Freelance sous-traitant RGPD : le contrat de l'article 28

Êtes-vous sous-traitant ?

Le client décide pourquoi et comment ses données sont traitées : il est responsable du traitement. Vous les traitez pour son compte, selon ses instructions : vous êtes sous-traitant. C'est le cas du développeur qui maintient un site avec des comptes clients, de l'intégrateur d'un CRM, du freelance qui gère une newsletter ou des campagnes, de l'assistant qui tient un fichier de contacts.

Ce que le contrat doit contenir (art. 28 §3)

• l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées ;
• le traitement uniquement sur instruction documentée du client ;
• la confidentialité des personnes autorisées ;
• les mesures de sécurité de l'article 32 ;
• les conditions de recours à un autre sous-traitant (votre hébergeur, votre outil d'e-mailing) : autorisation écrite préalable ;
• l'aide au client pour répondre aux demandes des personnes et pour la sécurité ;
• la suppression ou la restitution des données en fin de mission ;
• la mise à disposition des informations nécessaires aux audits.

Vos obligations propres

Le sous-traitant a ses propres obligations, sanctionnables par la CNIL : tenir un registre des traitements effectués pour le compte de ses clients (art. 30 §2), sécuriser les données, alerter le client en cas de violation dans les meilleurs délais pour qu'il puisse notifier la CNIL sous 72 heures (art. 33). En pratique : des accès nominatifs, un gestionnaire de mots de passe, des échanges chiffrés, et pas de copie de la base sur votre ordinateur « pour tester ».

Et vos propres outils ?

Votre hébergeur, votre outil d'envoi d'e-mails, votre service de sauvegarde sont vos sous-traitants ultérieurs : listez-les dans l'accord, avec leur pays. Un outil hors de l'Union européenne suppose des garanties de transfert.