Données clients chez un fournisseur : externaliser ne clôt pas la responsabilité

La décision derrière le titre

Cet examen porte sur sécurité sous-traitant, fournisseurs secondaires, coopération et responsabilités contractuelles. Demandez quel incident bloquerait une journée ordinaire et qui aurait autorité pour intervenir. L’intérêt est de relier activité et clauses : un intitulé séduisant ne crée pas ce lien. Consultez la personne responsable du processus, pas seulement le budget annuel d’assurance.

Recensez ce que vous avez transmis : noms, banque, salaires et autres dossiers. L’annonce fournisseur peut décrire son incident global sans vos fichiers. Demandez période et preuves d’accès ou extraction. Informez sur faits confirmés et distinguez enquête en cours. Vos décisions peuvent être nécessaires malgré réponse technique contrôlée ailleurs.

Un scénario hypothétique à tester

Un prestataire paie subit une fuite ; un employeur doit déterminer les dossiers salariés exposés. Cet exemple est fictif : il ne décrit pas un sinistre réel ni un versement promis. Reconstituez les étapes entre premier signal et retour au service normal. Demandez ce qui arriverait pendant les vacances ou le pic annuel. Le test doit révéler les hypothèses de disponibilité et de calendrier avant de s’y fier.

Vérifiez coopération contractuelle, contact incident et données d’évaluation. Demandez conseil assuré et clauses externalisation. Indemnité fournisseur possible et admissibilité de votre police sont distinctes, avec démarches séparées. Une cartographie actuelle évite de reconstruire sous pression chaque échange de dossier.

Identifier la frontière contractuelle

Un incident fournisseur peut exposer des informations sans accès direct à vos systèmes. SRF indiquait le 30 juin 2025 que l’attaque Radix concernait aussi des données d’autorités fédérales, sans accès direct aux systèmes fédéraux. Ce fait illustre la dépendance, pas une couverture d’assurance. Distinguez réponse technique, responsabilités du responsable et du sous-traitant, information clients et engagements contractuels. Vérifiez séparément incidents externalisés et responsabilités contractuellement acceptées dans les clauses ; posséder un contrat fournisseur ne prouve pas l’admissibilité assurantielle. Précisez les informations reçues si le prestataire est attaqué : données, période, sous-traitants et confinement. Votre analyse ne peut dépendre d’une rassurance générale. Le contrat doit faciliter coopération factuelle rapide ; les notifications nécessitent encore une analyse juridique du cas.

Comparer les clauses, puis le prix

Soumettez le même scénario à chaque assureur et demandez des précisions sur incidents externalisés, frais de défense, engagements contractuels et plafonds fournisseur. Exigez clause et explication écrite des incertitudes. Une extension doit figurer dans la police, pas seulement dans la discussion commerciale. Vérifiez aussi l’entité signataire et les lieux déclarés.

Réduire l’exposition avant de la transférer

Une première mesure consiste à examiner le traitement fournisseur et prévoir une escalade opérationnelle des incidents. Nommez un responsable, une date et un test simple d’efficacité. Les procédures comptent si les équipes peuvent les trouver et les utiliser sous pression. Organisez un exercice avec les intervenants réels, en simulant l’absence d’un collaborateur clé. Conservez le résultat du test et les améliorations nécessaires, puis vérifiez leur réalisation.

Les preuves et la prochaine révision

Préparez contrats de traitement, cartographie données, sous-traitants et avis d’incident. Datez les pièces et gardez une copie accessible hors du processus concerné. Gardez hors ligne coordonnées de l’assureur, plan d’incident et escalade fournisseurs. Déclarer un sinistre ne remplace pas une notification réglementaire requise. Revoyez le dispositif lors des changements d’activité, technologie, locaux ou partenaires. Faites valider les points sensibles avant toute résiliation du contrat existant.