Un contrat de sous-traitance (CST) est un document juridiquement contraignant qui régit la relation entre un responsable du traitement (donneur d'ordre) et un sous-traitant (prestataire de services) dans le cadre du traitement de données personnelles. Il est ancré dans l'article 28 du RGPD et constitue un élément central pour garantir la protection des données lors de l'externalisation des processus de traitement des données.
Un CST doit toujours être conclu lorsqu'une entreprise (responsable du traitement) confie à un prestataire de services (sous-traitant) le traitement de données personnelles. Cela comprend des scénarios typiques comme l'utilisation de prestataires informatiques externes, la sollicitation de prestataires marketing, l'intégration de services de support externes, l'externalisation de fonctions RH, la sollicitation de centres d'appels ou l'utilisation d'outils d'analyse.
Un responsable du traitement décide des finalités et des moyens du traitement des données, tandis qu'un sous-traitant traite les données personnelles pour le compte et selon les instructions du responsable du traitement. En cas de responsabilité conjointe, deux responsables du traitement ou plus décident conjointement des finalités et des moyens du traitement, ce qui nécessite un accord selon l'art. 26 RGPD.
Un CST juridiquement conforme doit définir l'objet, la durée, la nature et la finalité du traitement. De plus, il doit définir les droits et obligations des deux parties, décrire les mesures techniques et organisationnelles, contenir des dispositions pour soutenir le responsable du traitement dans les droits des personnes concernées et établir des directives pour les sous-traitants ultérieurs ainsi que des concepts de suppression.
L'absence d'un CST ou un CST défaillant sur le plan du contenu peut entraîner des amendes pouvant aller jusqu'à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial. De plus, le responsable du traitement peut être tenu responsable des violations de la protection des données du sous-traitant, des responsabilités peu claires peuvent survenir en cas de violations de données et des dommages de réputation peuvent menacer en cas de découverte de manquements à la conformité.
La mise en œuvre pratique comprend l'identification de tous les prestataires de services pertinents, l'examen de la nécessité d'un CST, la négociation et la conclusion de contrats juridiquement sûrs, l'examen et la mise à jour réguliers des CST existants ainsi que la documentation de toutes les mesures pour la traçabilité de la conformité RGPD dans le cadre de l'obligation de responsabilité.
Découvrez des solutions sur mesure pour votre entreprise : conseil personnel par nos experts leaders du secteur.
Prendre rendez-vousUn CST juridiquement sûr doit comprendre de nombreux contenus obligatoires selon l'article 28 RGPD. Cela inclut la description précise de l'objet et de la durée du traitement, la nature et la finalité du traitement des données ainsi que les catégories de données traitées et des personnes concernées. De plus, la subordination du sous-traitant aux instructions, l'engagement de confidentialité de toutes les personnes impliquées ainsi que les mesures techniques et organisationnelles pour la protection des données doivent être clairement définies.
La réglementation concernant l'utilisation de sous-traitants ultérieurs est un élément central d'un CST. Il est généralement stipulé que la sollicitation de sous-traitants ultérieurs n'est autorisée qu'avec l'accord écrit préalable du responsable du traitement. Le sous-traitant doit informer le responsable du traitement de tout changement prévu et s'assurer que les sous-traitants ultérieurs respectent également les mêmes obligations de protection des données que lui-même.
Le sous-traitant est obligé d'assister le responsable du traitement dans l'accomplissement des droits des personnes concernées. Cela comprend l'aide pour les demandes d'information, les demandes de rectification et de suppression ainsi que pour les demandes de portabilité des données. De plus, il doit fournir une assistance pour le respect d'autres obligations de protection des données, en particulier pour garantir la sécurité des données, le signalement des violations de données, la réalisation d'analyses d'impact sur la protection des données et lors de consultations préalables avec les autorités de contrôle.
Dans le CST, il doit être clairement réglé ce qui advient des données personnelles après la fin du traitement. Il devrait être stipulé par défaut que le sous-traitant supprime toutes les données personnelles ou les retourne au responsable du traitement, sauf s'il existe une obligation légale de stockage ultérieur. La suppression ou le retour doit être démontrable et documenté si possible.
Lors de transmissions de données vers des pays en dehors de l'UE/EEE, des précautions supplémentaires doivent être prises dans le CST. Cela comprend la réglementation explicite du transfert vers des pays tiers avec indication des pays destinataires, la mise en œuvre de garanties appropriées comme les clauses contractuelles types de l'UE ainsi que la documentation d'une évaluation des risques. Depuis l'arrêt "Schrems II" de la CJUE, les exigences pour les transferts internationaux de données ont considérablement augmenté et nécessitent un examen et une documentation approfondis.
