Sous-traitance en cascade : comment savoir qui travaille vraiment sur vos opérations externalisées ?

Vous signez avec un prestataire de trente personnes. Six mois plus tard, un incident révèle qu’une partie de la saisie est réalisée par une équipe de quinze personnes, dans un pays qui n’apparaît nulle part au contrat.

Personne n’a menti. La clause autorisant la sous-traitance figurait bien quelque part, rédigée assez large pour tout couvrir.

La sous-traitance en cascade désigne cette situation : votre prestataire direct confie tout ou partie de la mission à d’autres entreprises, qui peuvent elles-mêmes en confier une part à un troisième niveau. Le phénomène est légal, courant, et rarement visible depuis le contrat.

Le sujet est le plus souvent traité comme une formalité RGPD, ce qui est une erreur de cadrage : la chaîne concerne aussi la qualité, la sécurité, la continuité et la propriété de vos procédures. Les pages qui suivent donnent le vocabulaire utile, un questionnaire à envoyer avant signature, les clauses à imposer et la méthode pour auditer la chaîne pendant la mission.

Qu’est-ce que la sous-traitance en cascade ?

Le vocabulaire vient du droit des données et s’applique bien au-delà. Votre prestataire direct est le sous-traitant de rang 1. L’entreprise à laquelle il confie une part de la mission devient un sous-traitant ultérieur, ou sous-traitant de rang 2. Un troisième niveau existe aussi, plus souvent qu’on ne l’imagine.

Cinq configurations reviennent en permanence dans les prestations confiées par des PME.

Ce tableau se lit comme une grille de questions, pas comme une liste de suspects. Chaque ligne indique où regarder en priorité selon le type de prestation que vous confiez.

Aucune de ces situations n’est anormale. Un centre de contacts qui couvre une plage horaire élargie s’appuie presque toujours sur une équipe située ailleurs, et c’est souvent la bonne solution. Le problème apparaît quand vous l’apprenez après coup.

Une confusion revient souvent. La sous-traitance se distingue de la mise à disposition de personnel, où une personne extérieure travaille sous votre autorité et dans vos outils. Dans le premier cas, vous achetez un résultat sans maîtriser l’exécution. Dans le second, vous pilotez directement.

Pourquoi les chaînes s’allongent

Trois mécanismes expliquent cet allongement. La spécialisation d’abord, parce que personne ne maîtrise tout. L’élasticité ensuite, un pic de volume se traitant plus vite en louant de la capacité qu’en recrutant. Le coût enfin, quand un rang supplémentaire absorbe une pression tarifaire.

Des signes apparaissent dès l’appel d’offres. Une capacité annoncée sans commune mesure avec l’effectif visible, une couverture horaire de 24 heures chez un prestataire de vingt personnes, ou des références clients situées dans des zones où le fournisseur n’a pas de bureau.

Ce dernier point mérite votre attention. Une remise obtenue en fin de négociation se finance parfois par un transfert vers un rang inférieur, avec des conditions de travail et de contrôle que vous n’avez pas validées. Les montages décrits dans notre guide sur l’externalisation en Inde illustrent bien cette mécanique.

Pourquoi ce sujet dépasse-t-il le RGPD ?

Le RGPD encadre le volet données. Il ne dit rien du reste, qui pèse pourtant autant dans une relation d’externalisation.

• La qualité : chaque rang ajoute sa propre interprétation des consignes.
• La sécurité : les accès se multiplient, la surface d’exposition aussi.
• La continuité : un incident au rang 3 arrête la mission sans que le rang 1 l’ait anticipé.
• La confidentialité : vos documents circulent chez des acteurs que vous n’avez pas approuvés.
• La propriété des procédures : celles écrites par un sous-traitant ne vous reviennent pas automatiquement.
• La cohérence des SLA : un engagement de 4 heures au rang 1 ne vaut rien si le rang 2 s’engage sur 48.

Ces effets ne se cumulent pas linéairement. Un rang supplémentaire ne double pas le risque, il ajoute surtout un point aveugle : celui où votre prestataire lui-même ne sait plus répondre avec certitude à vos questions.

Le dernier point est le plus fréquent et le plus coûteux. Un prestataire signe un niveau de service qu’il ne peut pas répercuter, puis absorbe l’écart en pénalités, ou le fait absorber par la qualité livrée.

