Faut-il un contrat avec les fournisseurs qui traitent des données pour nous ?
Par Advisorn · mis à jour le 17 octobre 2026 · Art. 9 LPD, art. 28 RGPD
En bref
Oui. Une entreprise peut confier un traitement à un fournisseur (sous-traitant) par contrat, si le sous-traitant ne traite les données que de la manière dont l'entreprise elle-même serait en droit de le faire et en garantit la sécurité (art. 9 LPD). Le sous-traitant ne peut à son tour confier le traitement à un tiers qu'avec l'autorisation préalable de l'entreprise ; avec le RGPD, le contrat doit être écrit et avoir le contenu de l'art. 28 RGPD.
Qui est un sous-traitant
Celui qui traite des données pour votre compte et selon vos instructions : le fournisseur du logiciel de gestion, le service cloud, la fiduciaire qui fait les salaires, l'agence qui envoie les newsletters. Ne l'est pas celui qui décide lui-même comment utiliser les données, comme une banque ou une assurance pour ses propres fins.
Ce qu'il faut mettre dans le contrat
- l'objet, la durée, la nature et la finalité du traitement ;
- l'obligation de suivre vos instructions et de garder le secret ;
- les mesures de sécurité ;
- les règles sur les sous-traitants ultérieurs ;
- l'aide pour répondre aux demandes et gérer les violations ;
- la restitution ou l'effacement des données à la fin.
Questions proches
Informations générales, pas un conseil sur votre cas : pour votre cas, le texte de la loi fait foi. Pour une question sur votre cas, il y a le conseil d'Advisorn.