Le sous-traitant, un acteur clé du RGPD
Le sous-traitant est défini à l’article 4 du RGPD comme toute personne qui traite des données personnelles pour le compte du responsable de traitement. Hébergeurs cloud, éditeurs de logiciels SaaS, prestataires de paie, agences de marketing : la plupart des entreprises font appel à de nombreux sous-traitants qui manipulent des données personnelles.
Contrairement à la directive de 1995 qui ne visait que le responsable de traitement, le RGPD impose des obligations directes au sous-traitant. Celui-ci peut désormais être sanctionné directement par la CNIL en cas de manquement à ses propres obligations.
Les obligations spécifiques du sous-traitant
Le sous-traitant ne traite les données que sur instruction documentée du responsable de traitement. Il ne peut pas utiliser les données pour ses propres finalités, sauf autorisation expresse ou obligation légale. L’article 28 du RGPD détaille les clauses qui doivent figurer dans le contrat de sous-traitance.
Le sous-traitant doit garantir la confidentialité des données en s’assurant que les personnes autorisées à traiter les données se sont engagées à respecter la confidentialité. Il met en oeuvre les mesures de sécurité appropriées conformément à l’article 32 du RGPD.
En cas de recours à un autre sous-traitant (sous-traitance ultérieure), le sous-traitant initial doit obtenir l’autorisation écrite préalable du responsable de traitement, qu’elle soit spécifique ou générale. Le sous-traitant ultérieur est soumis aux mêmes obligations de protection des données.
Le contrat de sous-traitance : les clauses essentielles
Le contrat doit préciser l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles concernées et les catégories de personnes concernées. Il doit également définir les obligations et les droits du responsable de traitement.
Les clauses relatives à la sécurité des données détaillent les mesures techniques et organisationnelles mises en oeuvré par le sous-traitant. Les modalités d’assistance du sous-traitant pour répondre aux demandes d’exercice des droits des personnes concernées doivent être précisées.
La clause de notification des violations de données impose au sous-traitant d’informer le responsable de traitement dans les meilleurs délais après en avoir pris connaissance. Le contrat prévoit également les conditions de restitution ou de suppression des données en fin de prestation.
La responsabilité du sous-traitant
Le sous-traitant qui détermine les finalités et les moyens du traitement, au-delà des instructions reçues, est considéré comme responsable de traitement pour ce traitement. Il assume alors l’intégralité des obligations du responsable de traitement.
En cas de dommage causé par un traitement, le sous-traitant n’est tenu responsable que s’il n’a pas respecté les obligations du RGPD qui lui incombent spécifiquement ou s’il a agi en dehors des instructions du responsable de traitement. La CNIL a déjà sanctionné des sous-traitants pour des manquements à la sécurité des données.