Ce que dit l’article 28 du RGPD, et ce qu’il ne dit pas

Deux règles simples s’appliquent aux données personnelles. Un sous-traitant ne peut pas en recruter un autre sans autorisation écrite préalable, spécifique ou générale, du responsable de traitement. En cas d’autorisation générale, il informe de tout changement envisagé et vous laisse la possibilité de vous y opposer.

Le même article impose que le sous-traitant ultérieur soit soumis aux mêmes obligations de protection des données, et laisse le prestataire direct pleinement responsable devant vous. Les règles applicables au traitement de données hors Union européenne ajoutent une couche dès que la chaîne franchit une frontière.

Un exemple récent qui donne le niveau d’exigence

Le 11 décembre 2025, la CNIL a sanctionné d’un million d’euros la société Mobius Solutions, ancien sous-traitant de Deezer. Reproche principal : la conservation, après la fin du contrat, d’une copie de données concernant plus de 46 millions d’utilisateurs, stockée dans un environnement de non-production aux côtés de données d’autres clients.

Deux enseignements pour un donneur d’ordre. La société n’était pas établie dans l’Union européenne, ce qui ne l’a pas protégée. Et la responsabilité a été retenue alors que la copie provenait de trois salariés agissant hors instruction : ce qui se produit dans l’environnement technique d’un prestataire engage ce prestataire.

Transposez maintenant ce raisonnement d’un rang vers le bas. Le prestataire direct répond de son sous-traitant devant vous, mais vous restez la première ligne devant vos propres clients.

Quelles informations demander avant de signer ?

Le questionnaire tient sur une page. Envoyé avant la signature, il produit davantage d’informations qu’un audit mené deux ans plus tard.

Sept lignes suffisent. Au-delà, le document devient un questionnaire de conformité que personne ne remplit sérieusement, et vous perdez le bénéfice de la démarche.

Une réponse partielle constitue déjà une information. Un prestataire qui ignore les pays d’hébergement de son propre sous-traitant vous dit tout ce qu’il faut savoir sur son niveau de contrôle.

À qui envoyer ce questionnaire, et quand

Le destinataire change la qualité de la réponse. Adressé au commercial, le document revient rempli de formules prudentes. Adressé au responsable de production ou au délégué à la protection des données, il revient avec des noms, des pays et des dates.

Le calendrier compte tout autant. Un questionnaire envoyé pendant la négociation obtient des réponses en quelques jours. Le même document envoyé après la signature devient une demande administrative que rien n’oblige à traiter vite.

Les réponses ne doivent pas rester dans une boîte mail. Annexez-les au contrat, avec une date et une mention précisant qu’elles constituent l’état de référence de la chaîne au jour de la signature.

Deux réflexes qui changent les réponses obtenues

Deux réflexes complètent l’envoi. Demandez la liste au format daté plutôt qu’une déclaration verbale en réunion. Et posez dès ce stade la question du droit d’opposition : pouvez-vous refuser un sous-traitant, et dans quel délai ?

Un dernier point mérite d’être anticipé : le refus. Certains prestataires opposent la confidentialité commerciale à cette demande, ce qui s’entend pour les tarifs négociés avec leurs propres fournisseurs. Cet argument ne tient plus dès qu’il porte sur l’identité, le pays ou le périmètre d’un maillon qui traite vos données.

Quelles clauses imposer ?

Le secteur financier fournit un repère utile. Le règlement délégué européen 2025/532, applicable depuis juillet 2025, impose aux entités financières de déterminer au contrat quels services peuvent être sous-traités et à quelles conditions, avec un préavis raisonnable permettant d’approuver un changement ou de s’y opposer.

Aucune PME n’est soumise à ce texte. La mécanique se transpose sans difficulté, en six clauses.

• Autorisation écrite préalable pour tout nouveau sous-traitant, assortie d’un délai d’objection.
• Interdiction de sous-traitance non déclarée, y compris pour un renfort temporaire.
• Répercussion des mêmes obligations à chaque rang : sécurité, confidentialité, qualité, délais.
• Droit d’audit étendu aux sous-traitants, exercé directement ou par le prestataire pour votre compte.
• Notification d’un incident survenu chez un sous-traitant, dans le même délai que pour le rang 1.
• Restitution des procédures et livrables produits à n’importe quel rang, à la fin du contrat.

La dernière clause se néglige presque toujours. Sans elle, le plan de sortie du prestataire laisse dehors tout ce qui a été produit un cran plus bas dans la chaîne.

Un modèle de clause de notification préalable

La rédaction ci-dessous se glisse dans un contrat existant, en annexe ou par avenant.

