# Sous-traitance de données lorsque des prestataires accèdent aux serveurs

> Télémaintenance, correctifs, forensique : ce que règle l'art. 28 du RGPD quand des prestataires accèdent aux serveurs et ce à clarifier avant l'urgence.

Source : https://phpsos.de/fr/blog/auftragsverarbeitung-serverzugriff/  
État : 25/10/2026  
Fournisseur : PHP SOS, Assistance d'urgence PHP et sécurité des serveurs. Aide immédiate par WhatsApp : https://wa.me/491736494914?text=Bonjour%20PHP%20SOS%2C%20nous%20avons%20besoin%20d%27aide%20avec%20notre%20serveur%20PHP.%20Entreprise%20%3A%20%E2%80%A6%20Site%20web%20%3A%20%E2%80%A6

**En bref :** lorsqu'un prestataire informatique accède à des serveurs sur lesquels se trouvent des données personnelles, un contrat de sous-traitance (AVV) au titre de l'art. 28 du RGPD est en règle générale nécessaire. Il prévoit que le prestataire n'agit que sur instruction, préserve la confidentialité, prend des mesures de sécurité appropriées, ne fait appel à d'autres partenaires qu'avec autorisation et signale sans délai les violations de données. Concluez le contrat avant que l'urgence ne survienne. Cette page est une information générale et ne constitue pas un conseil juridique.

## Quand il faut aller vite, le contrat manque souvent

Dans la semaine suivant PHP2Shell, de nombreuses entreprises ont fait appel à une aide externe à court terme. Un administrateur devait mettre PHP à jour, une agence redémarrer les processus, une équipe de forensique examiner les journaux. Pour cela, des tiers ont obtenu l'accès à des serveurs contenant des comptes clients, des commandes et des données de formulaires. La question de la base juridique en matière de protection des données ne s'est souvent posée qu'après coup.

C'est compréhensible, car en cas d'urgence, la rapidité compte. Mais c'est évitable. Quelques préparatifs permettent de concilier les deux : une aide rapide et une base saine.

## Quand un contrat de sous-traitance est nécessaire avec le prestataire informatique

Il y a sous-traitance de données lorsqu'un prestataire traite des données personnelles pour le compte et sur instruction d'un responsable du traitement. Pour les serveurs web, la simple possibilité d'accès suffit souvent : qui travaille avec des droits root sur un serveur peut lire la base de données des clients, même s'il n'en a pas l'intention.

Les situations typiques avec accès au serveur sont :

- la maintenance courante et les mises à jour par une agence ou une société de services informatiques,
- l'exploitation du serveur par un hébergeur proposant des prestations gérées,
- l'aide d'urgence, le nettoyage et la restauration après une attaque,
- l'enquête forensique avec copies de supports de données et de journaux,
- la supervision, où des données de journaux sont transmises au prestataire.

Même les interventions brèves comptent. Une session à distance avec partage d'écran, où un technicien « jette juste un œil », peut lui montrer des données clients. Un export de base de données envoyé par e-mail pour le dépannage est une transmission. Ce sont précisément de telles occasions qui se déroulent souvent sans base, parce qu'elles ne sont pas perçues comme un projet.

Savoir si, dans un cas concret, il y a sous-traitance de données ou une autre configuration, c'est à votre délégué à la protection des données de l'évaluer. L'important est de poser la question avant d'attribuer des accès.

## Ce qu'exige l'art. 28 du RGPD dans le contrat

L'art. 28, par. 3, du RGPD énumère des contenus obligatoires. Outre l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, le sous-traitant doit notamment s'engager sur les points suivants. La colonne de droite montre ce que cela signifie en pratique pour les accès aux serveurs.

| Obligation selon l'art. 28, par. 3 | Signification pratique pour l'accès au serveur |
|---|---|
| a) Traitement uniquement sur instruction documentée | Mandat écrit, par exemple par ticket : ce qui doit être fait précisément |
| b) Confidentialité des personnes employées | Seules des personnes engagées et connues nominativement reçoivent l'accès |
| c) Mesures selon l'art. 32 | comptes nominatifs, authentification à deux facteurs, connexions chiffrées |
| d) Conditions pour d'autres sous-traitants | Partenaires de forensique ou d'hébergement uniquement avec autorisation |
| e) Aide pour les droits des personnes concernées | Assistance lorsque l'accès ou l'effacement concerne le serveur |
| f) Aide pour les art. 32 à 36 | Contribution à la sécurité, à la notification et à l'analyse d'impact |
| g) Suppression ou restitution à l'issue de la mission | Les copies, images et exports sont supprimés ou restitués |
| h) Preuves et contrôles | Journaux des accès, informations sur les mesures |

En outre, l'art. 33, par. 2, du RGPD exige que le sous-traitant signale sans délai au responsable du traitement toute violation de données dont il a connaissance. Pour un prestataire qui examine justement un serveur compromis, ce n'est pas une formalité : il est souvent le premier à voir des indices d'une exfiltration de données. Le délai et la suite de la notification à l'autorité de contrôle sont expliqués dans [Obligation de notification RGPD : 72 heures après l'incident](https://phpsos.de/fr/compliance/dsgvo-meldepflicht-72-stunden/).

