Question 1

Que change le RGPD dans la relation avec un fournisseur ?

Accepted Answer

Dès qu'un fournisseur traite des données personnelles pour votre compte, il devient sous-traitant au sens de l'article 4. La relation doit alors être encadrée par un contrat conforme à l'article 28, le traitement inscrit au registre, et le fournisseur évalué sur les mesures de sécurité de l'article 32.

Question 2

Qu'est-ce que le délai de 72 heures ?

Accepted Answer

L'article 33 impose au responsable de traitement de notifier une violation de données à l'autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes. Le sous-traitant, lui, doit alerter le responsable de traitement sans délai injustifié.

Question 3

Quand une analyse d'impact (DPIA) est-elle obligatoire ?

Accepted Answer

L'article 35 l'impose lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, notamment en cas d'évaluation systématique fondée sur un traitement automatisé, de traitement à grande échelle de données sensibles, ou de surveillance systématique à grande échelle d'une zone accessible au public.

Question 4

Faut-il autoriser les sous-traitants ultérieurs de son fournisseur ?

Accepted Answer

Oui. L'article 28 interdit au sous-traitant de recruter un sous-traitant ultérieur sans autorisation écrite du responsable de traitement, et lui impose de répercuter les mêmes obligations contractuelles. Le sous-traitant initial reste pleinement responsable de leur exécution.

Question 5

Quelles sanctions peut prononcer une autorité de contrôle ?

Accepted Answer

L'article 83 prévoit deux plafonds : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations des responsables de traitement et sous-traitants, et 20 millions d'euros ou 4 % pour les manquements aux principes et aux droits des personnes, le montant le plus élevé étant retenu.

Question 6

CISAPP couvre-t-il le délai de notification de 72 heures ?

Accepted Answer

Oui. Le wizard de gravité guide la qualification d'une violation et déclenche le tracker de notification 72 heures vers la CNIL, en liant la violation au traitement, au sous-traitant concerné et aux preuves collectées.

Article	Obligation	Délai ou fréquence
28	Contrat de sous-traitance et encadrement des sous-traitants ultérieurs	À la contractualisation, puis à chaque changement
30	Registre des activités de traitement	Tenu à jour en continu
32	Mesures techniques et organisationnelles appropriées	Réévaluation périodique
33	Notification de violation à l'autorité de contrôle	72 heures après connaissance
34	Communication de la violation aux personnes concernées	Dans les meilleurs délais si risque élevé
35	Analyse d'impact (DPIA)	Avant la mise en œuvre du traitement

RGPD : registre de traitement, DPIA et violations 72h

Que demande le RGPD sur les fournisseurs ?

Quelles obligations, dans quel délai ?

Comment CISAPP relie conformité RGPD et gestion des tiers

FAQ

Sources

Prêt à reprendre le contrôle de votre risque tiers ?