Droit et facturation
Responsable du traitement, sous-traitant et le DPA
Sous le RGPD, le client qui décide quoi faire des données personnelles est le responsable du traitement ; l'hébergeur qui les stocke pour son compte est le sous-traitant ; le DPA est le contrat entre les deux.
Le RGPD attribue des rôles. Le responsable du traitement décide pourquoi et comment les données personnelles sont traitées : l'entreprise qui exploite un site web ou une boîte aux lettres. Le sous-traitant manipule les données sur instruction du responsable : l'hébergeur qui les stocke. Chacun a des obligations ; celles du responsable sont plus larges, celles du sous-traitant portent surtout sur la sécurité, la confidentialité et le fait de ne faire que ce qui lui est demandé.
L'article 28 exige un contrat écrit entre les deux, l'accord de traitement des données (DPA). Il définit ce qui est traité, pour combien de temps, les mesures de sécurité, ce qui se passe à la fin, et quels sous-traitants ultérieurs le sous-traitant peut engager. Le DPA d'un hébergeur devrait être publié et lister ses sous-traitants ultérieurs, parce que chacun d'eux est une société susceptible de toucher à vos données.
Pour un client, les vérifications pratiques sont : y a-t-il un DPA, qui figure sur la liste des sous-traitants ultérieurs, où les données sont-elles traitées, et sous quel droit. Une liste courte et une seule juridiction font du registre des traitements une entrée brève.