Vos sous-traitants de données, cartographiés et encadrés.

Toute personne ou entreprise qui traite des données personnelles pour votre compte et sur vos instructions (art. 4 du RGPD) : hébergeur, éditeur de logiciel en ligne, cabinet de paie, prestataire d'emailing, centre d'appels. Le critère n'est pas la nature du contrat mais le fait de traiter vos données sans en décider les finalités.

L'article 28 impose un contrat écrit fixant l'objet, la durée, la nature et la finalité du traitement, les catégories de données et de personnes concernées, ainsi que les obligations du sous-traitant : agir sur instruction documentée, garantir la confidentialité, prendre les mesures de sécurité de l'article 32, n'engager de sous-traitant ultérieur qu'avec votre autorisation, aider en cas de demande de droits ou de violation de données, et supprimer ou restituer les données en fin de contrat.

Oui. Dès qu'un prestataire héberge ou consulte vos données depuis un pays tiers, le transfert doit reposer sur un fondement du chapitre V du RGPD : décision d'adéquation, clauses contractuelles types de la Commission européenne ou règles d'entreprise contraignantes. La localisation et la garantie retenue se consignent dans le registre, prestataire par prestataire.

En grande partie, oui. Le responsable de traitement doit choisir un sous-traitant présentant des garanties suffisantes et le démontrer (art. 28.1). Un prestataire mal encadré expose donc les deux parties, et la CNIL a déjà sanctionné des responsables pour la sécurité insuffisante d'un prestataire qu'ils avaient choisi.

À chaque changement : nouveau prestataire, fin de contrat, changement d'hébergement ou de sous-traitant ultérieur. Il n'y a pas d'échéance légale, mais un registre qui ne bouge jamais alors que les outils changent perd toute valeur probante lors d'un contrôle.