Sous-traitant

Le sous-traitant est une personne physique ou morale, publique ou privée, qui traite des données à caractère personnel pour le compte d'un autre organisme, appelé le « Responsable de traitement ». Contrairement à ce dernier, le sous-traitant ne décide ni de la finalité (le « pourquoi »), ni des moyens essentiels (le « comment ») du traitement. Il agit comme un prestataire de services exécutant des instructions précises. Sur le plan juridique, la relation entre le responsable de traitement et son sous-traitant est strictement encadrée par l'article 28 du RGPD. Cette collaboration doit obligatoirement faire l'objet d'un contrat écrit ou d'un autre support juridique contraignant. Ce contrat doit stipuler que le sous-traitant ne traite les données que sur instruction documentée du responsable et qu'il garantit la sécurité et la confidentialité des informations manipulées. Il est important de noter que le sous-traitant a également des obligations propres. Il doit tenir un registre des activités de traitement et peut être tenu responsable devant la CNIL s'il agit en dehors des instructions du responsable de traitement ou s'il ne respecte pas les obligations de sécurité imposées par le règlement.