Les délais se discutent, le mécanisme non. Trente jours puis quinze jours conviennent à la plupart des prestations administratives. Sur une mission technique où les renforts sont fréquents, un délai plus court accompagné d’une liste pré-approuvée fonctionne mieux.

Un point de blocage revient régulièrement. Le prestataire accepte la notification préalable, mais refuse le droit d’objection en le jugeant impraticable. Le compromis classique consiste à limiter l’objection aux sous-traitants qui accèdent aux données ou traitent une part significative de la mission.

Une distinction à garder en tête pendant la négociation. L’autorisation préalable relève d’une obligation réglementaire pour les données personnelles, alors que l’extension du droit d’audit ou la restitution des livrables relèvent de la bonne pratique contractuelle. Les deux se défendent, mais pas avec les mêmes arguments.

Comment auditer la chaîne en cours de mission ?

La liste fournie à la signature vieillit en quelques mois. Cinq contrôles suffisent à la maintenir vivante.

• Revue annuelle de la liste des sous-traitants, avec confirmation écrite du prestataire.
• Vérification du registre des accès : comptes actifs, dates de création, adresses de connexion.
• Lecture des factures et des tickets, où apparaissent parfois des noms d’entités inconnues.
• Échantillonnage qualité comparé entre deux périodes, pour repérer un changement d’exécutant.
• Entretien direct avec le responsable de production, en dehors du commercial.

Le premier contrôle est le seul qui demande un accord du prestataire. Les quatre autres s’effectuent avec des documents que vous détenez déjà, sans prévenir personne et sans mobiliser de budget.

Le troisième contrôle donne des résultats surprenants pour un effort minimal. Un nom d’entité inconnu au bas d’un ticket, ou une adresse électronique en dehors du domaine du prestataire, suffit à ouvrir la conversation.

Le cinquième fonctionne pour une raison simple. Le responsable de production répond avec précision à une question que le commercial esquive, parce qu’il décrit son quotidien au lieu de défendre une position contractuelle.

Une cadence réaliste tient en deux rendez-vous. La revue de liste s’accroche au comité de pilotage annuel, et la vérification des accès se fait en même temps que la revue des habilitations internes. Aucun de ces contrôles ne justifie une réunion dédiée.

Que faire quand un sous-traitant non déclaré apparaît

La réaction utile n’est pas la mise en demeure immédiate. Demandez d’abord un état écrit : depuis quand, sur quel périmètre, avec quels accès et quelles données. Ce document servira de base à tout le reste.

Un point de vigilance sur le ton employé. Un prestataire qui découvre en même temps que vous l’existence d’un rang 3 chez son propre fournisseur n’est pas de mauvaise foi, il est mal outillé. La réponse utile consiste alors à lui demander de corriger sa propre chaîne contractuelle.

Vient ensuite l’arbitrage. Régulariser en ajoutant l’entité à la liste approuvée reste possible si le maillon tient la route. Exiger le retrait se justifie quand le pays, les garanties ou les accès posent un problème réel.

Ces contrôles s’intègrent dans un dispositif plus large. La logique de preuve appliquée à un audit de prestataire lors d’un projet pilote reste valable, avec une question supplémentaire posée à chaque étape : et qui d’autre intervient ?

Le vrai prestataire est parfois une chaîne entière

Vous ne choisissez pas un fournisseur. Vous choisissez une chaîne, avec des maillons que personne ne vous a présentés.

L’objectif n’est pas d’interdire la sous-traitance. Elle rend la plupart des prestations possibles, et l’interdire ferait monter les prix sans améliorer le contrôle. L’objectif est de savoir : une chaîne connue se pilote, une chaîne ignorée se subit.

La plupart des entreprises découvrent la composition réelle de leur chaîne au moment d’un incident, quand il faut savoir en urgence où sont passées les données et qui répond. C’est le plus mauvais moment pour poser la question.

Une action à lancer cette semaine : envoyez le questionnaire à vos deux prestataires les plus exposés, ceux qui touchent vos données clients ou votre production. Le délai de réponse et le niveau de détail vous apprendront déjà beaucoup.

Sources et références

Cet article s’appuie notamment sur le texte du règlement général sur la protection des données publié par EUR-Lex, les exemples de clauses de sous-traitance proposés par la CNIL et la décision de sanction rendue par la CNIL contre un sous-traitant en décembre 2025. Le cadre applicable aux chaînes de sous-traitance a été confronté au règlement délégué européen relatif à la sous-traitance des services informatiques critiques et au règlement DORA sur la résilience opérationnelle numérique.