Sous-traitant (RGPD)
Le sous-traitant, au sens du RGPD, est la personne physique ou morale, l’autorité publique, le service ou l’organisme qui traite des données à caractère personnel pour le compte du responsable de traitement (article 4, point 8, du règlement (UE) 2016/679).
Le traitement confié à un sous-traitant doit être régi par un contrat ou un autre acte juridique écrit, y compris sous forme électronique (article 28, paragraphes 3 et 9). Cet acte précise l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées. Il prévoit notamment que le sous-traitant ne traite les données que sur instruction documentée du responsable (article 28, paragraphe 3).
La CNIL range parmi les sous-traitants les prestataires informatiques, dont l’hébergement et la maintenance. Elle ne cite pas nommément l’éditeur de logiciel. Le rôle dépend donc de ce que fait réellement l’éditeur pour la clinique : hébergement, accès à distance, maintenance.
Lorsque l’éditeur traite les données de la clinique pour le compte de celle-ci, un contrat conforme à l’article 28 est nécessaire.
Sources
Voir aussi
- RGPD en clinique vétérinaire Le RGPD (règlement (UE) 2016/679) s'applique aux données personnelles des propriétaires et détenteurs d'animaux qu'une clinique vétérinaire collecte : identité, coordonnées, factures, rappels et communications.
- HDS La certification HDS est la certification que doit détenir l’hébergeur de données de santé à caractère personnel sur support numérique, pour le compte d’un responsable de traitement ou d’un patient, en application de l’article L.1111-8 du code de la santé publique.