À quelles conditions peut-on confier des données personnelles à un sous-traitant ?

Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu’un contrat ou la loi le prévoie. Cette sous-traitance suppose aussi que deux conditions soient réunies: seuls sont effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même, et aucune obligation légale ou contractuelle de garder le secret ne l’interdit. Il faut donc vérifier à la fois la base qui permet de recourir au sous-traitant et la concordance entre les opérations confiées et celles que le responsable du traitement peut accomplir lui-même, ainsi que l’absence d’un devoir de secret qui ferait obstacle à cette transmission.^[1]

Le responsable du traitement doit en particulier s’assurer que le sous-traitant est en mesure de garantir la sécurité des données. Si le sous-traitant veut lui-même sous-traiter un traitement à un tiers, il ne peut le faire qu’avec l’autorisation préalable du responsable du traitement. Le sous-traitant peut faire valoir les mêmes motifs justificatifs que le responsable du traitement. Il convient donc de contrôler la capacité du sous-traitant à assurer la sécurité des données et d’encadrer toute sous-traitance ultérieure par une autorisation préalable.^[1]

Cette réponse résume le texte légal cité tel qu’il est publié sur Fedlex. Il faut vérifier la disposition en vigueur au moment d’agir ainsi que toute modification ultérieure.^[1]