## Organiser les accès dans le respect de la protection des données

Un contrat de sous-traitance signé est la base. Le respect des engagements se joue dans la pratique quotidienne. Ces étapes ont fait leurs preuves :

1. **Accès propres et nominatifs** pour chaque personne du prestataire, jamais de comptes d'administration partagés. La façon de les sécuriser est décrite dans [Authentification à deux facteurs pour les accès administrateur](https://phpsos.de/fr/ratgeber/zwei-faktor-admin/).
2. **Limiter dans le temps :** désactiver les accès pour une intervention à la fin de celle-ci, contrôler régulièrement les comptes permanents.
3. **Journaliser :** enregistrer les connexions et les commandes des comptes du prestataire afin de pouvoir retracer qui a fait quoi.
4. **Travailler avec parcimonie sur les données :** pour les analyses, ne copier que les données nécessaires, stocker les copies chiffrées, consigner l'emplacement et la date de suppression.
5. **Documenter la clôture :** accès retirés, copies supprimées ou remises, confirmation écrite.

> **Important:**
> Une enquête forensique produit souvent des images complètes de serveurs, y compris toutes les données clients. Réglez à l'avance où se trouvent ces images, qui y accède et quand elles sont supprimées, sans compromettre la préservation des preuves.

## Conclure le contrat de sous-traitance avant l'urgence

Le meilleur moment pour le contrat de sous-traitance est un jour calme. Désignez les prestataires qui doivent intervenir en cas d'urgence, c'est-à-dire l'hébergeur, l'agence et éventuellement une équipe pour le traitement des incidents et la forensique, et concluez les contrats avec eux à l'avance. Consignez-y aussi quels autres partenaires le prestataire peut employer.

Rangez les contrats signés là où se trouve le plan d'urgence, et notez dans la liste de contacts avec qui un contrat de sous-traitance existe. Les autres obligations de sécurité, par exemple les délais de mise à jour et les preuves, relèvent du contrat de prestation ; plus à ce sujet dans [Contrats avec les prestataires informatiques : définir clairement les obligations de sécurité](https://phpsos.de/fr/blog/dienstleistervertrag-sicherheit/). Pour toutes les questions juridiques, votre délégué à la protection des données et un avocat sont les bons interlocuteurs.

## Comment PHP SOS aide-t-il concrètement ?

- Avant le premier accès, nous clarifions quelles données se trouvent sur les systèmes concernés et accordons le cadre avec votre délégué à la protection des données.
- Nous travaillons avec des accès nominatifs et journalisés et documentons chaque intervention de façon traçable.
- Nous désignons les partenaires spécialisés que nous associerions par exemple pour la [forensique informatique](https://phpsos.de/fr/leistungen/it-forensik/), afin que vous puissiez décider à l'avance.
- À l'issue d'une [réponse aux incidents](https://phpsos.de/fr/leistungen/incident-response/), nous confirmons par écrit le retrait des accès et la suppression ou la remise de toutes les copies.

**Conclusion :** protection des données et aide rapide ne s'excluent pas lorsque la base est posée au préalable. Un contrat de sous-traitance avec les prestataires pour le cas d'urgence fait partie de toute préparation aux crises. Cette page est une information générale et ne constitue pas un conseil juridique.


## Questions fréquentes

**Toute télémaintenance est-elle une sous-traitance de données ?**  
Pas automatiquement. Ce qui compte, c'est de savoir si le prestataire traite des données personnelles pour votre compte ou peut y accéder. Pour les serveurs web avec comptes clients, commandes ou formulaires, c'est généralement le cas. La qualification au cas par cas relève de votre délégué à la protection des données.

**Puis-je encore conclure un contrat de sous-traitance pendant un incident ?**  
C'est possible, mais sous la pression du temps, le calme nécessaire à un examen manque souvent. Il vaut mieux conclure le contrat à l'avance avec les prestataires appelés à intervenir en urgence. Le travail peut alors commencer immédiatement.

**Le prestataire doit-il m'informer s'il constate une violation de données ?**  
Oui. Selon l'art. 33, par. 2, du RGPD, le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. La notification à l'autorité de contrôle reste l'affaire du responsable.

**Le prestataire peut-il faire appel à d'autres partenaires, par exemple pour la forensique ?**  
Selon l'art. 28, par. 2, du RGPD, uniquement avec l'autorisation écrite préalable du responsable, qui peut être donnée de façon spécifique ou générale. En cas d'autorisation générale, le prestataire doit informer des changements afin que vous puissiez vous y opposer.

## Sources

- [RGPD art. 28 : sous-traitant](https://dsgvo-gesetz.de/art-28-dsgvo/)
- [RGPD art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [BSI IT-Grundschutz (socle de sécurité informatique du BSI allemand)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)