Registre des sous-traitants ultérieurs RGPD : modèle Excel

Registre des sous-traitants ultérieurs RGPD : modèle gratuit (Excel)

Ce modèle gratuit de registre des sous-traitants ultérieurs est un classeur Excel téléchargeable (plus un guide de terrain PDF et un Markdown lisible par machine) contenant la liste de sous-traitants ultérieurs que l'article 28(2) du RGPD et l'avis 22/2024 du CEPD attendent d'un sous-traitant : chaque sous-traitant ultérieur de la chaîne avec identité, adresse du siège, service, catégories de données, lieux de traitement, mécanisme de transfert et garanties de sécurité — plus un journal des modifications qui trace chaque notification, chaque date limite d'opposition et chaque issue, et un journal de diligence raisonnable pour le suivi continu des « garanties suffisantes ». Sans inscription, avec des lignes d'exemple complétées (les fichiers téléchargeables sont disponibles en français).

La plupart des entreprises SaaS ont techniquement une liste de sous-traitants ultérieurs. Elle vit dans une annexe PDF du DPA, ne nomme que les prestataires de premier niveau et a été mise à jour la dernière fois que quelqu'un y a pensé. Depuis l'avis 22/2024 du CEPD, ce schéma échoue sur trois plans à la fois : la liste doit couvrir toute la chaîne, doit être à jour en permanence, et une mise à jour silencieuse de page web ne décharge de rien si elle ne s'accompagne pas d'une alerte active qui atteint les responsables du traitement à temps pour s'opposer. Ce registre est construit pour que ces trois obligations découlent de l'usage normal — la notification de changement elle-même est un document distinct, couvert par notre modèle de notification de changement de sous-traitant ; ce registre est la source à partir de laquelle ces notifications sont générées.

À retenir

1. Une ligne par sous-traitant ultérieur — y compris les sous-traitants de rang inférieur. L'avis 22/2024 du CEPD attend que les responsables du traitement puissent identifier chaque acteur de la chaîne. Les colonnes « Engagé par » et « Niveau dans la chaîne » enregistrent qui a engagé qui, de sorte qu'un opérateur de centre de données de second niveau est aussi visible que votre fournisseur cloud.
2. Le registre est la source ; la page publique en est une projection. Les lignes au statut Actif ou Annoncé — délai d'opposition ouvert constituent votre liste publique de sous-traitants ultérieurs ; les sous-traitants retirés conservent leur historique. Cet ordre — mettre à jour le registre, puis notifier — est ce qui rend la liste auditable.
3. Les transferts sont une colonne, pas une note de bas de page. Chaque ligne enregistre le mécanisme — EEE uniquement, décision d'adéquation, ou CCT au titre de la décision (UE) 2021/914 avec la date de l'analyse d'impact des transferts — afin qu'un responsable du traitement puisse mener sa propre analyse au titre du chapitre V à partir de votre seule liste.
4. La diligence raisonnable est continue, pas limitée à l'intégration. La troisième feuille du classeur consigne chaque évaluation — certifications vérifiées, mesures techniques et organisationnelles revues, date de la TIA, divulgation par le sous-traitant ultérieur de sa propre chaîne — avec une date de prochaine revue, conformément à la lecture du CEPD selon laquelle les garanties de l'article 28(1) doivent être vérifiées en continu.
5. Le journal des modifications est votre preuve au titre de l'article 28(2). Référence de la notification, date d'envoi, canaux, date limite d'opposition, oppositions reçues, issue : lorsqu'un responsable du traitement (ou un auditeur) demande qui a été informé de quoi et quand, cette feuille répond.

Ce que contient le classeur

Feuille	Ce qu'elle contient	Pourquoi c'est important
Registre des sous-traitants	18 colonnes par sous-traitant ultérieur : identité, adresse, pays, contact, description du service, catégories de données, indicateur de catégories particulières, lieux de traitement, mécanisme et détail de transfert, garanties de sécurité, parent dans la chaîne, niveau dans la chaîne, date du contrat de répercussion, statut, date d'effet, dernière vérification, référence de notification	Le jeu de champs attendu par le CEPD, plus les colonnes opérationnelles qui le rendent maintenable
Journal des modifications	Une ligne par ajout, remplacement, retrait ou changement substantiel : réf. de notification, date d'envoi, canaux, responsables du traitement concernés, date limite d'opposition, oppositions, issue, date d'effet	La preuve que la possibilité de s'opposer au titre de l'article 28(2) était réelle
Diligence raisonnable	Date d'évaluation, évaluateur, garanties revues, certifications vérifiées, référence des TOM, date de la TIA, divulgation des sous-traitants de rang inférieur, résultat, conditions, prochaine revue	Le dossier continu des « garanties suffisantes » derrière chaque ligne

