamment des journaux, des enregistrements d’élimination, des attestations de sous-traitants ultérieurs et de la documentation de processus, afin de vérifier le certificat et de clôturer l’enregistrement de sortie fournisseur.

Cette formulation transforme la responsabilité en livrable opérationnel.

Exemple pratique : sortie d’un SaaS de paie

Prenons le cas d’une PME qui passe de PayrollCloud A à PayrollCloud B. PayrollCloud A traitait les noms, adresses, identifiants fiscaux, coordonnées bancaires, historiques de rémunération, dossiers d’arrêt maladie et tickets de support des employés. Il utilisait un fournisseur d’hébergement cloud et une plateforme de support comme sous-traitants ultérieurs.

Une sortie alignée sur Clarysec se déroulerait comme suit.

1. Ouvrir un ticket de sortie fournisseur

Les Achats créent un ticket de sortie lié à l’enregistrement fournisseur. Le ticket inclut la date de résiliation du contrat, la date finale du service, le responsable métier, le propriétaire du système, le DPO ou référent protection des données, et indique si des données relevant de catégories particulières peuvent être concernées. Comme la paie peut inclure des données sensibles relatives à l’emploi et à la santé, la cotation du risque est élevée.

2. Rattacher la sortie au contrat

Le responsable fournisseur vérifie dans le contrat les clauses relatives à la restitution, à la suppression, à l’audit, à la transition et aux sous-traitants ultérieurs. Si le contrat est faible, le responsable envoie néanmoins une instruction formelle exigeant la restitution, la suppression et la confirmation des sous-traitants ultérieurs. L’exigence d’éléments probants est ancrée dans les politiques Clarysec, notamment P26, P26S, P14, la Politique d’utilisation du cloud et la Politique d’utilisation du cloud - PME.

3. Définir le périmètre des données à caractère personnel

Le propriétaire du système complète une déclaration de périmètre des données couvrant les dossiers de paie de production, les documents en libre-service des employés, les pièces jointes, les exports, les tickets de support, les journaux d’audit contenant des identifiants utilisateurs, les fichiers d’intégration API, les extraits temporaires de migration, les sauvegardes, les instantanés et les données détenues par les sous-traitants ultérieurs.

Cela soutient la responsabilité au titre du GDPR, les éléments probants PIMS ISO/IEC 27701:2025, le contrôle opérationnel ISO/IEC 27001:2022 et, pour les entités financières, les attentes relatives au registre d’informations des prestataires tiers de services TIC au titre de DORA.

4. Demander les éléments probants de restitution, de suppression et des sous-traitants ultérieurs

Le responsable fournisseur adresse une demande structurée à PayrollCloud A pour confirmer l’achèvement de l’export final, la suppression des données du locataire de production, le traitement des sauvegardes et des archives immuables, la suppression des pièces jointes des tickets de support, la révocation des comptes propres au client et des identifiants API, les éléments probants de suppression ou d’élimination des sous-traitants ultérieurs, ainsi qu’un certificat de suppression signé.

5. Consigner l’achèvement dans REG08 ou REG12

Le responsable fournisseur consigne chaque élément probant dans REG08. Si l’organisation agit en tant que sous-traitant et que l’application cloud contenait des données à caractère personnel de clients, l’achèvement peut également être consigné dans REG12 au titre de la Politique relative aux sous-traitants cloud de données à caractère personnel.

6. Réaliser la vérification finale avant clôture

La conformité compare le certificat de suppression avec la déclaration de périmètre des données. L’informatique vérifie les journaux des accès et les éléments probants de clôture des comptes. Le DPO vérifie s’il existe une exception de conservation, telle qu’une obligation légale ou un gel lié à un litige. La sécurité vérifie que les jetons API, les comptes de service et les configurations SSO ont été supprimés.

Ce n’est qu’ensuite que le ticket de sortie est clôturé.

Si le fournisseur refuse de fournir des éléments probants, le sujet devient une question de traitement des risques. Il peut déclencher une escalade, des recours contractuels, une analyse de notification client, une évaluation réglementaire, une surveillance renforcée pendant la transition ou des changements de cotation du risque fournisseur.

DORA, NIS2 et résilience TIC : les éléments probants de sortie au-delà de la protection des données

DORA considère la sortie d’un fournisseur comme un élément de résilience, et non comme une simple administration de la protection des données. Une entité financière demeure responsable de la conformité même lorsque des services TIC sont externalisés. Elle doit maintenir un registre d’informations des contrats de services TIC, distinguer les services soutenant des fonctions critiques ou importantes, réaliser des diligences préalables, évaluer le risque de concentration et maintenir des stratégies de sortie.

