Examen de conformité en matière de protection des données

Un contrat de sous-traitance est nécessaire chaque fois que vous transférez des données personnelles à un prestataire de services qui agit selon vos instructions aux fins spécifiques que vous avez définies – ce que l’on appelle un sous-traitant. Le même besoin apparaît si votre entreprise agit en tant que prestataire de services pour le compte d’une autre entreprise. 

En vertu du RGPD de l’UE, certains sujets doivent être couverts. Ceux-ci sont définis à l’art. 28 du RGPD et comprennent la finalité, la durée et la nature du traitement, la nécessité pour l’employé et le personnel du sous-traitant d’être soumis à un devoir de confidentialité et l’obligation du sous-traitant de n’agir que selon les instructions du responsable du traitement, d’aider le responsable du traitement à se conformer aux demandes de droits des personnes concernées, la sécurité des données à caractère personnel et, en général, les obligations inscrites dans le RGPD. 

Toutefois, en vertu du droit suisse, le responsable du traitement doit s’assurer que le sous-traitant peut garantir la sécurité et l’intégrité des données à caractère personnel qui lui sont transférées. En outre, le contrat de sous-traitance doit préciser que le sous-traitant ne peut faire appel à un sous-traitant ultérieur qu’avec l’autorisation préalable du responsable du traitement et que les responsables du traitement doivent être informés en cas de violation des données. 

Il peut le faire, mais il doit obtenir l’autorisation du responsable du traitement, telle que définie dans le contrat de sous-traitance. Cela peut se faire au cas par cas, lorsque le sous-traitant demande l’autorisation au responsable du traitement chaque fois qu’il souhaite s’engager avec un nouveau sous-traitant ultérieur. Il peut également s’agir d’une autorisation générale incluse dans le contrat de sous-traitance, en vertu de laquelle le responsable du traitement permet au sous-traitant de s’engager avec de nouveaux sous-traitants pour l’avenir. 

Dans certains cas, les données personnelles ne sont pas transférées à un sous-traitant (c’est-à-dire un prestataire de services qui agit selon les instructions du responsable du traitement), mais à une autre société qui, conjointement avec la vôtre, détermine également les finalités et les moyens du traitement. Dans ces cas et en vertu du RGPD, cette relation doit également être régie par un contrat, dans lequel les responsables conjoints du traitement déterminent leurs responsabilités respectives et, en particulier, la manière dont ils respecteront les droits des personnes concernées et dont ils leur fourniront les avis de confidentialité appropriés.