Source: https://gdpr-expert.com/article.html?mid=1&id=28
Timestamp: 2019-11-21 18:58:50+00:00
Document Index: 70186569

Matched Legal Cases: ["l'article 28", "l'article 28", "l'article 28", "l'article 28", "l'article 28", 'art. 28', "l'article 40", "l'article 42", "l'article 93", '§ 3', '§ 4']

GDPR.expert, l'outil d'analyse du nouveau règlement européen, développé par le cabinet d'avocats Ulys Article 28 : Sous-traitant - GDPR.expert
Afficher les articles et mots clés liés à l’article 28 du Règlement keyboard_arrow_down Cacher les articles et mots clés liés à l’article 28 keyboard_arrow_up
Articles liés à l'article 28
Mots clés liés à l'article 28
sous-traitance secondaire
sous-traitant secondaire
Afficher les considérants du Règlement liés à l'article 28 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 28 keyboard_arrow_up
Il n'y pas de considérant de la Directive 95/46 lié à l'article 28.
L’article 4, 8) définit le sous-traitant en reprenant la définition déjà présente dans la Directive. Le sous-traitant est : « la personne physique ou morale, l'autorité publique, le service ou tout autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ».
L’article 28 du Règlement amplifie les devoirs antérieurs des responsables et sous-traitants tout en organisant un régime de sous-traitance distinct des devoirs de sécurité repris aux articles 32 et s.
Comme auparavant, le responsable du traitement ne peut choisir que des sous-traitants présentant des garanties suffisantes pour la prise de mesures techniques et opérationnelles appropriées afin de rencontrer les prescriptions du Règlement et d’assurer la protection des droits de la personne concernée.
Le principe reste encore celui d’une organisation contractuelle spécifique entre le responsable du traitement et le sous-traitant, voire par un autre acte juridique spécifique prévu par le doit de l’Union ou d’un État membre, liant le sous-traitant au responsable du traitement. Le contenu du contrat écrit - en ce compris un format électronique- est par contre élargi. Outre des informations sur le traitement lui-même (finalité, objet et durée du traitement, etc.), le contrat prévoit l’engagement du sous-traitant à respecter toute une série de devoirs à l’égard du responsable, notamment :
-ne traiter les données que sur instructions du responsable –ce qui était déjà prévu- mais ces instructions devront être désormais spécialement documentés –notamment les transferts de données vers des pays tiers- par le responsable. Une exception est prévue pour des devoirs légaux auxquels seraient soumis le sous-traitant qui devront faire l’objet d’une information spécifique par le sous-traitant, sauf exception légale justifiée pour des motifs importants d’intérêt public ;
Ce devoir se traduit également à l’article 32 qui impose de prendre les mesures pour que toute personne qui a accès aux données sous l’autorité du responsable ou du sous-traitant ne puisse traiter celles-ci que sur les seules instructions de ceux-ci, sauf si elle en est requise par la loi d’un État membre ou une règle de l’UE et à condition qu’il en informe le responsable à moins qu’une telle information soit interdite pour des motifs importants d’intérêt public.
- garantir que les personnes autorisées à traiter les données sont soumises à un devoir de confidentialité. ;
-respecter les conditions de recrutement d’un autre sous-traitant secondaire définies aux paragraphes 2 et 4 (cfr infra) ;
-aider le responsable à donner suite à l’exercice des droits des personnes concernées ;
-aider le responsable à garantir le respect de ses propres obligations de sécurité prévues aux articles 32 à 36 du Règlement
-selon le choix du responsable, effacer ou restituer les données au responsable du traitement après l’exécution du service, etc.
- mettre à la disposition du responsable toutes les informations nécessaires pour démontrer le respect de l’article 28 et pour permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.
L’article 28 oblige également le sous-traitant à signaler immédiatement au responsable s’il estime qu’une de ses instructions constitue une violation du Règlement ou d’une autre disposition du droit de l’Union ou celui des Etats membres relatives à la protection des données.
Outre les devoirs issus de la Directive, le Règlement organise la question de la sous-traitance confiée à des tiers -sous-traitants secondaires- par le sous-traitant direct du responsable du traitement, cas de figure très fréquent en pratique. Ainsi, la possibilité laissée au sous-traitant de sous-traiter lui-même devra faire l’objet d’un accord écrit préalable (spécifique ou général) du responsable du traitement. Dans le cas d’une autorisation écrite générale, le sous-traitant direct doit informer le responsable du traitement, préalablement à tout changement de sous-traitant « secondaire » en vue de donner au responsable la possibilité d’émettre des objections.
En outre, ce contrat de sous-traitance secondaire devra obéir lui-même aux règles de contenu applicables au contrat conclu entre le responsable et le sous-traitant principal (art. 28, 4). Le sous-traitant direct est responsable devant le responsable du traitement de la mauvaise exécution des obligations contractuelles de ses propres sous-traitants.
L’adhésion du sous-traitant à un code de conduite visé à l’article 40 ou à un mécanisme de certification approuvé visé à l’article 42 peut être utilisée pour démontrer l’existence de garanties suffisantes par le sous-traitant.
Le Règlement prévoit expressément la possibilité d’utiliser des clauses contractuelles types fournies par diverses sources comme fondement du contrat particulier entre le responsable et le sous-traitant (incluses dans une procédure de certification, de la Commission ou d’autorités de contrôle). La Commission est d’ailleurs investie du pouvoir d’établir des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4, conformément au mécanisme de cohérence prévu à l’article 63.
