QuECJ [kəsɛʒ] Questions Ethiques et Cadre Juridique - groupe de travail du consortium CORLI (CORpus, Langues et Interactions)
Sous-traitant
Le sous-traitant est une personne ou un organisme qui traite des données personnelles pour le compte du responsable de traitement. Il est amené à prendre des décisions d'ordre technique. Contrairement au responsable et au responsable conjoint de traitement, les décisions éventuelles du sous‑traitant quant aux moyens de traitement des données ne concernent pas la finalité, la durée ou la licéité du traitement. Il est soumis aux mêmes exigences en matière de protection des données que le responsable de traitement.
Le responsable de traitement doit s'assurer de la capacité du sous-traitant à respecter les exigences du RGPD. Un contrat doit être établi entre responsable de traitement et sous-traitant pour définir les obligations de chaque partie.
« Afin que les exigences du présent règlement soient respectées dans le cadre d'un traitement réalisé par un sous-traitant pour le compte du responsable du traitement, lorsque ce dernier confie des activités de traitement à un sous-traitant, le responsable du traitement ne devrait faire appel qu'à des sous-traitants présentant des garanties suffisantes, notamment en termes de connaissances spécialisées, de fiabilité et de ressources, pour la mise en œuvre de mesures techniques et organisationnelles qui satisferont aux exigences du présent règlement, y compris en matière de sécurité du traitement. » RGPD Considérant 81
« Tout traitement de données à caractère personnel effectué par un sous-traitant doit être régi par un contrat ou un autre acte juridique établi par écrit, y compris sous forme électronique, et contraignant. Le responsable du traitement et le sous-traitant peuvent choisir de négocier leur propre contrat, y compris tous les éléments obligatoires, ou de se fonder en tout ou en partie sur des clauses contractuelles types. » Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, page 4
« Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. » RGPD article 28
Responsabilité pénale :
« (2) Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement. Un sous-traitant n'est tenu pour responsable du dommage causé par le traitement que s'il n'a pas respecté les obligations prévues par le présent règlement qui incombent spécifiquement aux sous-traitants ou qu'il a agi en-dehors des instructions licites du responsable du traitement ou contrairement à celles-ci.
(3) Un responsable du traitement ou un sous-traitant est exonéré de responsabilité, au titre du paragraphe 2, s'il prouve que le fait qui a provoqué le dommage ne lui est nullement imputable.
(4) Lorsque plusieurs responsables du traitement ou sous-traitants ou lorsque, à la fois, un responsable du traitement et un sous-traitant participent au même traitement et, lorsque, au titre des paragraphes 2 et 3, ils sont responsables d'un dommage causé par le traitement, chacun des responsables du traitement ou des sous-traitants est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective. » (RGPD article 82)
Il s'agira par exemple des hébergeurs comme ORTOLANG
Laisser un commentaire
Consulter les mentions légales