Article 15. Sous-traitant

Article 15. Sous-traitant

1. La régulation de la relation entre le responsable du traitement et le sous-traitant doit être établie au moyen d'un contrat qui les lie juridiquement et définit la position du sous-traitant. Le contrat ou l'acte juridique doit être établi par écrit et peut revêtir la forme électronique.

2. Conformément à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles, le contrat doit définir l'objet, la durée, la nature et la finalité du traitement, le type de données personnelles et les catégories de personnes concernées, ainsi que les obligations et les droits du responsable.

3. Le mandat doit décrire de manière claire et concrète, avec des instructions précises, les traitements de données que le sous-traitant doit effectuer, le type de service et les modalités de sa prestation. Il doit déterminer de manière claire les communications à des tiers que le responsable confie au sous-traitant ou qui découlent du service fourni. La soumission aux instructions du responsable doit également s'appliquer dans le cas des transferts internationaux de données qui ont lieu du fait de la prestation du service.

4. Le responsable est tenu d'une obligation particulière de diligence dans le choix et la supervision du sous-traitant et ne peut se limiter à une liste dans laquelle il est indiqué si une mesure s'applique ou non. La diligence du responsable est réputée satisfaite par la justification d'une analyse ou d'une évaluation réelle des mesures de sécurité.

5. Compte tenu de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant doivent mettre en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque existant. Les mesures de sécurité concrètes peuvent être déterminées au moyen d'une liste exhaustive ou d'un renvoi à une norme ou à un cadre réglementaire reconnu. L'adhésion à des codes de conduite ou la détention d'un certificat sont des éléments permettant de démontrer le respect de ces conditions requises.

6. Le responsable du traitement et le sous-traitant doivent prendre des mesures afin de garantir que toute personne agissant sous leur autorité et ayant accès à des données personnelles ne puisse traiter ces données que sur instruction du responsable, sauf si elle y est tenue en vertu d'une norme légale.

7. Le régime de sous-traitance ultérieure peut être établi dans le contrat et repose en tout état de cause sur l'autorisation préalable du responsable du traitement. Cette autorisation peut être générale ou spécifique, identifiant l'entité concrète. Si l'autorisation est de caractère général, le sous-traitant doit informer le responsable de l'intégration d'un sous-traitant ultérieur ou du remplacement par d'autres sous-traitants ultérieurs ; il donne ainsi au responsable la possibilité de s'opposer à ces changements. Le sous-traitant ultérieur doit être soumis aux mêmes conditions et aux mêmes formalités que le sous-traitant, en ce qui concerne le traitement approprié des données personnelles et la garantie des droits des personnes concernées. Si le sous-traitant ultérieur ne les respecte pas, le sous-traitant initial demeure pleinement responsable, à l'égard du responsable du traitement, de l'exécution des obligations du sous-traitant ultérieur.

8. Si tout ou partie du mandat repose sur la collecte de données, il incombe au sous-traitant de respecter le droit à l'information des personnes concernées au nom et pour le compte du responsable. Le contrat du sous-traitant doit fixer la forme et le moment selon lesquels cette obligation doit être exécutée.

9. Si tout ou partie du mandat repose sur les obligations relatives à l'analyse d'impact, à la consultation préalable, à la sécurité et à la confidentialité du traitement ou à la notification et à la communication d'une violation de la sécurité des données personnelles à l'autorité de contrôle ou à la personne intéressée, l'exécution de ces obligations est subordonnée à la nature du traitement effectué et aux informations dont dispose le sous-traitant.

10. Lorsque la législation relative aux marchés publics s'applique, il convient également de tenir compte des dispositions spécifiques établies dans le présent Règlement.

11. Le principe d'extraterritorialité permet d'appliquer les obligations du présent Règlement aux sous-traitants qui traitent des données personnelles dans le cadre des activités d'un établissement du sous-traitant en Andorre, que le traitement ait lieu en Andorre ou dans un autre pays. Si l'établissement se trouve hors du territoire andorran, le Règlement s'applique dès lors qu'il offre des biens ou des services à des personnes concernées résidant en Andorre, ou qu'ils contrôlent le comportement de personnes concernées résidant sur le territoire andorran. La transmission de données personnelles dans le cadre d'un accord de sous-traitance à l'étranger est régie par la réglementation établie par la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles pour les transferts internationaux.