Enfin, la dernière version du Règlement indique spécifiquement que le sous-traitant qui aurait violé ses devoirs spécifiques en déterminant les finalités et moyens du traitement sera considéré comme responsable du traitement pour ce nouveau traitement.
L’article 17 de la Directive organisait le régime de la sous-traitance comme faisant partie des devoirs de sécurité. La Directive prévoyait que responsable du traitement qui passe par un sous-traitant devait veiller à ce que ce dernier apporte des garanties suffisantes quant à la mise en œuvre et au respect des mesures de sécurité à effectuer.
Un contrat ou acte juridique obligatoire devait le lier au sous-traitant, celui-ci mentionnant notamment que ce dernier n’agit que sur instruction du responsable du traitement, ainsi que les mesures de sécurité qu’il devait prendre.
En droit belge, le responsable du traitement doit choisir un sous-traitant apportant des garanties suffisantes afin de faire face aux mesures de sécurité nécessaires au traitement. Il devait prévoir des clauses contractuelles spécifiques avec ses sous-traitants, celles-ci devant impérativement contenir certaines mentions comme le fait que le sous-traitant ne peut agir que sur ses instructions et un rappel des devoirs de sécurité s’imposant au sous-traitant
La précision et l’élargissement des mentions contractuelles, étendues aux liens de sous-traitance secondaire, imposent aux responsables de revoir toutes leurs relations à leurs sous-traitants et donc de modifier profondément les contrats antérieurs. Souvent, en pratique, des mentions assez générales étaient contenues au mieux dans une seule clause de style insérée dans le contrat de prestation de service.
Le sous-traitant –souvent un prestataire technique- devra impérativement accorder plus d’importance à la protection des données et à ses obligations qui dépassent la simple prise de mesures de sécurité, mais lui impose une gestion contractuelle bien plus professionnelle.
arrow_back Article précédent • Article 28 • Article suivant arrow_forward
arrow_back Article précédent • Article 28 Article suivant arrow_forward
1. Lorsqu'un traitement doit être effectué pour le compte d'un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée.
2. Le sous-traitant ne recrute pas un autre sous-traitant sans l'autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Dans le cas d'une autorisation écrite générale, le sous-traitant informe le responsable du traitement de tout changement prévu concernant l'ajout ou le remplacement d'autres sous- traitants, donnant ainsi au responsable du traitement la possibilité d'émettre des objections à l'encontre de ces changements.
3. Le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, qui lie le sous-traitant à l'égard du responsable du traitement, définit l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement. Ce contrat ou cet autre acte juridique prévoit, notamment, que le sous-traitant:
a) ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, y compris en ce qui concerne les transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale, à moins qu'il ne soit tenu d'y procéder en vertu du droit de l'Union ou du droit de l'État membre auquel le sous-traitant est soumis; dans ce cas, le sous- traitant informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit concerné interdit une telle information pour des motifs importants d'intérêt public;
g)selon le choix du responsable du traitement, supprime toutes les données à caractère personnel ou les renvoie au responsable du traitement au terme de la prestation de services relatifs au traitement, et détruit les copies existantes, à moins que le droit de l'Union ou le droit de l'État membre n'exige la conservation des données à caractère personnel; et
h) met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect des obligations prévues au présent article et pou permettre la réalisation d'audits, y compris des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces audits.
4. Lorsqu'un sous-traitant recrute un autre sous-traitant pour mener des activités de traitement spécifiques pour le compte du responsable du traitement, les mêmes obligations en matière de protection de données que celles fixées dans le contrat ou un autre acte juridique entre le responsable du traitement et le sous-traitant conformément au paragraphe 3, sont imposées à cet autre sous-traitant par contrat ou au moyen d'un autre acte juridique au titre du droit de l'Union ou du droit d'un État membre, en particulier pour ce qui est de présenter des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement.
Lorsque cet autre sous-traitant ne remplit pas ses obligations en matière de protection des données, le sous-traitant initial demeure pleinement responsable devant le responsable du traitement de l'exécution par l'autre sous-traitant de ses obligations.
5. L'application, par un sous-traitant, d'un code de conduite approuvé comme le prévoit l'article 40 ou d'un mécanisme de certification approuvé comme le prévoit l'article 42 peut servir d'élément attestant de l'existence des garanties suffisantes conformément aux paragraphes 1 et 4 du présent article.
7. La Commission peut établir des clauses contractuelles types pour les questions visées aux paragraphes 3 et 4 du présent article et conformément à la procédure d'examen visée à l'article 93, paragraphe2.
. 2. La réalisation d'un traitement par un sous-traitant est régie par un contrat ou un acte juridique au titre du droit de l'Union ou du droit national liant le sous-traitant au responsable du traitement, définissant l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, les droits du responsable du traitement (...) et prévoyant notamment que le sous-traitant:
§ 3. Toute personne agissant sous l'autorité du responsable du traitement ou celle du sous-traitant, ainsi que le sous-traitant lui-même, qui accède à des données à caractère personnel, ne peut les traiter que sur instruction du responsable du traitement, sauf en cas d'une obligation imposée par ou en vertu d'une loi, d'un décret ou d'une ordonnance.)
§ 4. Afin de garantir la sécurité des données à caractère personnel, le (responsable du traitement et, le cas échéant, son représentant en Belgique, ainsi que le sous-traitant doivent prendre les mesures techniques et organisationnelles requises pour protéger les données à caractère personnel) contre la destruction accidentelle ou non autorisée, contre la perte accidentelle ainsi que contre la modification, l'accès et tout autre traitement non autorisé de données à caractère personnel.