Registre des sous-traitants
Registre des sous-traitants
Le registre des sous-traitants complète le registre des traitements en identifiant et documentant l’ensemble des prestataires qui traitent des données personnelles pour le compte du SPST. L’article 30.2 du RGPD impose au sous-traitant de tenir son propre registre, mais le responsable de traitement doit egalement documenter ses sous-traitants.
Sous-traitants typiques d’un SPST
| Sous-traitant | Traitement concerne | Données de santé | HDS requis |
|---|---|---|---|
| Editeur du logiciel métier (DMST) | Hébergement et gestion du DMST | Oui | Oui |
| Hebergeur cloud / infogérant | Hébergement des serveurs | Selon périmètre | Si données de santé |
| Editeur de paie / RH | Gestion des salaires et du personnel | Non | Non |
| Prestataire de maintenance informatique | Support et maintenance | Acces possible | Si accès aux données de santé |
| Prestataire de télésanté | Teleconsultations | Oui | Oui |
| Archiviste externe | Archivage des DMST | Oui | Oui |
| Editeur du site web | Gestion du site internet | Non | Non |
| Prestataire de destruction de documents | Destruction confidentielle | Oui | Non |
Elements a documenter
Pour chaque sous-traitant, le registre doit mentionner : identité et coordonnees, nature du traitement confie, categories de données traitees, existence et date du contrat Art. 28, certification HDS le cas echeant, lieu de traitement des données, mesures de sécurité, et date de la dernière évaluation de conformité.
Art. 28 RGPD : Chaque sous-traitant doit etre lie par un contrat conforme a l’article 28 du RGPD. L’absence de contrat constitue un manquement pouvant faire l’objet d’une sanction de la CNIL.