Lorsqu’une entreprise agit en qualité de sous-traitant au sens du RGPD, elle traite des données personnelles pour le compte de ses clients, qui sont eux-mêmes responsables de traitement.
En cas de violation de données personnelles, les obligations ne sont donc pas exactement les mêmes pour le sous-traitant et pour le responsable de traitement.
Le responsable de traitement doit, lorsque les conditions sont réunies, notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Le sous-traitant, quant à lui, doit informer le responsable de traitement dans les meilleurs délais après avoir pris connaissance de la violation.
⚠️ Le délai précis à respecter peut également être encadré contractuellement.
Il est donc essentiel de vérifier les clauses relatives aux données personnelles prévues dans les contrats conclus avec chaque client. Selon les contrats, les délais imposés peuvent varier. Solène souligne d’ailleurs qu’ils sont fréquemment compris entre 24 et 72 heures.
Une même violation peut aussi concerner les données de plusieurs clients. Dans ce cas, il faut être capable d’identifier rapidement :
- les clients concernés ;
- les coordonnées à utiliser pour les avertir ;
- le délai contractuel applicable à chacun.
Pour gagner un temps précieux en cas d’incident, il peut être utile de préparer en amont un document recensant ces informations.
Cette organisation évite de devoir rechercher, dans l’urgence, les clauses de chaque contrat alors que les délais de réaction sont très courts.
📩 Vous êtes sous-traitant au sens du RGPD et souhaitez mettre en place ou revoir votre procédure de gestion des violations de données personnelles ? Contactez-moi.