Qu'est-ce qu'un sous-traitant au sens du RGPD ?
Un sous-traitant est la personne physique ou morale qui traite des données personnelles pour le compte et sur instruction d'un responsable de traitement, sans en déterminer les finalités (articles 4 et 28 du RGPD).
L'hébergeur d'un site, un prestataire d'emailing, un éditeur de CMP en mode SaaS ou une agence web sont des sous-traitants classiques. Ils agissent selon les consignes de leur client, jamais pour leur propre compte. La CNIL insiste sur ce point : le sous-traitant ne peut pas réutiliser les données à d'autres fins.
La relation doit être encadrée par un contrat prévu à l'article 28, qui fixe les obligations de sécurité, de confidentialité et d'assistance. Le sous-traitant tient aussi son propre registre et notifie sans délai toute violation à son responsable de traitement.
Voir aussi
- Responsable de traitement
- Donnée personnelle
- DPO (délégué à la protection des données)
- Le guide RGPD complet
ConsentLab agit comme CMP conforme au rôle de sous-traitant. Voir la CMP gratuite.