Générez gratuitement un accord de traitement des données (DPA) conforme

Un DPA est nécessaire chaque fois que le RGPD de l’UE s’applique et que vous transférez des données personnelles à un prestataire de services qui traite des données pour vous et agit selon vos instructions pour les finalités spécifiques que vous avez définies—ce qu’on appelle un sous-traitant. Le même besoin apparaît si votre entreprise agit en tant que sous-traitant  pour une autre entreprise. 

En vertu du RGPD de l’UE, certains sujets doivent être couverts. Ceux-ci sont définis à l’Art. 28 RGPD et incluent le but, la durée et la nature du traitement, la nécessité pour les employés et le personnel du sous-traitant d’être soumis à une obligation de confidentialité, et l’obligation du sous-traitant d’agir uniquement selon les instructions du responsable du traitement, d’aider le responsable du traitement à se conformer aux demandes de droits des personnes concernées, à la sécurité des données personnelles et, en général, aux obligations inscrites dans le RGPD . 

En vertu du droit suisse, cependant, le responsable du traitement doit s’assurer que le sous-traitant peut garantir la sécurité et l’intégrité des données personnelles qui lui sont transférées. De plus, l’accord doit définir que le sous-traitant ne peut utiliser un sous-traitant ultérieur qu’avec l’autorisation préalable du responsable du traitement et que les responsables du traitement doivent être informés en cas de violation de données. 

Il le peut, mais il doit obtenir l’autorisation du responsable du traitement, ce comme défini dans le DPA. Cela peut se faire au cas par cas etle sous-traitant demande l’autorisation du responsable du traitement chaque fois qu’il souhaite engager un nouveau sous-traitant ultérieur. Cela peut également se faire avec une autorisation générale incluse dans le DPA, où le responsable du traitement permet au sous-traitant d‘engager de nouveaux sous-traitants ultérieurs pour l’avenir. 

Dans certains cas, les données personnelles ne sont pas transférées à un sous-traitant (c’est-à-dire un prestataire de services qui agit sous les instructions du responsable du traitement), mais à une autre entreprise qui, conjointement avec la vôtre, détermine également les finalités et les moyens du traitement (c’est-à-dire un autre responsable de traitement). Dans ces cas et en vertu du RGPD de l’UE, cette relation doit également être régie par une clause spécifique, où les responsables conjoints déterminent leurs responsabilités respectives et, en particulier, comment ils respecteront les droits des personnes concernées et comment ils fourniront les avis de confidentialité appropriés à celles-ci.