RGPD : quelles obligations entre responsable de traitement et sous-traitant ?
RGPD : quelles obligations entre responsable de traitement et sous-traitant ?
Cybersécurité > RGPD
Objectifs
- Comprendre la distinction entre responsable de traitement et sous-traitant.
- Identifier les obligations respectives prévues par le RGPD.
- Sécuriser les relations contractuelles avec les sous-traitants.
- Mettre en conformité les contrats (clauses RGPD, sous-traitance informatique, SaaS…).
- Contrôler la conformité des prestataires et sous-traitants.
- Comprendre la chaîne de responsabilité et les risques juridiques.
- Mettre en place les bonnes pratiques de documentation et de sécurité des données.
Le programme de la formation
Comprendre les fondamentaux du RGPD appliqués aux relations contractuelles
Rappel des notions clés : donnée personnelle, traitement, consentement
Privacy by design / privacy by default
Accountability (responsabilisation) et sécurité des systèmes d’information
Droits des personnes concernées
Responsable de traitement vs coresponsabilité
Sous-traitant, sous-traitant en chaîne et prestataire de service : distinctions essentielles
Le cadre juridique des relations responsable de traitement / sous-traitant
Le contrat de sous-traitance au sens RGPD (article 28)
Obligations de conformité partagée
Responsabilités juridiques en cas de manquement
Notion de chaîne de responsabilité et sous-traitance en cascade
Différences entre sous-traitance RGPD et sous-traitance commerciale
Obligations du responsable de traitement
Identifier et cartographier les sous-traitants
Choisir des prestataires conformes au RGPD
Évaluer les garanties techniques et organisationnelles
Encadrer contractuellement la relation (clauses obligatoires)
Négocier et sécuriser les contrats informatiques (SaaS, éditeurs, intégrateurs…)
Documentation et preuve de conformité (accountability)
Obligations du sous-traitant
Respect strict des instructions du responsable de traitement
Mise en place d’un registre des activités de traitement
Sécurisation des données et gestion des risques
Notification des violations de données personnelles
Gestion des sous-traitants ultérieurs (sous-traitance en chaîne)
Encadrement des transferts de données hors Union européenne
Désignation éventuelle d’un DPO
Gestion des contrats et sécurisation des relations
Clauses RGPD obligatoires dans les contrats
Audit et contrôle des sous-traitants
Revue et renégociation des contrats existants
Engagements de conformité et documentation contractuelle
Cas des prestataires de services numériques (ESN, SaaS, cloud)
Responsabilités et gestion des risques
Responsabilité du responsable de traitement
Responsabilité du sous-traitant
Cas de coresponsabilité
Sanctions et risques en cas de non-conformité
Bonnes pratiques pour limiter les risques juridiques et financiers
Public et Pré-requis de la formation
Responsables et collaborateurs des services juridiques, Responsables et collaborateurs des services informatiques, Responsables de la sécurité des systèmes d’information. Toute personne impliquée dans la gestion ou la sous-traitance de données personnelles.
Méthode pédagogique de la formation
Apports théoriques structurés et vulgarisés du RGPD.
Exercices pratiques de cartographie des sous-traitants.
Échanges d’expérience et cas des participants