En pratique, les CST présentent souvent des défauts qui peuvent conduire à leur inefficacité. Les erreurs les plus fréquentes incluent des descriptions trop peu spécifiques du traitement, des réglementations manquantes ou peu claires concernant les sous-traitants ultérieurs, des descriptions insuffisantes des mesures techniques et organisationnelles, une définition manquante des droits d'instruction et de contrôle ainsi que des concepts de suppression lacunaires. L'utilisation de modèles de contrats obsolètes qui ne correspondent pas aux exigences actuelles du RGPD constitue également un risque considérable.
La conception juridiquement sûre des CST nécessite des connaissances spécialisées en raison des exigences légales complexes qui évoluent continuellement avec la nouvelle jurisprudence. Les défis particuliers comprennent la délimitation entre la sous-traitance et la responsabilité conjointe, les transmissions internationales de données après l'arrêt "Schrems II" ainsi que la description précise des mesures techniques et organisationnelles. Nos experts vous soutiennent avec des connaissances spécialisées fondées et une expérience pratique de longue date dans tous les aspects concernant les CST.
Nous créons des CST individuels qui sont exactement adaptés à vos exigences spécifiques. Cela comprend une conception contractuelle juridiquement sûre selon l'art. 28 RGPD, une description précise des activités de traitement et des flux de données ainsi qu'une représentation détaillée des mesures techniques et organisationnelles. De plus, nous veillons à des réglementations claires concernant les droits d'instruction et de contrôle, une conception conforme au droit pour les transferts internationaux de données et une harmonisation avec les relations contractuelles existantes.
Pour les CST déjà existants, nous offrons une révision complète avec des recommandations d'adaptation concrètes. Cela inclut l'examen de la complétude et de la conformité légale selon les exigences légales actuelles, l'identification de lacunes ou de risques ainsi que l'évaluation des mesures techniques et organisationnelles décrites. Nous vérifions également les réglementations concernant les sous-traitants ultérieurs et les transferts vers des pays tiers et créons un rapport détaillé avec des recommandations d'adaptation, au besoin nous prenons aussi en charge la révision et la mise à jour du CST.
Pour les entreprises avec de nombreuses relations de prestataires, nous développons un système de gestion structuré des CST. Cela comprend la création d'un aperçu des prestataires avec évaluation de l'obligation de CST, le développement de modèles de CST standardisés pour différents types de prestataires ainsi que la définition d'un processus pour la conclusion, la mise à jour et le contrôle des CST. De plus, nous implémentons une gestion des sous-traitants ultérieurs, construisons un système de documentation et de preuve et formons les employés responsables à l'utilisation du système.
Nous vous soutenons lors des négociations avec vos prestataires pour la conclusion de CST conformes au droit. Cela inclut l'évaluation juridique des projets de CST présentés, l'identification des points contractuels critiques et le développement de formulations alternatives. Nous aidons à imposer les adaptations nécessaires, à évaluer les MTO indiquées par le prestataire ainsi qu'à négocier les transferts vers des pays tiers et les réglementations concernant les sous-traitants ultérieurs. Sur demande, nous prenons aussi en charge la conduite directe des négociations avec le prestataire pour nous assurer que vos CST correspondent non seulement aux exigences formelles, mais protègent aussi optimalement vos intérêts.
Un conseil professionnel en CST offre de nombreux avantages pour votre entreprise. Il minimise le risque d'amendes et de réclamations de responsabilité par une conception contractuelle juridiquement sûre, optimise vos processus d'affaires par des responsabilités et obligations claires ainsi qu'améliore votre position de conformité lors d'audits de protection des données. De plus, il crée une sécurité juridique pour les transferts internationaux de données, permet une administration efficace de nombreuses relations de prestataires et renforce votre position de négociation face aux prestataires grâce à une expertise juridique fondée.
Nos experts en protection des données analysent votre situation actuelle et offrent des recommandations d'action concrètes pour une mise en œuvre conforme au RGPD.
Nous créons et maintenons tous les documents pertinents comme les CST, MTO, directives et preuves – juridiquement sûrs et actuels.
Nous vérifions vos processus, contrats et documentation pour la conformité RGPD et aidons à l'optimisation.
Nous formons vos collaborateurs de manière pratique aux sujets de protection des données – en ligne ou sur site – et promouvons un comportement conforme à la protection des données.