RGPD Article 28 (Sous-traitants)

Définition

L'article 28 du Règlement Général sur la Protection des Données encadre la relation contractuelle entre un responsable de traitement et ses sous-traitants, c'est-à-dire toute entité traitant des données personnelles pour son compte, comme un hébergeur cloud, un prestataire de maintenance applicative ou un fournisseur de services SaaS. Il impose que cette relation soit formalisée par un contrat ou un acte juridique contraignant précisant notamment l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles concernées, ainsi que les obligations et droits du responsable de traitement. Le sous-traitant doit s'engager contractuellement à ne traiter les données que sur instruction documentée, à garantir la confidentialité de son personnel, à mettre en œuvre des mesures de sécurité appropriées conformément à l'article 32, à assister le responsable de traitement dans le respect des droits des personnes concernées, et à notifier sans délai toute violation de données constatée. Il doit également obtenir une autorisation préalable, générale ou spécifique, avant tout recours à un sous-traitant ultérieur. En pratique de conformité, l'audit de la chaîne de sous-traitance, l'exigence de clauses contractuelles types conformes à l'article 28, et la vérification des garanties de sécurité offertes, notamment en cas de transfert hors Union européenne, constituent des obligations essentielles pour tout responsable de traitement.