Vérification des sous-traitants tiers

Qu'est-ce que Vérification des sous-traitants tiers?

L'article 28 précise que vous ne pouvez utiliser qu'un sous-traitant offrant des garanties suffisantes et que vous restez responsable en cas de défaillance. Le marketing souhaite un nouvel outil d'analyse et l'accord de traitement des données du fournisseur arrive sur le portail d'approvisionnement. Vous trouvez cinq lacunes : une sécurité vague « conforme aux normes de l'industrie », aucun contrôle des sous-traitants secondaires, aucun droit d'audit, un traitement américain sans mécanisme de transfert et aucun délai de suppression. Ensuite, vous les enregistrez dans l'évaluation du fournisseur et envoyez au fournisseur une demande de modification précise.

Ce que vous apprendrez dans Vérification des sous-traitants tiers

• Expliquez pourquoi un responsable du traitement reste responsable de ses sous-traitants en vertu de l'article 28 du RGPD
• Examiner les accords de traitement des données pour connaître les clauses requises, notamment les contrôles des sous-traitants ultérieurs, les droits d'audit et les obligations de suppression.
• Évaluer les mécanismes de transfert de données internationaux d'un fournisseur lorsque l'infrastructure s'étend en dehors de l'EEE
• Identifiez les lacunes courantes du DPA qui créent des lacunes en matière de conformité et négociez les corrections avant de signer.
• Rédigez une demande de modification qui indique à un fournisseur exactement ce que son DPA doit ajouter avant de signer

Vérification des sous-traitants tiers — Étapes de la formation

1. Présentation

   Aujourd'hui, l'équipe marketing a soumis une demande pour intégrer un nouveau fournisseur d'analyse de courrier électronique appelé DataPulse Analytics. Avant qu'un contrat puisse être signé, vous devez examiner leur accord de traitement des données (DPA) pour vérifier leur conformité au RGPD.

2. Comprendre votre responsabilité

   En vertu de l'article 28 du RGPD, les organisations qui utilisent des sous-traitants tiers sont responsables de garantir que ces sous-traitants traitent correctement les données personnelles. Cela signifie : Un accord écrit sur le traitement des données est légalement requis Le DPA doit inclure des clauses obligatoires spécifiques Vous êtes responsable si votre sous-traitant enfreint le RGPD Une diligence raisonnable doit être effectuée AVANT de signer un contrat Votre travail consiste à protéger TechForward des risques de non-conformité en détectant les problèmes avant qu'ils ne deviennent des responsabilités légales.

3. Accéder au portail d'approvisionnement

   Vous recevez une notification indiquant qu'une nouvelle demande de fournisseur est en attente de votre examen. L'équipe marketing est impatiente de commencer à utiliser DataPulse Analytics pour le suivi de sa campagne du premier trimestre. Connectons-nous au portail d'approvisionnement pour examiner la demande et le DPA proposé par le fournisseur.

4. Examen de la demande du fournisseur

   Vous voyez la demande en attente de l’équipe marketing. DataPulse Analytics fournit des analyses de campagnes par e-mail : suivi des taux d'ouverture, des taux de clics et de l'engagement des abonnés. Cela signifie qu'ils traiteront les données personnelles, notamment les adresses e-mail, les données comportementales et potentiellement les informations sur les appareils des clients de TechForward. Le fournisseur a joint son DPA standard. Examinons-le attentivement.

5. Premier drapeau rouge : mesures de sécurité vagues

   Lorsque vous examinez le DPA, le premier problème surgit immédiatement. Sous la section Mesures de sécurité, l’accord stipule simplement : « DataPulse Analytics maintient des mesures de sécurité conformes aux normes de l'industrie pour protéger les données personnelles. » C'est beaucoup trop vague. L’article 32 du RGPD exige des mesures techniques et organisationnelles spécifiques et appropriées – et non des promesses génériques.

6. Deuxième drapeau rouge – Aucune clause de sous-traitant ultérieur

   Poursuivant votre examen, vous recherchez les dispositions relatives aux sous-traitants ultérieurs. Ceci est essentiel car DataPulse utilise probablement des fournisseurs d'infrastructure cloud, des services de livraison de courrier électronique ou d'autres fournisseurs pour exploiter leur plate-forme. Vous ne trouvez... rien. La DPA ne fait aucune mention des sous-traitants ultérieurs. En vertu du RGPD, les sous-traitants doivent obtenir une autorisation avant d'engager des sous-traitants ultérieurs, et tous les sous-traitants ultérieurs doivent être liés par les mêmes obligations en matière de protection des données.

7. Troisième signal d'alarme : aucun droit d'audit

   Vous recherchez des dispositions en matière d'audit et d'inspection - un autre élément obligatoire en vertu de l'article 28. En tant que responsable du traitement, TechForward a le droit de vérifier que les sous-traitants respectent effectivement leurs obligations. Le DPA ne contient aucune disposition relative aux audits. Sans droits d'audit, vous n'avez aucun moyen de vérifier les affirmations de conformité de DataPulse. Vous leur feriez aveuglément confiance.

8. Quatrième drapeau rouge – Problèmes de transfert international

   La DPA mentionne que les données sont traitées sur des serveurs aux États-Unis. Cependant, il n’y a aucune mention de clauses contractuelles types (CCS), de décisions d’adéquation ou de tout autre mécanisme de transfert. Le transfert de données personnelles en dehors de l’EEE nécessite des garanties juridiques spécifiques. Sans eux, ce transfert serait illégal en vertu du chapitre V du RGPD.

9. Cinquième signal d'alarme : Aucune chronologie de suppression de données

   Finally, you check what happens to TechForward's data when the contract ends. The DPA states: 'Upon termination, DataPulse Analytics will delete or return data at the controller's request.' This sounds reasonable at first, but there is no specified timeline. Without a deadline, data could linger on their systems indefinitely. GDPR requires the processor to delete or return the data, at the controller's choice, once the services end - a clear deadline is what makes that enforceable.

10. Documenter votre évaluation

    Vous avez identifié cinq problèmes critiques avec le DPA de DataPulse : 1. Des mesures de sécurité vagues (pas de contrôles techniques spécifiques) 2. Aucune exigence de notification ou d'autorisation du sous-traitant ultérieur 3. Aucun droit d'audit ou d'inspection pour TechForward 4. Transferts internationaux sans CCS ni garanties 5. Aucun délai de suppression des données après la fin du contrat Vous devez maintenant documenter ces conclusions dans le formulaire d'évaluation du fournisseur et spécifier les modifications requises avant que le contrat puisse être exécuté.