Je ne trouve pas choquant qu'un sous-traitant en vienne à manipuler des données personnelles [...]
Bien sûr, ça ne l'est pas. C'est une situation habituelle et bien normale, que le RGPD réglemente aussi. Ce que je voulais dire c'est qu'on passe d'un cas de figure relativement "classique", où une société gère les données personnelles dans le cadre de son service, à un cas de sous-traitance, plus complexe, avec tout ce que le RGPD implique comme contraintes, pour le client et le sous-traitant. On passe d'une série de contraintes "simples" à gérer pour un acteur à un ensemble de contraintes supplémentaires liées à la protection des échanges de données avec le sous-traitant, leur stockage, la stratégie de rétention, les droits d'accès, le respect de la confidentialité...
Le cadre du traitement des données par un sous-traitant est différent de celui où la société traite elle-même ses données. Le premier est plus contraignant que le second. Et dans ce cas-ci, il n'est pas possible de dire si le sous-traitant a eu accès aux données personnelles ou non. C'est un cas de manque de transparence, couvert aussi par le RGPD, si j'ai bonne mémoire.
[^] # Re: Questions
Posté par FantastIX . En réponse au journal Les cons? ça ose tout!. Évalué à 1.
Bien sûr, ça ne l'est pas. C'est une situation habituelle et bien normale, que le RGPD réglemente aussi. Ce que je voulais dire c'est qu'on passe d'un cas de figure relativement "classique", où une société gère les données personnelles dans le cadre de son service, à un cas de sous-traitance, plus complexe, avec tout ce que le RGPD implique comme contraintes, pour le client et le sous-traitant. On passe d'une série de contraintes "simples" à gérer pour un acteur à un ensemble de contraintes supplémentaires liées à la protection des échanges de données avec le sous-traitant, leur stockage, la stratégie de rétention, les droits d'accès, le respect de la confidentialité...
Le cadre du traitement des données par un sous-traitant est différent de celui où la société traite elle-même ses données. Le premier est plus contraignant que le second. Et dans ce cas-ci, il n'est pas possible de dire si le sous-traitant a eu accès aux données personnelles ou non. C'est un cas de manque de transparence, couvert aussi par le RGPD, si j'ai bonne mémoire.