RGPD et sous-traitant

Où trouver des modèles de clauses de sous-traitance ?

L’article 28 du RGPD impose la conclusion d’un contrat lorsque le responsable de traitement fait appel à des sous-traitants:

Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l’Union ou du droit d’un État membre, qui lie le sous-traitant à l’égard du responsable du traitement, définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement.

Article 28.3 du RGPD

Les outils disponibles :

• L’exemple de clause de sous-traitance proposé par la CNIL dans son guide de la sécurité ;
• Les clauses contractuelles types («CCT») de l’autorité de contrôle du Danemark

Références

• Article 28 du RGPD
• CNIL, Travailler avec un sous-traitant 18.09.2019
• CNIL : Guide du sous-traitant – Guide for processors édition septembre 2017
• EDPB : Avis 14/2019 sur le projet de clauses contractuelles types présenté par l’autorité de contrôle du Danemark (article 28, paragraphe 8, du RGPD)
• Standart Contractuel Clause for the purpose of Article 28(3) of Regulation 2016/679 (the GDPR)