RGPD - Les relations du responsable de traitement et sous-traitant

Le programme de la formation

Lorsqu’un responsable de traitement de données personnelles signe un contrat avec un sous-traitant, ce dernier doit respecter certaines obligations prévues par le RGPD. En cas de manquement à ces impératifs, le RGPD engage tant la responsabilité du donneur d’ordre que celle du sous-traitant. C’est l’un des apports majeurs de la nouvelle législation européenne.

La notion de sous-traitant au sens du droit des données à caractère personnel est un faux-ami de la notion de sous-traitant au sens usuel ou commercial.

Vous, responsable de traitement, vous devez identifier vos sous-traitants et vous assurer de leur conformité au RGPD, et notamment dans vos contrats avec les éditeurs de logiciels et autres contrats informatiques.

Comme sous-traitant, vous qui êtes fournisseur de logiciel SaaS, éditeur d’application web, intégrateur, prestataire de service numérique et informatique ou fournissant de tels services le RGPD vous concerne.

Comprendre les mots-clés du RGPD et les principes à mettre en oeuvre

• Notion de donnée à caractère personnel
• Notion de traitement
• Notion de consentement
• Notion de privacy by design/by default
• Droits de la personne
• Notion d’accountability/ Sécurité des systèmes d’information
• Notion de responsable de traitement/ Coresponsabilité
• Notion de sous- traitant/ sous-traitant en chaîne
• Notion de prestataire de service

Droits et obligations respectifs dans les relations de sous-traitance

Les mesures à mettre en place par le responsable de traitement

• Identifier les relations de sous-traitance
• Choisir ses sous-traitants
• S’assurer de la conformité des sous-traitants au RGPD
• Modifier la forme des contrats de sous-traitance et les clauses liées au RGPD
• Comment revoir ou négocier les accords ?
• Les documentations et engagements à demander
• Comprendre la responsabilité du responsable de traitement

Les mesures à prendre par le sous-traitant

• Respecter les instructions du responsable de traitement
• Tenir un registre de traitement
• Maintenir un niveau de sécurité proportionné
• Informer le responsable de traitement en cas de violations de données personnelles et collaborer
• Consolider la chaîne des sous sous-traitants
• Désigner un Délégué à la Protection des Données (DPO)
• S’assurer de la licéité des transferts de données vers des pays tiers

Le prestataire de service

• Appréhension de cette forme de relation contractuelle avec le RGPD
• Responsabilité responsable de traitement et prestataire de service
• Documenter vos contrats de prestation