RGPD – Traitement

Le Règlement général sur la protection des données (RGPD) offre une possibilité uniforme à l’échelle européenne pour le traitement de données dit « sous-traité », qui est la collecte, le traitement ou l’utilisation de données personnelles par un sous-traitant conformément aux instructions du responsable du traitement sur la base d’un contrat.

Les réglementations pertinentes pour le traitement des données sous-traitées s’appliquent déjà si le traitement est lié aux activités d’un établissement au sein de l’UE. Cela signifie qu’il suffit que le responsable du traitement ou le sous-traitant exploite un établissement dans l’UE, et que le traitement ait lieu dans le cadre de ses activités. Il faut différencier entre le traitement et la responsabilité conjointe (Art. 26 RGPD), où les deux parties définissent conjointement les finalités et les moyens du traitement des données et sont donc également conjointement responsables de ceux-ci.

Dans une relation responsable de traitement-sous-traitant, ce dernier n’est autorisé à traiter des données personnelles que selon les instructions documentées du responsable de traitement. Le sous-traitant ne peut pas engager un autre sous-traitant pour aider à remplir un contrat spécifique, sans l’autorisation écrite préalable spécifique ou générale du responsable de traitement respectif. En cas d’autorisation générale, le sous-traitant doit l’informer de tout changement pertinent concernant le traitement.

Dans la plupart des cas, le traitement de données sous-traité repose sur un contrat. L’art. 28(3) du RGPD énonce ses exigences minimales. Le contrat doit contenir, entre autres choses, le type de données personnelles qui seront traitées, ainsi que l’objet et la finalité du traitement. De plus, il existe d’autres obligations pour le sous-traitant. Par exemple, il doit également tenir un registre des activités de traitement qui inclut les noms et coordonnées de chaque responsable de traitement pour lequel il travaille, ainsi que les catégories de traitement qui sont effectuées pour eux. En outre, ce registre doit inclure, le cas échéant, le transfert de données personnelles vers des pays tiers et, si possible, une description générale des mesures techniques et organisationnelles. Le responsable de traitement doit s’assurer, lors de la sélection du sous-traitant, qu’il a mis en œuvre des mesures techniques et organisationnelles suffisantes pour garantir que le traitement respecte les exigences du Règlement.

Fondamentalement, le responsable du traitement est le premier contact pour la personne concernée et est responsable du respect des exigences légales en matière de traitement des données. Cela ne signifie cependant pas que le sous-traitant est exempt de responsabilité. Selon l’article 82 du RGPD, il est solidairement responsable avec le responsable du traitement. Toutefois, la responsabilité du sous-traitant est limitée, selon le paragraphe 2, aux violations des obligations qui lui sont spécifiques. Les deux parties ont la possibilité de s’exonérer. Pour ce faire, elles doivent prouver qu’elles n’étaient d’aucune manière responsables de l’événement ayant conduit aux dommages.