Des listes déroulantes couvrent le mécanisme de transfert (six options, de Aucun — EEE uniquement à Dérogation art 49), le statut (Actif / Annoncé / Sortie en cours / Retiré), le niveau dans la chaîne, le type de changement et le résultat d'évaluation. Les lignes d'exemple utilisent une entreprise SaaS berlinoise fictive — Aurora Software GmbH — avec un hébergeur suisse, un prestataire e-mail américain sous CCT, un outil de support néerlandais en cours de délai d'opposition et un opérateur allemand de centre de données de second niveau, pour que le modèle de visibilité de la chaîne soit illustré rempli.

La variante Markdown lisible par machine porte l'ensemble des définitions de champs et des énumérations, plus les règles de workflow pour agents — comment projeter la liste publique, la séquence d'ajout d'un sous-traitant ultérieur et les contrôles de santé du registre — de sorte qu'un outillage interne ou un agent IA peut maintenir le registre aux côtés de votre registre des activités de traitement et de vos notifications de changement.

Comment l'utiliser

1. Chargez l'état actuel. Saisissez chaque sous-traitant ultérieur existant — puis demandez à chacun d'eux sa liste de sous-traitants ultérieurs et ajoutez les entrées significatives comme lignes de second niveau. Si un prestataire ne peut pas vous décrire sa propre chaîne, c'est un constat de diligence raisonnable, pas un problème de mise en forme.
2. Remplissez honnêtement les colonnes de transfert. « Prestataire américain, CCT » ne suffit pas : enregistrez le module de CCT, la date de la TIA et les éventuelles mesures supplémentaires. Pour les sous-traitants ultérieurs s'appuyant sur le Data Privacy Framework UE–États-Unis, notez que le Tribunal de l'UE a rejeté le recours Latombe en septembre 2025 mais que le pourvoi est pendant devant la CJUE — les CCT plus une TIA restent l'option par défaut la plus résiliente.
3. Publiez la projection. Répliquez les lignes Actif et Annoncé vers votre page publique de sous-traitants ultérieurs ou votre Trust Center. La page et le registre ne doivent jamais diverger — un responsable du traitement qui clique depuis une notification doit voir exactement ce qui lui a été annoncé.
4. Faites passer les changements par la séquence. Diligence raisonnable → ligne du registre au statut Annoncé → notification de changement envoyée et consignée → statut Actif seulement après l'expiration du délai d'opposition, oppositions résolues. Les valeurs de statut du classeur encodent la séquence pour qu'elle ne puisse pas être court-circuitée en silence.
5. Gardez l'horloge de revue en marche. Chaque ligne de diligence raisonnable porte une date de prochaine revue. Revérifiez les certifications à leur renouvellement, recontrôlez la divulgation des sous-traitants de rang inférieur et rafraîchissez les TIA quand le paysage juridique bouge.

La base juridique derrière chaque colonne

• Article 28(2) du RGPD — autorisation écrite préalable, générale ou spécifique, pour recruter un autre sous-traitant ; sous autorisation générale, le sous-traitant informe le responsable du traitement des ajouts ou remplacements envisagés et lui donne la possibilité de s'y opposer. Les colonnes statut et référence de notification rendent cette obligation opérationnelle.
• Articles 28(3)(d) et 28(4) — le contrat doit respecter les conditions du paragraphe 2, et les mêmes obligations de protection des données se répercutent le long de la chaîne, le sous-traitant initial demeurant pleinement responsable. La colonne date du contrat de répercussion documente que cela a réellement eu lieu, sous-traitant par sous-traitant.
• Article 30(2) — le registre des activités de traitement du sous-traitant se nourrit des mêmes faits ; les colonnes service, catégories de données et transfert du registre sont conçues pour y être réutilisables, ainsi que dans les registres de l'article 30 de vos responsables du traitement.
• Chapitre V (articles 44 à 49) — les colonnes mécanisme et détail de transfert enregistrent la décision d'adéquation ou la garantie applicable par sous-traitant ultérieur, de sorte que la liste porte sa propre analyse de transfert.
• Avis 22/2024 du CEPD — la liste de champs elle-même : identité, adresse, contact, description du traitement, lieu, garanties de transfert et garanties de sécurité pour chaque acteur de la chaîne, à jour en permanence, fournies de manière proactive.

