Unterauftragsverarbeiter

Que s'applique-t-il aux sous-traitants ultérieurs ?

Le RGPD régit la chaîne à l'art. 28. Le sous-traitant ne peut faire appel à d'autres prestataires qu'avec votre autorisation, soit spécifique au cas par cas, soit générale. En cas d'autorisation générale, il doit vous informer des changements prévus afin que vous puissiez vous y opposer. Le contrat avec le sous-traitant ultérieur doit contenir les mêmes obligations en matière de protection des données que dans le contrat de sous-traitance. Si le sous-traitant ultérieur ne remplit pas ses obligations, le premier sous-traitant est responsable envers vous. Dans le langage courant, on parle aussi de sous-traitants. Cette entrée ne remplace pas un conseil juridique.

Les sous-traitants ultérieurs dans la mise hors service informatique

Plus un support de données passe par d'étapes, plus la chaîne que vous devez surveiller s'allonge. Les questions typiques à poser à un prestataire sont donc : qui transporte les appareils ? Où sont-ils effacés ou détruits ? Qui se charge du recyclage, et seulement après l'effacement ou déjà avant ? Faites-vous communiquer les entreprises impliquées et vérifiez si leurs mesures techniques et organisationnelles sont adaptées. D'autres questions de vérification figurent dans le guide Choisir un prestataire ITAD.

Second IT enlève les appareils avec sa propre logistique sécurisée. L'effacement et la destruction des supports de données ont lieu dans nos locaux à Schwäbisch Hall, sans transport vers des sites externes. Cela maintient la chaîne courte.

Questions fréquentes sur les sous-traitants ultérieurs

Dois-je autoriser chaque sous-traitant ultérieur individuellement ?

Pas nécessairement. Une autorisation écrite générale est également possible. Le sous-traitant doit alors toutefois vous informer de chaque changement prévu afin que vous puissiez vous y opposer.

Un transporteur est-il un sous-traitant ultérieur ?

Cela dépend du cas particulier. S'il transporte des supports de données contenant des données personnelles pour le compte du prestataire, il est souvent qualifié de sous-traitant ultérieur. Clarifiez cette qualification avec votre délégué à la protection des données.

Qui est responsable lorsqu'un sous-traitant ultérieur commet des erreurs ?

À votre égard, c'est le sous-traitant qui a fait appel au sous-traitant ultérieur qui est responsable (art. 28, par. 4, du RGPD).

Qu'est-ce qui distingue un sous-traitant d'un sous-traitant ultérieur ?

Le sous-traitant travaille directement pour le responsable du traitement. Le sous-traitant ultérieur est engagé par le sous-traitant et prend en charge une partie du traitement. Il nécessite votre autorisation écrite préalable et doit satisfaire aux mêmes obligations en matière de protection des données.

Comment vérifier les sous-traitants ultérieurs de mon prestataire ?

Faites-vous communiquer les entreprises impliquées. Demandez qui transporte, où l'effacement ou la destruction a lieu et qui recycle. Vérifiez si leurs mesures techniques et organisationnelles sont adaptées. Plus la chaîne est courte, plus il est facile de garder une vue d'ensemble.