Un certificat de suppression de sous-traitant peut avoir un impact sur plusieurs préoccupations DORA :

• Continuité du service aux clients
• Reporting réglementaire
• Intégrité des données
• Réponse aux incidents
• Droits d’audit
• Résilience opérationnelle
• Planification de la reprise et de la transition
• Gestion des fonctions critiques ou importantes

Pour un établissement de paiement, une entreprise d’investissement, un établissement de crédit, un prestataire de services sur crypto-actifs ou une plateforme fintech, le certificat de suppression doit s’inscrire dans un dossier de sortie plus large. Il ne suffit pas de prouver que les données à caractère personnel ont été supprimées si l’organisation ne peut pas également prouver que la transition de service a évité toute perturbation, que les obligations réglementaires sont restées respectées et que les impacts clients ont été maîtrisés.

NIS2 étend la discussion sur la sécurité fournisseur au-delà des services financiers. La sortie d’un sous-traitant est un test de sécurité de la chaîne d’approvisionnement. Si une entité essentielle ou importante ne peut pas prouver qu’un fournisseur a restitué ou supprimé les données à la fin du service, elle présente une faiblesse dans la gestion de la relation fournisseur, le contrôle des actifs, la gouvernance des accès, la protection des données et, potentiellement, la préparation à la gestion des incidents.

Si une sortie défaillante entraîne un accès non autorisé, une perte, une divulgation ou une interruption de service, l’organisation peut devoir évaluer ses obligations de notification des incidents au titre du droit applicable et des règles nationales de transposition.

Cartographie croisée de conformité : un processus, plusieurs obligations

La valeur d’un processus de sortie de sous-traitant bien conçu tient au fait qu’il répond simultanément à plusieurs référentiels.

NIST CSF 2.0 est particulièrement utile comme couche de communication. Sa fonction GOVERN exige que les organisations comprennent leurs obligations légales, réglementaires, contractuelles et relatives à la vie privée, définissent leur stratégie de risque, attribuent les rôles et établissent la supervision. Ses résultats Cybersecurity Supply Chain Risk Management couvrent les exigences fournisseurs dans les contrats, le suivi des risques fournisseurs et les activités après la fin d’un partenariat ou d’un accord de service. GV.SC-10 correspond précisément à la sortie d’un sous-traitant.

Ce que les auditeurs demanderont

Les auditeurs abordent la sortie d’un sous-traitant sous des angles différents, mais le dossier d’éléments probants doit être suffisamment robuste pour tous.

Un auditeur ISO/IEC 27001:2022 ne commencera pas nécessairement par demander un « certificat de suppression des données à caractère personnel ». Il peut commencer par le champ d’application, les exigences des parties intéressées, le contrôle fournisseur, la Déclaration d’applicabilité (SoA), le traitement des risques et les informations documentées conservées. Si le certificat de suppression ne peut pas être relié à ces éléments, il peut apparaître comme un livrable isolé plutôt que comme la preuve d’un contrôle fonctionnel.

Un auditeur PIMS demandera si l’organisation a compris son rôle en matière de protection des données. Était-elle responsable du traitement, sous-traitant, sous-traitant ultérieur ou sous-traitant cloud de données à caractère personnel ? La sortie reposait-elle sur une instruction documentée du client ? Les obligations des sous-traitants ultérieurs ont-elles été répercutées ? Les éléments probants ont-ils été conservés dans le registre approprié ? Les exceptions étaient-elles justifiées ?

Un relecteur DORA demandera si le service figure dans le registre d’informations TIC, s’il soutient une fonction critique ou importante, si le contrat prévoyait la restitution des données et les droits d’audit, et si la transition a évité les perturbations et les préjudices pour les clients.

Le même dossier d’éléments probants doit répondre à toutes ces questions.

Schémas de défaillance fréquents

Clarysec observe régulièrement les mêmes faiblesses lors des revues de sortie de sous-traitant :

• Les contrats exigent la suppression, mais ne définissent pas les éléments probants.
• Les fournisseurs fournissent des déclarations génériques de suppression sans périmètre système.
• Les sauvegardes, instantanés et archives immuables sont ignorés.
• La suppression par les sous-traitants ultérieurs est supposée, non étayée par des éléments probants.
• La désactivation des accès est traitée comme une suppression des données.
• Les Achats clôturent le fournisseur avant la revue des éléments probants par la conformité.
• Les exceptions de conservation ne sont pas documentées.
• Les développeurs conservent des exports de test après la fin du développement externalisé.
• Les comptes cloud sont clôturés avant l’obtention de la confirmation de suppression.
• Les éléments probants d’audit sont stockés dans la messagerie, et non dans un registre contrôlé.

Le scénario de développement externalisé est particulièrement courant. La Politique de développement externalisé - PME exige à la clause 7.4.1.2 :

« Toutes les données détenues par les développeurs doivent être supprimées et des éléments probants peuvent être demandés »

Pour les équipes de développement, cela inclut les jeux de données locaux, les bases de données de préproduction, les journaux de débogage, les dumps de crash, les captures d’écran, les exports de support, les prompts de test d’IA et les fichiers temporaires de migration. Si le processus de sortie fournisseur ignore les données détenues par les développeurs, il est incomplet.

