Tout d’abord, votre client est le responsable de traitement. C’est donc lui qui va réaliser l’AIPD comme prévu à l’article 35 du RGPD.
Par contre, vous, en tant que sous-traitant devez aider à la réalisation de la démarche AIPD en donnant toutes les informations que vous détenez, dont le responsable de traitement a besoin. Pour respecter le cadre réglementaire, il vous faut préciser la bonne pratique dans le contrat que vous, sous-traitant, signez avec votre client, le responsable de traitement.
Sources :
- Articles 35 et 28.3.f du RGPD
- Lignes directrices du G29 relatives à l'analyse d'impact
Mon avis de DPD/DPO
Préparer une procédure d'assistance à l'AIPD du sous-traitant. Cette procédure permet de mener à bien la démarche dans de bonnes conditions.
Le sous-traitant, c’est la personne physique ou morale de droit public ou de droit privé qui traite des données à caractère personnel pour le compte du responsable du traitement. Le sous-traitant est une personne juridique distincte du responsable de traitement qui est le client. La loi impose un contrôle effectif sur le sous-traitant de la part du responsable de traitement.
Par exemple, GPLExpert, l'hébergeur de données de santé certifié pour le compte d'InterHop, est sous-traitant d'InterHop.
Pour rappel :
- La personne physique c’est « Prénom NOM d’une personne » ;
- La personne de droit privé, c’est une association à but non lucratif ou une entreprise à but lucratif ;
- La personne de droit public, c’est l’État ou les Collectivités territoriales ou encore les établissements publics, les Groupements d’Intérêt Public ;
Mon avis de DPD/DPO
En tant que sous-traitant, il est nécessaire de veiller à vos obligations. La CNIL peut prononcer de lourdes sanctions aux sous-traitants non respectueux de leurs obligations.