un contrat de traitement des données peut-il aussi être conclu oralement ou par e-mail

L'accord verbal ou par e-mail ne suffit pas

Non, un accord verbal ou un simple échange de courriels ne constitue pas un contrat de traitement valide. L'article 28 du RGPD exige que les arrangements entre un responsable du traitement et un sous-traitant soient consignés dans un contrat ou un autre acte juridique qui soit écrit, et cette forme écrite peut aussi être électronique. Un engagement téléphonique ou un accord verbal lors d'une conversation n'entre pas dans ce cadre : il n'est pas consigné d'une manière qui puisse être vérifiée ultérieurement.

Un échange de courriels se situe quelque part entre les deux. Les courriels isolés dans lesquels les parties mentionnent certains arrangements concernant le traitement des données ne constituent généralement pas à eux seuls un contrat de traitement complet, car le RGPD impose des exigences relatives au contenu qui ne figurent habituellement pas en totalité dans un tel échange de courriels. Un document écrit ou électronique qui règle complètement ce contenu — et qui a également été échangé par courrier électronique et approuvé mutuellement — peut être considéré comme un contrat de traitement. Il ne s'agit donc pas du moyen de communication lui-même, mais de la question de savoir si tous les éléments obligatoires y figurent et si les deux parties y consentent. Ce qui doit précisément y figurer est décrit à ce qui doit figurer dans un accord de traitement de données.

D'où cela découle de l'article 28 du RGPD

L'article 28, paragraphe 3, du RGPD prévoit que le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique qui lie les parties, et que celui-ci doit être établi par écrit, y compris sous forme électronique. Cette exigence s'applique partout dans l'UE de la même manière, car le RGPD est un règlement qui s'applique directement ; il n'existe pas de possibilité de dérogation à ce titre. Celui qui doute qu'un arrangement existant avec un prestataire satisfasse à cette exigence peut le vérifier au moyen de la vérification sur ou le logiciel utilisé est conforme au RGPD; pour plus de contexte sur les conséquences de l'absence d'un tel contrat, la page sur ce qui se passe en l'absence d'un contrat de traitement avec un prestataireexiste. Pour le texte officiel de l'article lui-même, la source est le RGPD sur EUR-Lex, et pour une explication de la part de l'autorité néerlandaise de contrôle, l'Autorité de protection des données est la source désignée.