Sous-traitants RGPD : obligations et contrat article 28

La relation entre responsable de traitement et sous-traitant est strictement encadrée par le RGPD, notamment par l'article 28. Que vous utilisiez un hébergeur cloud, un prestataire de paie, un outil CRM SaaS ou un cabinet comptable, vous devez formaliser cette relation par un contrat spécifique : le DPA (Data Processing Agreement).

Qu'est-ce qu'un sous-traitant au sens du RGPD ?

Un sous-traitant est toute personne physique ou morale qui traite des données personnelles pour le compte du responsable de traitement. Contrairement au responsable de traitement qui détermine les finalités et les moyens du traitement, le sous-traitant agit uniquement sur instruction du responsable.

Le contenu obligatoire du contrat Article 28

L'article 28 du RGPD exige un contrat écrit (ou un acte juridique equivalent) entre le responsable de traitement et chaque sous-traitant. Ce contrat doit inclure les clauses suivantes :

• L'objet et la durée du traitement
• La nature et la finalité du traitement
• Le type de données personnelles traitées
• Les catégories de personnes concernées
• Les obligations et droits du responsable de traitement
• L'obligation de ne traiter les données que sur instruction documentée du responsable
• L'obligation de confidentialité des personnes autorisées a traiter les données
• Les mesures de sécurité techniques et organisationnelles (article 32)
• Les conditions de recours à un autre sous-traitant (sous-traitance ulterieure)
• L'obligation d'assister le responsable pour répondre aux demandes d'exercice de droits
• L'obligation d'assister le responsable pour les notifications de violations
• Le sort des données à la fin du contrat (restitution ou suppression)
• L'obligation de mettre à disposition du responsable toutes les informations nécessaires pour demontrer la conformité

La due diligence : évaluer vos sous-traitants

Avant de confier des données à un sous-traitant, vous devez vérifier qu'il présente des garanties suffisantes. Cette évaluation (due diligence) porte sur plusieurs critères :

• Mesures de sécurité techniques : chiffrement, contrôle d'accès, sauvegardes, redondance
• Mesures organisationnelles : politique de sécurité, formation du personnel, gestion des incidents
• Localisation des données : hébergement dans l'UE/EEE ou transferts hors UE avec garanties adéquates
• Certifications et labels : ISO 27001, SOC 2, HDS (pour les données de santé)
• References et experience dans le domaine
• Capacite a assister en cas de violation ou de demande d'exercice de droits