comment sais-je si le logiciel que j'utilise est conforme au RGPD

Un outil SaaS est conforme au RGPD si le contrat et la pratique sont corrects

Il n'existe pas de label ou de case à cocher qui déclare officiellement un outil SaaS « conforme au RGPD » — le RGPD n'évalue pas le logiciel lui-même, mais la façon dont un fournisseur traite les données personnelles et ce qui a été convenu à ce sujet. Dans la plupart des cas, un outil est utilisable sans risque notable si trois éléments sont en ordre : il existe un contrat de traitement avec le fournisseur, ce contrat couvre les éléments obligatoires tels que l'objectif du traitement et les mesures de sécurité, et il est clair où les données sont physiquement traitées et stockées.

Ces deux derniers points sont souvent là où les choses posent problème dans la pratique. De nombreux outils SaaS font intervenir d'autres parties — un prestataire d'hébergement, un service d'assistance dans un autre pays — ce qu'on appelle un sous-traitant. Il se peut aussi que les données soient traitées en dehors de l'UE, ce qui est soumis à des conditions supplémentaires. Celui qui doute du rôle qu'occupe un fournisseur dans son entreprise — s'il est responsable du traitement ou sous-traitant — trouvera plus d'informations à ce sujet sur la distinction entre responsable du traitement et sous-traitant. Et celui qui souhaite savoir ce qui doit exactement figurer dans le contrat avec le fournisseur peut le vérifier à la page sur le contenu du contrat de traitement.

Sur quoi ceci est basé : articles 28 et 44 du RGPD

L'obligation de fixer par écrit les accords avec une partie qui traite des données personnelles découle de l'article 28 du RGPD, qui indique aussi ce que cet accord doit minimalement couvrir — y compris le recours à un sous-traitant. Le traitement de données en dehors de l'UE relève de l'article 44 du RGPD, qui impose des conditions supplémentaires à un transfert vers un pays tiers. Ces dispositions s'appliquent directement dans toute l'UE, donc le cœur de l'évaluation — existe-t-il un contrat de traitement, et le transfert en dehors de l'UE est-il couvert de la bonne manière — ne change pas selon le pays. Le CEPD développe dans ses lignes directrices comment ces articles sont concrètement appliqués en pratique, par exemple lors de l'évaluation des sous-traitants et des transferts internationaux.