Sous-traitant : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le sous-traitant est la personne physique ou morale, l'autorité publique ou l'organisme qui traite des données personnelles pour le compte et sur instruction d'un responsable de traitement, par exemple un éditeur de logiciel en ligne ou un prestataire de paie.
Ce qu'il faut comprendre
Le sous-traitant n'a pas de finalité propre : il exécute une prestation définie par son client. Hébergeur, éditeur de logiciel en ligne, prestataire de paie, plateforme d'envoi d'e-mails, société de maintenance informatique ayant accès aux serveurs ou entreprise de destruction d'archives sont des sous-traitants typiques. Le terme n'a rien à voir avec la sous-traitance industrielle : il désigne une relation précise vis-à-vis des données.
Ses obligations sont propres : agir uniquement sur instruction documentée, garantir la confidentialité, sécuriser les données, ne recourir à un autre sous-traitant qu'avec l'autorisation écrite du responsable, l'aider à répondre aux demandes des personnes et à gérer les violations, supprimer ou restituer les données en fin de contrat. Il tient un registre des traitements effectués pour ses clients et peut être sanctionné directement par la CNIL.
La relation doit être encadrée par un contrat ou un autre acte juridique comportant les mentions de l'article 28 : objet, durée, nature et finalité du traitement, types de données, catégories de personnes, obligations et droits du responsable. Si le prestataire utilise les données pour ses propres besoins, il devient responsable de ce traitement et en assume toutes les obligations.
Erreur fréquente : accepter les conditions générales d'un outil en ligne sans vérifier qu'elles comportent un accord de traitement des données, ni dans quel pays les données sont hébergées. Un prestataire qui refuse de fournir un accord de traitement des données ou de décrire ses mesures de sécurité ne permet pas à son client de démontrer sa propre conformité. Il faut aussi connaître la liste de ses propres sous-traitants.
Exemple concret
Un EHPAD confie la paie à un cabinet comptable et le dossier de soins à un éditeur de logiciel. Ces deux prestataires sont sous-traitants : ils traitent les données des salariés et des résidents uniquement pour le compte de l'établissement. L'EHPAD signe avec chacun un contrat conforme à l'article 28, vérifie leurs mesures de sécurité et, pour l'éditeur, la certification HDS de l'hébergement.
Textes de référence
- RGPD, art. 4, 8)
- RGPD, art. 28
- RGPD, art. 30, 2)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
