Hors collection - Droit des données à caractère personnel - 1re - 196

196

DROIT

DES DONNÉES À CARACTÈRE PERSONNEL

- d'aider le responsable du traitement à respecter ses obligations au titre de l'exigence de sécurité
du traitement de données, de la réalisation d'une analyse d'impact et d'une consultation
préalable73 ;
- de permettre au responsable du traitement de s'acquitter de son obligation de donner suite aux
demandes des personnes concernées exerçant leurs droits74. Pour cela, le sous-traitant doit mettre
en place des mesures techniques et organisationnelles, par exemple par la désignation d'un référent, par la mise en place de procédures par exemple de rectification des données, d'accès ou
encore d'effacement des données ;
- de supprimer les données à caractère personnel transmises par le responsable du traitement ou de
les lui restituer en détruisant les copies existantes75. En d'autres termes, les données traitées
doivent, le cas échéant, être renvoyées au responsable du traitement et, en toute hypothèse, être
effacées par le sous-traitant76. Le RGPD ne précise pas si les données en question sont celles qui
ont été remises initialement par le responsable du traitement ou s'il s'agit également des données
collectées ou créées par le sous-traitant à l'occasion de la mise en œuvre du traitement. Le RGPD
évoque le « renvoi » des données, ce qui fait dire que seules les données initialement transmises
devraient être restituées. Pour autant, le sous-traitant ne détermine ni la finalité ni les moyens
du traitement. De plus, il est possible de considérer que les données raffinées constituent le fruit
des données initialement remises. Enfin, la restitution des données n'a d'intérêt que si celles-ci
sont différentes des données initialement remises puisque le responsable du traitement a vocation
à conserver une version des données. À travers le prisme du droit civil, notons que le sous-traitant n'est que le détenteur précaire des données et a vocation à les restituer tandis qu'un droit de
rétention pourrait être exercé en cas d'inexécution par le responsable du traitement de ses obligations ; toutefois, l'intérêt de ces mécanismes est limité en raison du caractère reproductible des
données. Cela dit, l'obligation du sous-traitant est alternative et laissée au choix du responsable
du traitement. Ce choix peut être fait dès la conclusion du contrat de sous-traitance ou postérieurement au cours de son exécution. L'exécution de l'obligation du sous-traitant intervient au jour
de l'« extinction du contrat », ce qui renvoie logiquement à l'arrivée du terme extinctif, ou à la
résolution du contrat. Par analogie, l'obligation du sous-traitant devrait également trouver à
s'appliquer en cas d'annulation du contrat ;
- de respecter les conditions de recrutement d'un sous-traitant secondaire77 ;
- de mettre à la disposition du responsable du traitement toutes les informations nécessaires pour
démontrer le respect par le sous-traitant de ses obligations et pour permettre la réalisation
d'audit78 et ainsi s'assurer de la conformité du traitement réalisé par le sous-traitant. Le sous-traitant a également un « devoir de conseil »79 auprès du responsable du traitement puisqu'il doit
l'informer si une instruction constitue un manquement aux dispositions applicables au traitement
des données80.
73.
74.
75.
76.
77.
78.
79.
80.

RGPD, art. 28, § 3, f.
RGPD, art. 28, § 3, e.
RGPD, art. 28, § 3, g.
Sauf disposition contraire prévue par le droit de l'Union ou le droit de l'État membre dans lequel le sous-traitant est
établi.
RGPD, art. 28, § 3, d. V. infra, nº 402 à 404.
RGPD, art. 28, § 3, h.
Banck A., « GDPR et sous-traitance : un nouveau devoir de conseil ? », Dalloz IP/IT 2017, p. 36.
RGPD, art. 28, § 3, al. 2.
Hors collection - Droit des données à caractère personnel - 1re

Table des matières de la publication Hors collection - Droit des données à caractère personnel - 1re
