Sous-traitance de données personnelles

Comprendre l’enjeu et le périmètre

Elle permet d’organiser les instructions, garanties, assistance, contrôles et conditions de fin de prestation.

Couvrir objet, finalités, données, sécurité, sous-traitants ultérieurs, incidents, droits, transferts et restitution.

Passer à l’action

• Qualifier les rôles effectifs
• Examiner les clauses et garanties
• Vérifier les pratiques et les changements de prestation

Commencez par qualifier l'activité, les données, les acteurs et le rôle de l'organisation. Les obligations ne s'appliquent pas toutes de la même façon à tous les services. Reliez les exigences retenues à des mesures et à des preuves plutôt que de collectionner des textes.

Responsabilités et moyens

Le responsable de traitement conserve ses obligations, achats organise la relation, le DPO et le juridique qualifient, et la DSI vérifie les moyens.

Inclure évaluation, contractualisation, suivi, assistance et sortie.

Produire et vérifier

Livrable utile

Un dossier de sous-traitance avec engagements et preuves adaptés au risque.

Preuve à rechercher

Comparer une opération réelle du prestataire aux instructions, destinataires et lieux prévus.

Indicateur à interpréter

Suivre prestataires non qualifiés, clauses manquantes et changements non examinés.

Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.

Arbitrages et dépendances

Un contrat standard peut être incompatible avec les usages réels ou avec la chaîne de sous-traitance effective.

La maîtrise dépend des contrats, lieux de traitement, sous-traitants et capacités de contrôle.

Les fiches apportent des repères de travail, pas un avis juridique individualisé. Vérifiez les textes, leurs dates d'application et les recommandations de l'autorité compétente au moment de la décision. Faites documenter l'assujettissement et les cas limites par une personne qualifiée.