Art. 29 Loi sur l'information du public, la protection des données et l'archivage (LIPDA) - Sous-traitance

1. Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu’un contrat ou la loi le prévoie et que les conditions suivantes soient réunies

a) * seuls sont effectués les traitements que le responsable du traitement serait en droit d’effectuer lui-même;

b) * aucune obligation légale ou contractuelle de garder le secret ne l’interdit.

2. Le contrat, qui doit revêtir la forme écrite, y compris la forme électronique, doit définir l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données personnelles, les catégories de personnes concernées, ainsi que les obligations et les droits du responsable du traitement. Ce contrat prévoit que le sous-traitant

a) n'agit que sur instructions du responsable du traitement;

b) s’engage à respecter la confidentialité;

c) supprime et renvoie au responsable du traitement, selon le choix de ce dernier, toutes les données personnelles au terme de la prestation de services de traitement de données personnelles;

d) met à la disposition du responsable du traitement toutes les informations nécessaires pour apporter la preuve du respect de ses obligations.

3. Le responsable du traitement doit en particulier s’assurer que le sous-traitant est en mesure de respecter les principes énoncés à l’article 18, ainsi que de garantir la sécurité des données personnelles au sens de l’article 21.

4. Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu’avec l’autorisation écrite, y compris la forme électronique, préalable du responsable du traitement (sous-traitance de deuxième rang).

5. Le sous-traitant peut faire valoir les mêmes motifs justificatifs que le responsable du traitement.

6. Le sous-traitant doit tenir un répertoire de tous les traitements effectués pour le compte du responsable du traitement, comprenant

a) l’identité et les coordonnées du sous-traitant et du responsable du traitement;

b) les catégories de traitements effectués pour le compte du responsable du traitement;

c) les destinataires ou les catégories de destinataires des données personnelles, y compris les destinataires dans des pays tiers ou des organisations internationales, pour autant que la communication des données personnelles soit expressément demandée par le responsable du traitement;

d) les mesures visant à garantir la sécurité des données personnelles.

← Art. 28b LIPDA Loi sur l'information du public, la protection des données et l'archivage (LIPDA) - But Art. 30 LIPDA →