La notion de sous-traitant est définie par la Règlementation. Il s’agit de « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable de traitement » dans le cadre d’un service ou d’une prestation.  

Par exemple sont des sous-traitants : les prestataires de services informatiques chargés de l’administration, l’hébergement ou de la maintenance, les entreprises de sécurité informatique, les agences de marketing ou de communication qui traitent des données personnelles pour leurs clients…

Les sous-traitants doivent présenter des garanties suffisantes en termes de connaissances spécialisées, de fiabilité et de ressources pour satisfaire aux obligations de la Règlementation.

Un contrat devra être établi entre le responsable de traitement et le sous-traitant afin de déterminer notamment :

• L’objet et la durée de la prestation que le sous-traitant effectue pour le compte du responsable de traitement,
• La nature et la finalité du traitement,
• Le type de données à traiter et les catégories de personnes concernées
• Les obligations et droits du responsable de traitement
• Les obligations et droits du sous-traitant

Le sous-traitant est soumis à des obligations similaires à celles du responsable de traitement : tenir un registre de traitements, désigner un DPO le cas échéant ou réaliser une analyse d’impact.

Article 28 du RGPD – Sous-traitant