que se passe-t-il si je n'ai pas de contrat de traitement des données avec mon fournisseur

Sans accord de traitement de données, vous ne respectez pas l'article 28 du RGPD

Si un prestataire traite des données à caractère personnel en votre nom et qu'il n'existe pas d'accord de traitement de données, cela constitue en soi une violation du RGPD — indépendamment de la question de savoir si quelque chose d'autre se passe mal avec ces données. L'article 28 du RGPD prescrit que le recours à un responsable du traitement est consigné dans un contrat ou un autre acte juridique; sans cette consignation, la base juridique de la coopération fait défaut, même si le prestataire traite lui-même les données avec soin.

Cela s'applique par exemple aux logiciels dans lesquels les données clients, les données de personnel ou les données de facturation sont traitées: les progiciels comptables, les outils d'envoi de messages, les prestataires d'hébergement. Celui qui n'est pas certain qu'un outil particulier relève de cette obligation peut le vérifier via comment sais-je si le logiciel que j'utilise est conforme au RGPD vérifier cela; et la question de savoir si cela s'applique également à un comptable revient à dois-je conclure un contrat de traitement des données avec mon comptable. L'absence d'un accord n'est généralement pas quelque chose qui devient évident d'elle-même, jusqu'à ce qu'il y ait une violation de données, une plainte d'un client ou un audit — et il s'avère alors que les accords n'existent pas.

D'où cela découle de l'article 28 du RGPD

L'article 28 du RGPD stipule que le traitement par un responsable du traitement est régi par un contrat qui consigne un certain nombre de sujets obligatoirement, tels que l'objet du traitement, la durée, et les obligations du responsable du traitement; quels sujets précisément cela sont est décrit à ce qui doit figurer dans un accord de traitement de données. L'obligation d'avoir cet accord incombe à la fois au responsable du traitement et au responsable du traitement, et s'applique dans toute l'UE directement en vertu du règlement; celui qui doit veiller au respect diffère selon le pays — aux Pays-Bas, c'est l'Autorité de protection des données, dans d'autres États membres, c'est l'autorité de contrôle de ce pays. Plus d'informations sur l'autorité de contrôle se trouvent via l'Autorité de protection des données.