Questions fréquentes
Que dit exactement l'Article 28 du RGPD ?
L'Article 28 impose au responsable de traitement de ne recourir qu'à des sous-traitants présentant des garanties suffisantes, et exige un contrat écrit (le DPA) contenant au moins 8 mentions : objet, instructions, confidentialité, sécurité, sous-traitance ultérieure, assistance, droits des personnes et sort des données en fin de contrat.
Que risque une entreprise qui n'a pas de DPA avec un sous-traitant ?
L'absence de DPA relève de la tranche supérieure de sanction de l'Article 83.5 du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Plusieurs décisions CNIL ont déjà sanctionné cette absence, y compris pour des PME.
Un sous-traitant peut-il devenir responsable de traitement ?
Oui, si le sous-traitant détermine lui-même les finalités et moyens du traitement, l'Article 28.10 prévoit qu'il est automatiquement requalifié en responsable de traitement pour cette part, avec les obligations et sanctions correspondantes.
Le sous-traitant peut-il sous-traiter à son tour ?
Oui, mais uniquement avec l'autorisation écrite préalable, spécifique ou générale, du responsable de traitement (Article 28.2), et le sous-traitant ultérieur doit être soumis à des obligations contractuelles équivalentes (Article 28.4).
Les certifications comme ISO 27701 dispensent-elles de signer un DPA ?
Non. L'Article 28.5 précise que l'adhésion à un code de conduite ou une certification peut servir d'élément pour démontrer des garanties suffisantes, mais ne dispense jamais de conclure un DPA écrit.