• xdpo

RGPD : Les obligations des sous-traitant de données personnelles

Dernière mise à jour : il y a 2 jours



A l'issue de la lecture de cet article, vous connaitrez :


Pourquoi la relation avec vos sous-traitant de données personnelles doit elle être sécurisée ?


Le sous-traitant est l'organisme qui traite des données pour le compte et sur instruction d’un responsable de traitement, dans le cadre d’un service ou d’une prestation.


Si vous êtes responsable de traitement, peuvent être des sous-traitants de données personnelles :

- Votre expert-comptable

- Votre prestataire informatique

- Votre éditeur de logiciel en mode Saas (CRM, ERP, SIRH...)

- Votre hébergeur de données


Dans ce cas, vous vous affichez comme responsable du traitement des données auprès des personnes concernées et vous confiez à des tiers - les sous-traitants de données personnelles - le traitement de ces données.

Alors que vous avez sûrement pris des engagements de confidentialité ou protection des données auprès de ses personnes.


👉Il est donc indispensable de vérifier les engagements des sous-traitants et de les formaliser par écrit.


Quelles sont les obligations auxquelles est soumis un sous-traitant de données personnelles ?


Les sous-traitants ont des obligations concernant les données personnelles, qui doivent être présentes dans le contrat :


1️⃣ Une obligation de transparence et de traçabilité


Votre sous-traitant doit mettre à votre disposition toutes les informations nécessaires au respect de ses obligations.

L'élément clé est le contrat qui vous lie à votre sous-traitant, celui-ci doit être clair et contenir toutes les mentions obligatoires (finalités, durée du traitement, mesures de sécurité, catégories de données personnelles sous-traitées, catégories des personnes concernées...).


Cette obligation de transparence et de traçabilité passe également par la tenue d'un registre de activités de traitement du sous-traitant ou la réalisation d'audit.

Le responsable de traitement peut légitimement demander à consulter ces documents.



2️⃣ La prise en compte des principes de protection des données dès la

conception et par défaut


Définissons tout d'abord ces deux notions fondamentales du RGPD:

- Protection des données la conception : "privacy by design" : les considérations de protection de la vie privée sont prises en compte dès la phase de conception du produit ou du service.


- Protection des données par défaut : "privacy by default" : le produit ou service, applique, même si l'utilisateur ne fai aucun choix, le plus haut niveau de protection des des données personnelles et en limiter la collecte.


Le sous-traitant est soumis à l'obligation d'appliquer ces principes et doit vous le prouver.

A titre d'exemple, vous pouvez vérifier que votre sous-traitant ne collecte que des données qui sont strictement nécessaires au traitement, qu'il gère les habilitations et les droits d'accès informatique en fonction de la sensibilité de la donnée, qu'il purge régulièrement les bases de données après un certain temps...



3️⃣ Une obligation de garantir la sécurité des données traitées


Si votre sous-traitant est soumis à une obligation de sécurité, celle-ci peut prendre différentes formes.

- La sécurité juridique : par la présence de contrat pour encadrer une sous-

traitance.


- La sécurité technique : l'ensemble des mesures permettant de sécuriser un

système d'information (authentification, chiffrement des données, journalisation des traces...)


- La sécurité organisationnelle : l'ensemble des mesures annexes mise en place

pour la sécurité des données (formation des employés, mise en place de

procédure...)


A minima, vous devez vous assurer que les personnes en charge de traiter les données personnelles pour votre compte s'engagent à garder confidentielle les informations auxquelles ils ont accès dans le cadre de leur mission.


Par exemple, vous pouvez aussi demander à votre sous-traitant de vous fournir sa politique de sécurité des systèmes d'information pour avoir une idée du niveau de sécurité de leur infrastructure informatique.



4️⃣ Une obligation d’assistance, d’alerte et de conseil


Cette obligation porte sur plusieurs éléments :


Premièrement, votre sous-traitant doit vous informer dans les plus brefs délais en cas de violation de données.


Deuxièmement, en cas d'exercice par une personne de ses droits RGPD que ce soit auprès du sous-traitant ou du responsable de traitement, votre sous-traitant doit vous aider à répondre au mieux à cette demande.


Finalement, le sous-traitant à une obligation d'assistance et de conseil dans la réalisation de vos AIPD (pour en savoir plus à ce sujet, notre article)


5️⃣ Une obligation de garantir une chaine de sous-traitance respectueuse du

RGDP


Par principe votre sous-traitant ne peut recruter un autre sous-traitant que sur autorisation écrite du responsable du traitement. Alors, si celui-ci veut à son tour faire appel à un sous-traitant ou changer de sous-traitant (par exemple son hébergeur de données), il doit vous en informer.


Le sous-traitant ultérieur doit respecter les mêmes obligations et présenter des garanties suffisantes au regard du RGPD.




6️⃣ Une obligation de suppression / rapatriement des données à la fin de la

sous-traitance


Une fois la sous-traitance terminée, le sous-traitant doit supprimer l'ensemble des données qui ont été transmises ou vous les remettre avant d'effacer les copies éventuelles.

Le sort des données finales doit être discuté et négocié entre le responsable de traitement et le sous-traitant au moment de la rédaction du contrat et y être intégrer.



7️⃣ Une obligation de désigner un DPO


Cette obligation de désignation d'un DPO ne repose pas sur toutes les structures avec la même intensité. Pour certains la désignation d'un DPO est obligatoire, pour d'autres c'est une vive recommandation.


Pour autant, la présence d'un DPO chez votre sous-traitant est un bon signe de compliance.

Pour savoir si votre sous-traitant à designer un DPO vous pouvez :


- Regarder dans votre contrat, l'identité et les coordonnées seront mentionnées

- Regarder la liste des DPO désignés auprès de la CNIL disponible sur le site de la

CNIL



Mon sous-traitant n'est pas conforme, que faire ?


Il est possible qu'après avoir analysé les différents éléments cités ci-dessus, vous vous rendiez compte que votre sous-traitant ne respecte pas l'ensemble de ses obligations.


La première à chose à faire sera de le contacter (ou son DPO dans le cas où il en a désigné un) pour engager une discussion sur leur niveau de déploiement d'une conformité RGPD.

Vous devrez par la suite signer un avenant RGPD avec lui (la CNIL met à disposition sur son site internet un modèle d'avenant, disponible à la fin du "Guide du sous-traitant" téléchargeable ci-dessous).


Si le sous-traitant est difficilement joignable (c'est souvent le cas pour les plus grandes entreprises - Google, Microsoft...), nous vous conseillons de vous tourner vers d'autres solutions respectueuses des données personnelles et de la vie privée des personnes.


Par exemple, pour votre logiciel d'emailing nous avons réalisé une analyse privacy des logiciels les plus utilisé (cliquer ici !)


Vous pouvez aussi consulter le "Guide du sous-traitant" de la CNIL


rgpd-guide_sous-traitant-cnil
.pdf
Download PDF • 597KB



Vous n'arrivez pas et vous avez besoin d'accompagnement pour mettre en place votre conformité RGPD : contactez-nous!


xDPO propose aussi une offre de formation au RGPD et en cybersécurité.

Les internautes ont aussi consulté dans le Blog:





37 vues0 commentaire