Responsabilité et données
Sous-traitance RGPD
Définition
La clause de sous-traitance RGPD encadre ce qu'un fournisseur peut faire des données personnelles qu'il traite pour votre compte.
Explication
Quand un fournisseur traite des données personnelles pour le compte de votre entreprise — paie, CRM, hébergement, support — le règlement européen sur la protection des données fait de vous le responsable de traitement et de lui le sous-traitant. Cette relation doit être encadrée par un contrat écrit définissant ses obligations.
Le contrat de sous-traitance précise en règle générale l'objet et la durée des traitements, les mesures de sécurité, l'assistance en cas de demande des personnes concernées, la notification des violations de données, et le sort des données en fin de mission : restitution ou destruction.
Le point sensible est la sous-traitance en chaîne : le fournisseur peut vouloir faire appel à ses propres sous-traitants, parfois hors de l'Union européenne. La clause doit dire si vous devez l'autoriser, si vous pouvez vous y opposer, et comment les transferts hors UE sont encadrés.
En cas d'incident chez le sous-traitant, c'est le responsable de traitement — votre entreprise — qui répond en premier devant les personnes concernées et l'autorité de contrôle. D'où l'importance des engagements de sécurité et de notification écrits dans le contrat.
Ce que ça change pour une PME
Pour une PME, confier des données personnelles à un fournisseur sans clause RGPD conforme, c'est porter seul un risque réglementaire créé par un tiers. La clause ne supprime pas le risque, mais elle fixe qui fait quoi, qui prévient, et qui paie.
Exemple
Par exemple, avec une clause imposant au sous-traitant de notifier toute violation de données sans délai, votre entreprise peut respecter ses propres obligations d'information ; sans elle, elle l'apprend souvent trop tard. Cet exemple est purement illustratif.
Signaux d'alerte
- L'absence de tout contrat ou encadré RGPD alors que le fournisseur traite des données personnelles.
- Une autorisation générale de sous-traitance ultérieure sans droit d'objection.
- Des traitements hors Union européenne sans mécanisme d'encadrement mentionné.
- Aucun engagement sur le sort des données à la fin du contrat.
Ce que Volpi regarde
Volpidoc repère la présence et le contenu des clauses de sous-traitance RGPD dans les documents déposés — obligations, sécurité, chaîne de sous-traitance, sort des données — et signale les contrats qui en sont dépourvus. L'analyse repose sur vos seuls fichiers.
Clauses liées
Cette clause est-elle dans vos contrats ?
Volpidoc lit les contrats que vous déposez, en extrait les clauses clés et vous signale les points de vigilance, contrat par contrat.