Contrats article 28
Contrats de sous-traitance (Art. 28 RGPD)
L’article 28.3 du RGPD impose que le traitement par un sous-traitant soit regi par un contrat ou un acte juridique contenant un certain nombre de clauses obligatoires.
Clauses obligatoires
- Objet et durée du traitement, nature et finalite
- Type de données et categories de personnes concernees
- Obligation de traiter uniquement sur instruction documentée du responsable
- Obligation de confidentialité des personnes autorisées a traiter les données
- Mesures de sécurité conformes a l’article 32
- Conditions de recours a d’autres sous-traitants (sous-traitance ulterieure)
- Assistance au responsable pour l’exercice des droits des personnes
- Assistance pour les obligations des articles 32 a 36 (sécurité, notification, AIPD)
- Suppression ou restitution des données en fin de contrat
- Mise a disposition des informations nécessaires pour démontrer le respect de l’article 28
Attention : Un contrat de prestation qui ne contient pas les clauses de l’article 28 constitue un manquement sanctionnable. Le DPO doit auditer l’ensemble des contrats existants et negocier des avenants RGPD si nécessaire.