RGPD : La sous-traitance

Les obligations légales du sous-traitant vis à vis du responsable de traitement

Selon la définition du RGPD, un sous-traitant va s’occuper du traitement de données à caractère personnel en suivant les ordres d’un client, considéré comme responsable de ce traitement.
De ce fait, le RGDP impose au sous-traitant de respecter certaines obligations envers ce responsable.

Tout d’abord, il est tenu de présenter à son client des contrats et mentions obligatoires en vue de garantir la transparence et la traçabilité du déroulement du traitement de l’information.
Cela peut également impliquer la tenue de registres afin d’identifier clairement chaque client et obtenir une description circonstanciée du processus de traitement.

De plus, le sous-traitant doit présenter des garanties pour veiller à ce que le traitement des données respecte le RGPD, comme, par exemple, le fait de collecter uniquement les données utiles à l’objet du traitement.

Il existe aussi une obligation de sécurité et gestion des failles, comme la suppression définitive de certaines données sensibles en vue de respecter le principe de durée de conservation et purge des données.

Enfin, le sous-traitant se doit d’assurer une fonction d’aide et de conseil pour veiller à la sécurité des données. Cela se traduit notamment par son soutien dans la réalisation d’une analyse d’impact.

L’engagement de la responsabilité du sous-traitant

Avec le règlement européen pour la protection des données, ce ne seront plus uniquement les responsables de traitement qui devront respecter les obligations légales mais tous les acteurs qui, à un moment donné, ont pris part dans le traitement de données personnelles

Par conséquent, en cas de violation de l’une de ces obligations, le sous-traitant verra sa responsabilité engagée au même titre que celle du donneur d’ordre. C’est le changement fondamental que va apporter le RGDP.

À cet égard, l’article 82.4 du règlement européen affirme que « lorsqu’un responsable du traitement et un sous-traitant participent au même traitement et lorsqu’[…]ils sont responsables d’un dommage causé par le traitement, chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective. »

Dès lors, cela sous-entend que les directions générales des entreprises devront être vigilantes, tant envers leurs sous-traitants qu’à l’égard des donneurs d’ordre, car le RGPD prévoit de lourdes sanctions en cas de manquement. En effet, pour réparer le préjudice subi par la personne ayant connu un dommage matériel ou moral en raison de cette violation légale, le règlement prévoit une amende administrative d’un montant maximum de 20 millions d’euros ou de 4% du chiffre d’affaires annuel mondial de l’entreprise.