Ce que la CNIL attend en pratique

Le guide du sous-traitant de la CNIL et son clausier type traduisent ces obligations en pratique française : une autorisation écrite préalable — spécifique ou générale — est requise avant tout recrutement de sous-traitant ultérieur, et sous autorisation générale, le sous-traitant doit informer le responsable du traitement de tout ajout ou remplacement envisagé afin qu'il puisse s'y opposer. Surtout, la CNIL attend que le responsable du traitement soit en mesure d'identifier à tout moment chaque sous-traitant ultérieur de la chaîne, le sous-traitant fournissant cette information et la tenant continuellement à jour — exactement la fonction de ce registre. Les colonnes identité, chaîne et statut du classeur correspondent une à une à cette attente.

L'articulation de ces obligations avec la vue d'ensemble — diligence raisonnable, clauses du DPA, attentes des responsables du traitement — est traitée dans Gestion des sous-traitants au titre de l'article 28 du RGPD, et le workflow de notification dans Notifications de changement de sous-traitant (RGPD).

Royaume-Uni et Norvège/EEE

Aucune adaptation structurelle n'est nécessaire. Le UK GDPR conserve l'article 28 dans la même forme, sous la supervision de l'ICO, dont les lignes directrices sur les contrats attendent une date limite d'opposition explicite. La Norvège applique le RGPD au travers de la personopplysningsloven en vertu de l'accord sur l'EEE, sous la supervision du Datatilsynet. C'est la colonne transfert qui varie selon les juridictions : les transferts EEE–Royaume-Uni reposent actuellement sur les décisions d'adéquation britanniques renouvelées — prorogées en 2025 avec une clause d'expiration au 27 décembre 2031 — tandis qu'un traitement interne à l'EEE, Norvège comprise, ne nécessite aucun mécanisme.

Du tableur au workflow

Un registre dans Excel résout le problème de la tenue des dossiers. Il ne se publie pas tout seul, ne notifie pas les responsables du traitement abonnés, n'applique pas les délais d'opposition et ne prouve pas qui a été informé quand. Cette couche opérationnelle est ce qu'apporte un Trust Center : le workflow de mises à jour de confiance d'Orbiq maintient la liste publique de sous-traitants ultérieurs toujours à jour, envoie des notifications de changement structurées aux responsables du traitement et DPO abonnés, suit le délai d'opposition et conserve la piste d'audit — ce modèle devient ainsi le modèle de données d'un système en fonctionnement plutôt qu'un document de plus à ne pas oublier.

Sources et références

1. Règlement (UE) 2016/679 (RGPD) — articles 28(2), 28(3)(d), 28(4), 30(2), chapitre V.
2. Avis 22/2024 du CEPD sur certaines obligations découlant du recours à des sous-traitants et sous-traitants ultérieurs — adopté le 7 octobre 2024 ; visibilité de la chaîne, informations requises, listes toujours à jour.
3. CNIL — Guide du sous-traitant (PDF) — autorisation écrite préalable, information du responsable du traitement et clausier type pour les sous-traitants ultérieurs.
4. Décision d'exécution (UE) 2021/914 de la Commission — Clauses contractuelles types pour les transferts vers des pays tiers — le mécanisme de l'article 46(2)(c) enregistré dans les colonnes de transfert.
5. Décision d'exécution (UE) 2021/915 de la Commission — Clauses contractuelles types entre responsables du traitement et sous-traitants — CCT de l'article 28(7), y compris les conditions d'engagement de sous-traitants ultérieurs.
6. ICO — Contrats et responsabilités entre responsables du traitement et sous-traitants — position du UK GDPR sur les clauses de sous-traitance ultérieure et les dates limites d'opposition.
7. Datatilsynet — Autorité norvégienne de protection des données — supervision du RGPD en Norvège via l'accord sur l'EEE.

Pour aller plus loin

• Modèle gratuit : notification de changement de sous-traitant RGPD (DOCX + variante e-mail) — la notification que ce registre génère
• Notifications de changement de sous-traitant (RGPD) : le processus de l'article 28
• Gestion des sous-traitants au titre de l'article 28 du RGPD : ce que les responsables du traitement attendent réellement
• Modèle gratuit : registre des activités de traitement RGPD — le registre de l'article 30 que celui-ci alimente