Comment rédiger un accord de sous-traitance RGPD avec un prestataire informatique

Dès qu'il traite des données personnelles pour le compte d'un client, selon ses instructions. Une agence web qui accède aux données des clients de ses clients professionnels est sous-traitant. Cela inclut aussi les solutions clé en main gérant des données personnelles. Ce statut déclenche les obligations des articles 4 et 28 du RGPD.

Oui. Si le prestataire utilise les données pour ses propres besoins, au-delà des instructions du client, il devient responsable de traitement pour ce traitement spécifique. La qualification dépend donc de l'usage réel des données. Cette bascule entraîne des obligations différentes et doit être clairement identifiée pour éviter toute confusion.

Parce que l'article 28 du RGPD impose un contrat comportant des mentions obligatoires entre le responsable et le sous-traitant. Ce contrat organise les obligations de chacun, intègre les mentions nécessaires et veille à leur mise en œuvre. Il conditionne la conformité de la relation et protège les deux parties en cas de contrôle CNIL.

Le contrat doit détailler l'objet, la durée, la nature et la finalité du traitement, ainsi que les catégories de données et les personnes concernées. Tout traitement non prévu impose des instructions écrites ou une renégociation. Le contrat encadre aussi le recours à d'autres sous-traitants par le prestataire informatique.

En mettant en place des procédures documentant le respect du RGPD : outils conformes, sécurité technique, assistance aux demandes d'exercice de droits, instructions écrites, tenue d'un registre pour le compte du responsable. L'accompagnement d'un avocat permet de structurer ces obligations et de garantir leur effectivité.

Oui. La CNIL peut contrôler la conformité de la sous-traitance, vérifier l'existence d'un contrat article 28 et le respect des obligations de sécurité et de documentation. Un prestataire ou un responsable de traitement dont la chaîne de sous-traitance n'est pas conforme s'expose à des mesures et à des sanctions.

Le sous-traitant doit garantir un niveau de sécurité technique adapté au risque, utiliser des outils conformes au RGPD, documenter ses mesures et pouvoir en attester à tout moment. Il aide aussi le responsable à répondre aux demandes des personnes et à gérer les violations de données. Ces obligations doivent figurer au contrat.

Un avocat spécialisé en RGPD est le mieux placé pour organiser les obligations des parties, intégrer les mentions de l'article 28 et veiller à leur mise en œuvre. Il adapte le contrat à la réalité de la prestation informatique et sécurise les opérations, pour protéger à la fois le responsable de traitement et le sous-traitant. Côté prestataire, l'exercice est inversé : voir le mode d'emploi du DPA pour un éditeur SaaS, qui reçoit le contrat de son client et doit savoir ce qu'il signe.