Qu'est-ce qui doit figurer dans une clause contractuelle de traitement de données ?

Ce qu'un contrat de traitement des données doit couvrir

Un contrat de traitement des données doit décrire ce que le sous-traitant fait pour le responsable du traitement avec les données personnelles, et dans quelles conditions. Cela commence par l'essentiel : l'objet et la durée du traitement, sa nature et son objectif, le type de données personnelles concernées, et les catégories de personnes concernées. Sans cette description, il est impossible de vérifier si un prestataire respecte les accords.

En outre, un certain nombre d'obligations qui découlent directement du RGPD doivent y figurer. Le sous-traitant ne traite les données que sur la base d'instructions écrites du responsable du traitement, veille à ce que les personnes qui traitent les données soient liées par une obligation de confidentialité, et met en place des mesures de sécurité appropriées. Il faut également prévoir ce qui se passe si le sous-traitant fait appel à un tiers (un sous-traitant ultérieur), comment le sous-traitant aide aux demandes des personnes concernées et à la notification des violations de données, et ce qu'il advient des données une fois que la prestation de services prend fin — destruction ou restitution. Il est souvent stipulé aussi que le responsable du traitement peut vérifier si les accords sont respectés, par exemple par audit.

D'où cela découle : article 28 du RGPD

Cette énumération découle directement de l'article 28 du RGPD, qui décrit spécifiquement ce qu'un contrat de traitement des données doit contenir lorsqu'un responsable du traitement fait appel à un sous-traitant. Les lignes directrices de l'EDPB fournissent des précisions supplémentaires sur la manière dont ces dispositions peuvent être mises en œuvre dans la pratique, par exemple lors de l'évaluation des mesures de sécurité ou du recours à des sous-traitants ultérieurs. Pour le libellé exact de chaque obligation, le texte de l'article 28 lui-même reste le point de départ.