Oui, vous pouvez rédiger vous-même un contrat de traitement des données. Le RGPD n'impose pas de format obligatoire : il n'existe pas de modèle officiel que vous devez utiliser, seulement une série de sujets que le contrat doit de toute façon couvrir. Pour une relation simple avec un seul service clairement défini, sans sous-traitants et sans données transférées en dehors de l'UE, la rédaction personnelle est souvent réalisable en une après-midi.
La question n'est pas tant de savoir si c'est autorisé, mais si la situation est assez simple pour être bien gérée sans aide. Dès qu'il y a plusieurs parties dans la chaîne, que des données sensibles sont traitées, ou que l'autre partie vous envoie son propre projet de contrat qui diffère de ce dont vous avez besoin, la rédaction personnelle devient plus difficile à maîtriser. Dans ce cas, un conseil juridique, ou du moins un examen structuré, est plus judicieux que de remplir un modèle et d'espérer que c'est correct.
Ce qui doit obligatoirement figurer
Quel que soit celui qui rédige le contrat, un contrat de traitement des données couvre une série fixe de sujets. Il y est indiqué quel est le sujet et la durée du traitement, quelles sont les catégories de données à caractère personnel et les personnes concernées impliquées, et quel est l'objectif du traitement. En outre, le contrat stipule que le sous-traitant ne travaille que sur instruction du responsable du traitement, que les employés du sous-traitant sont tenus à la confidentialité, quelles mesures de sécurité s'appliquent, comment les sous-traitants sont engagés et signalés, comment le sous-traitant coopère aux demandes des personnes concernées et aux notifications de violation de données, et ce qu'il advient des données après la fin du contrat. Ces éléments figurent littéralement dans le règlement lui-même ; quiconque les omet dans un projet omet quelque chose qui doit s'y trouver.
Quand la rédaction personnelle fonctionne bien
La rédaction personnelle fonctionne bien lorsque la relation est claire : vous êtes vous-même le responsable du traitement, vous engagez un seul fournisseur pour un seul service délimité, il n'y a pas de sous-traitants connus en dehors de l'UE, et les données ne sont pas particulièrement sensibles. Pensez à un logiciel comptable, un outil de marketing par e-mail ou un système de planification dont le fournisseur propose déjà une version standard. Dans ce cas, votre travail consiste principalement à vérifier si le texte standard couvre les éléments fixes et si les accords conclus correspondent à ce que l'outil fait réellement. Pour ceux qui souhaitent avoir cette clarté pour les outils utilisés quotidiennement, la base de connaissances avec les éléments fixes par situation offre une structure de référence.
Quand la sous-traitance est plus judicieuse
La limite se déplace dès que la chaîne devient plus complexe : plusieurs sous-traitants, transfert vers des pays en dehors de l'UE, traitement de données de santé, données biométriques ou données concernant des mineurs, ou une partie adverse qui fournit son propre projet qui diffère de ce que vous aviez prévu. Dans ces cas, le risque n'est pas que vous n'ayez pas de contrat, mais que vous en signiez ou en rédigiez un qui ne couvre pas ce qui se passe réellement. Un avocat ou un conseiller spécialisé peut alors évaluer si les accords correspondent au flux de données réel, ce qu'un modèle ne fera pas pour vous.
Utiliser un modèle est différent de rédiger soi-même
Il y a une différence entre utiliser un modèle comme point de départ et rédiger complètement un contrat par vous-même. Un modèle vous oblige à passer en revue les éléments fixes, mais ne les remplit pas automatiquement correctement pour votre situation. L'inverse s'applique également à un contrat qu'un client ou un fournisseur vous envoie : il peut sembler complet et pourtant manquer un élément, ou contenir un accord qui ne correspond pas à ce qui se passe réellement en pratique. Les réponses aux questions fréquemment posées à ce sujet, comme ce qu'un client peut raisonnablement exiger et ce qu'il ne peut pas, sont rassemblées dans les questions fréquemment posées sur les accords de traitement des données.
Ce que gdpria.eu y fait
Vérifier un contrat de traitement de données qu'on vous envoie, et rechercher les éléments obligatoires dans la base de connaissances, est gratuit et sans compte. Le système qui l'entoure — l'ensemble de documents avec modèles, la surveillance des contrats en cours et les délais qui y sont associés — se trouve dans l'abonnement. Ce qu'il contient est présenté clairement dans l'aperçu des formules d'abonnement. Nous fournissons à cet égard des explications et une structure, pas des conseils juridiques : vous décidez vous-même si vous établissez vous-même le contrat, utilisez un modèle, ou faites appel à un juriste.
Voulez-vous d'abord voir à quoi cela ressemble en pratique avant de créer quelque chose ? Parcourez les sujets de la base de connaissances, ou créez un compte professionnel pour mettre en place le registre et la surveillance de vos propres contrats de traitement de données.