Liste de contrôle de sortie d’un sous-traitant

Un processus robuste de sortie de sous-traitant n’a pas besoin d’être complexe, mais il doit être appliqué avec rigueur.

• Identifier l’événement déclencheur de sortie : résiliation, expiration, instruction du client, remplacement du fournisseur, réponse à une violation, transition approuvée ou résiliation d’un sous-traitant ultérieur.
• Confirmer le rôle PIMS : responsable du traitement, sous-traitant, sous-traitant ultérieur, responsables conjoints du traitement ou sous-traitant cloud de données à caractère personnel.
• Relier l’enregistrement fournisseur : contrat, responsable de service, fonction métier, criticité et catégories de données.
• Identifier le périmètre des données à caractère personnel : production, sauvegardes, journaux, exports, tickets de support, analytique, données de test et sous-traitants ultérieurs.
• Émettre des instructions écrites : restitution, transfert, suppression, élimination ou exception de conservation.
• Obtenir les éléments probants : certificat de suppression, certificat de destruction, journaux, attestation du sous-traitant ultérieur et preuve de clôture des accès.
• Consigner les éléments probants dans REG08 ou REG12 : emplacement des éléments probants, date, méthode, personne responsable et réviseur.
• Vérifier avant clôture : comparer les éléments probants au périmètre des données, au contrat et aux instructions du client.
• Escalader les exceptions : éléments probants manquants, expiration retardée des sauvegardes, conservation contestée, fournisseur non coopératif ou accès résiduel.
• Alimenter l’amélioration : mettre à jour les modèles contractuels, la cotation du risque fournisseur, le calendrier de conservation, le plan d’audit et le reporting de direction.

C’est ainsi que le Zenith Blueprint, Zenith Controls et le corpus de politiques Clarysec fonctionnent ensemble. Le Blueprint montre où le contrôle se situe dans le parcours de mise en œuvre. Les politiques définissent le comportement requis. Zenith Controls cartographie la relation de contrôle entre ISO/IEC 27002:2022, GDPR, DORA, NIS2, NIST et les attentes d’audit.

Le message à porter au conseil d’administration

La sortie d’un sous-traitant n’est pas une étape administrative en fin de contrat. C’est un test en conditions réelles de la gouvernance de la protection des données, de la gestion des fournisseurs, de la sécurité cloud, de la résilience TIC et de la discipline relative aux éléments probants d’audit.

Un certificat de suppression n’a de valeur que s’il est rattaché à :

• Une relation fournisseur connue
• Un périmètre de données défini
• Une instruction contractuelle ou client
• Une méthode de suppression ou d’élimination sécurisée
• Des éléments probants d’obligations répercutées aux sous-traitants ultérieurs
• La clôture des accès
• Le traitement des sauvegardes et des archives
• Un registre d’éléments probants contrôlé
• Une vérification finale de conformité

Sans cette chaîne, l’organisation s’appuie sur la confiance au moment précis où elle devrait s’appuyer sur des éléments probants.

Prochaines étapes avec Clarysec

Si votre organisation utilise des fournisseurs SaaS, cloud, de paie, RH, finance, support, développement ou services TIC managés, revoyez votre processus de sortie de sous-traitant avant l’envoi du prochain avis de résiliation.

Clarysec peut vous aider à mettre en œuvre un modèle de sortie de sous-traitant pratique et conforme aux exigences d’audit au moyen de :

• Zenith Blueprint: An Auditor’s 30-Step Roadmap pour placer la sortie fournisseur, la suppression et l’élimination dans les bonnes étapes de mise en œuvre.
• Zenith Controls: The Cross-Compliance Guide pour cartographier les accords fournisseurs, la suppression des informations et l’élimination sécurisée dans ISO/IEC 27002:2022, GDPR, DORA, NIS2, NIST et les attentes d’audit.
• Politique de gestion de la protection des données des sous-traitants, sous-traitants ultérieurs et tiers et Politique de conservation, suppression et élimination des données à caractère personnel pour rendre les éléments probants REG08 opérationnels.
• Politique de sécurité des tiers et des fournisseurs, Politique de conservation et d’élimination des données et Politique relative aux sous-traitants cloud de données à caractère personnel pour rendre les éléments probants de sortie opposables.

Votre prochaine action est simple : choisissez un fournisseur récemment résilié et constituez un dossier rétrospectif d’éléments probants de sortie. Si vous ne pouvez pas prouver la restitution, la suppression, la confirmation des sous-traitants ultérieurs et la vérification finale, c’est votre premier point de remédiation.

Clarysec peut vous aider à transformer cette lacune en contrôle répétable de sortie de sous-traitant avant qu’un auditeur, une autorité de régulation ou un client ne vous le demande.