Sous-traitance ultérieure

La sous-traitance ultérieure désigne la situation où un sous-traitant initial, mandaté par un responsable de traitement, engage à son tour un autre prestataire (le sous-traitant ultérieur) pour réaliser des opérations de traitement de données personnelles. Ce mécanisme est strictement encadré par l'article 28(2) et 28(4) du RGPD afin d'éviter que la chaîne de responsabilité ne s'estompe. Pour être légale, cette pratique impose deux conditions majeures. Premièrement, le sous-traitant initial doit obtenir l'autorisation écrite préalable du responsable de traitement, soit par une autorisation spécifique, soit par une autorisation générale (dans ce cas, le sous-traitant doit informer le client de tout changement prévu, lui permettant de s'y opposer). Deuxièmement, le sous-traitant initial doit conclure un contrat avec le sous-traitant ultérieur imposant des obligations de protection des données identiques à celles prévues dans le contrat principal. Juridiquement, le sous-traitant initial demeure pleinement responsable vis-à-vis du responsable de traitement de l'exécution des obligations du sous-traitant ultérieur. Cela signifie que si le prestataire de second rang commet une faille de sécurité, c'est le premier sous-traitant qui en assume la responsabilité contractuelle directe devant le client final.