Sous-traitant (RGPD)
Sous-traitant : au sens du RGPD (article 4), personne ou organisation qui traite des données à caractère personnel pour le compte du responsable du traitement, qui en fixe les finalités et les moyens. Un hébergeur cloud, un service d'envoi de courriels ou une entreprise qui exploite une application pour ses clients sont généralement des sous-traitants.
L'article 28 impose un contrat qui fixe les obligations du sous-traitant (instructions, confidentialité, sécurité, assistance, sort des données en fin de contrat) et interdit de recourir à un sous-traitant ultérieur sans l'autorisation écrite du responsable. La liste des sous-traitants ultérieurs d'un fournisseur est donc un document à lire : c'est souvent par elle qu'apparaissent des transferts hors de l'Union (support, messagerie, outils internes).
Dans les cours
- Cloud souverain : choisir et justifier, leçon 1 : Ce que « souverain » veut dire
- Cloud souverain : choisir et justifier, leçon 2 : Les lois extraterritoriales et les transferts de données