Glossaire
Sous-traitant ultérieur
Un sous-traitant ultérieur est, au sens de l'article 28 du RGPD, le prestataire recruté par un sous-traitant pour exécuter tout ou partie d'un traitement de données personnelles pour le compte du responsable de traitement. Son recrutement suppose l'autorisation du responsable de traitement et le transfert des mêmes obligations contractuelles.
Ce qu'impose l'article 28 du RGPD
Le sous-traitant ne peut recruter un sous-traitant ultérieur sans autorisation écrite du responsable de traitement, préalable et spécifique, ou générale à condition d'informer de tout changement envisagé et de laisser la possibilité de s'y opposer. Il doit ensuite lui imposer les mêmes obligations de protection des données que celles qui le lient au responsable de traitement, et il reste pleinement responsable devant ce dernier de l'exécution des obligations du sous-traitant ultérieur.
Conséquence pratique côté acheteur
La liste des sous-traitants ultérieurs n'est pas une information de confort : c'est une pièce du dossier de conformité, à obtenir au moment de la signature du DPA, à consigner dans le registre des traitements et à réexaminer à chaque notification de changement. Elle constitue aussi le point d'entrée le plus fiable vers le risque de quatrième partie : un sous-traitant ultérieur déclaré au titre du RGPD est souvent la même entité que la dépendance technique critique.
Prêt à reprendre le contrôle de votre risque tiers ?
Je suis une entreprise
On vous recontacte sous 24 h