Sous-traitant

L’article 4, point 8 du RGPD définit le sous-traitant comme la personne physique ou morale qui traite des données personnelles pour le compte du responsable du traitement. Le sous-traitant ne décide ni pourquoi ni comment les données sont utilisées ; il suit les instructions du responsable dans le cadre d’un contrat écrit (article 28), sécurise les données, aide le responsable à répondre aux demandes d’exercice des droits et aux obligations en cas de violation, ne recourt à des sous-traitants ultérieurs qu’avec autorisation, et supprime ou restitue les données à la fin. Un sous-traitant qui se met à utiliser les données pour ses propres finalités devient responsable de traitement pour cet usage. La LGPD brésilienne l’appelle operador, la POPIA operator ; le CCPA californien connaît les notions comparables de service provider et de contractor.

Pour un site web, les sous-traitants typiques sont l’hébergeur, la plateforme de gestion du consentement, un service d’e-mails transactionnels, un widget de support et les outils de mesure d’audience configurés pour ne travailler que pour le site. Les plateformes publicitaires, les réseaux sociaux et les courtiers en données traitent généralement les données aussi pour leurs propres finalités : ils sont donc responsables ou responsables conjoints, quel que soit le nom que leurs conditions leur donnent. Savoir si un fournisseur est un sous-traitant compte pour les cookies : en Californie, les données envoyées à un véritable service provider ne constituent pas une vente ni un partage, alors que celles envoyées à un partenaire publicitaire en sont.

Le contrat qui régit la relation est l’accord de traitement des données. Cookiequiet agit comme sous-traitant pour les enregistrements de consentement qu’il stocke pour un site.