Ce webinar s’adresse à tous à tous ceux qui les sous-traitants qui sont concernés par le RGPD : prestataires de services informatiques, intégrateurs de logiciels sociétés de sécurité informatique, agences de marketing ou de communication, ...

1. RGPD
Impacts et guide pratique pour les sous-traitants

2. Retrouvez un sondage en ligne :
RGPD et sous-traitance 2
Durant ce webinar des
questions vous seront
posées.
• Connectez vous à menti.com
• Rentrez le code : 243773

3. Sommaire
• Qu’est-ce que le RGPD ?
• Êtes-vous sous-traitant au sens du RGPD ?
• Quelles sont les obligations du sous-traitant ?
• Comment se préparer au RGPD ?
• Zoom sur Kiwi Backup
RGPD et sous-traitance 3

4. Partie 1
Qu’est-ce que le RGPD ?
RGPD et sous-traitance 4

5. Petit rappel
historique
• 1995 : l’Europe adopte la
Directive sur la protection des
données
• Directive = 28 lois différentes,
1 pour chaque pays membre
• Lois inadaptées aujourd’hui
• 2016 : Règlement européen
RGPD
• 25.05.2018 : mise en
application RGPD
RGPD et sous-traitance 5

6. RGPD en
bref
Sanctions :
10 millions d’euros ou 2 % du CA
annuel
20 millions d’euros ou 4 % du CA
annuel
Sont concernés : entreprises établies dans l’UE ou traitant
des informations concernant des résidents européens
Responsabilise l’ensemble des acteurs traitant ces données
Renforce les droits des résidents européens sur leurs
données
RGPD : Règlement Général sur la Protection des Données

7. Qu’est ce qu’une
donnée personnelle ?
7
Droits afférents :
• Consentement éclairé
• Accès
• Correction
• Suppression et droit à l’oubli
• Portabilité des données

8. 4 piliers du
RGPD
• Transparence  confiance
• Responsabilité
• Nouveaux droits pour les
consommateurs
• Notification obligatoire des
violations de données
RGPD et sous-traitance 8

9. Partie 2
Êtes-vous sous-traitant au sens du RGPD ?
RGPD et sous-traitance 9

10. Quelles
responsabilités ?
RGPD et sous-traitance 10
Jusqu’au 25 mai A partir du 25 mai
Les obligations de la loi informatiques
et libertés ne s’imposent qu’au
responsable de traitement
Le sous-traitant sera impliqué dans le
traitement des données personnelles
et sera soumis à des obligations
spécifiques
 Notion de co-responsabilité

11. Qu’est ce qu’un sous-traitant ?
RGPD et sous-traitance 11
• Prestataires de
service
• Intégrateurs
• ESN (ex SSII)
• Agences sécurité
informatique
• Agences marketing
et com’
• Editeurs de logiciels
• Fabricants de
matériels

12. Sous-traitant ou responsable de
traitement ?
RGPD et sous-traitance 12
Pourquoi ?
Comment ?
Responsable du traitement
Détermination de la finalité et des moyens Traitements internes (ex : gestion du personnel)

13. Et si la frontière
est mince ?
RGPD et sous-traitance 13
• Niveau d’autonomie du
prestataire ?
• Degré de surveillance de la
prestation par le client
• Niveau d’expertise du
prestataire dans le domaine
• Prestataire connu des
utilisateurs finaux
(transparence)
Analyse d’un faisceau d’indices :

14. Partie 3
Quelles sont les obligations du sous-traitant ?
RGPD et sous-traitance 14

15. Principe général
Lorsque vous intervenez en tant que
sous-traitant dans la mise en œuvre
d’un traitement de données
personnelles, vous devez offrir à votre
client « des garanties suffisantes
quant à la mise en œuvre de mesures
techniques et organisationnelles
appropriées de manière à ce que le
traitement réponde aux exigences du
présent règlement et garantisse la
protection des droits de la personne
concernée » (article 28 du règlement
européen).
Extrait du Règlement européen sur la
protection des données personnelles -
Guide du sous-traitant - Edition
septembre 2017 - CNIL
15

16. Obligation 1 :
Transparence
et traçabilité
Contrat précisant
les obligations de
chaque partie
Instructions écrites
pour tout
traitement sur les
données
Autorisation écrite
pour faire appel à
un sous-traitant
Réalisation de
documentation pour
démontrer le respect de vos
obligations et pour
permettre la réalisation
d’audits
Mise en place d’un
registre qui recense
vos clients et décrit les
traitements effectués

17. Obligation 2 :
Privacy by
design
Privacy by
default
Protection des données intégrée dès la conception
Haut niveau de protection des données garanti
par défaut (finalité, étendue, durée de
conservation, accès aux données)

18. Obligation 2 :
exemples
• de permettre à votre client de paramétrer par défaut et
a minima la collecte de données et ne pas rendre
techniquement obligatoire le renseignement d’un
champ facultatif
• de ne collecter que les données strictement nécessaires
à la finalité du traitement (minimisation des données)
• de purger automatiquement et sélectivement les
données d’une base active à l’issue d’une certaine durée
• de gérer des habilitations et droits d’accès informatiques
« donnée par donnée » ou sur demande des personnes
concernées (pour les réseaux sociaux par exemple)

19. Obligation 3 :
Garantir la
sécurité des
données
traitées
Obligation de confidentialité
pour vos salariés
Notification de toute
violation de données
Niveau de sécurité adapté
aux risques
Suppression des données en
fin de traitement

20. Obligation
4 :
Assistance,
alerte et
conseil
Aide apportée au client pour garantir le respect des
obligations en matière de sécurité du traitement, de
notification de violation de données et d’analyse
d’impact relative à la protection des données
Aide apportée au client lorsqu’une personne exerce
ses droits (accès, rectification, effacement,
portabilité, opposition, …)
Information du client si ses instructions constituent
une violation des règles en matière de protection
des données

21. Partie 4
Comment se préparer au RGPD ?
RGPD et sous-traitance 21

22. Devez-vous désigner un DPO ?
La désignation est obligatoire dans trois cas précis :
RGPD et sous-traitance 22
La désignation d’un DPO est recommandée car elle permet de disposer d’un
expert chargé de la mise en œuvre concrète et du pilotage de la conformité au
règlement européen.
Autorité ou
organisme public
Données sensibles
(pénales ou de santé)
Traitements à
grande échelle

23. Missions du DPO :
RGPD et sous-traitance 23
• Informer et
conseiller le
responsable de
traitement
• Contrôler le
respect du RGPD
• Coopérer avec la
CNIL
• Déterminer les
finalités et les
moyens de
traitement des
données à
caractère personnel

24. Analysez et révisez vos contrats
Vos contrats définissent-ils :
• L’objet et la durée des prestations ?
• La finalité du traitement ?
• Les types de données traitées ?
• Les catégories de personnes concernées ?
• Les droits et les obligations des parties ?
RGPD et sous-traitance 24
Exemples de clauses

25. Exemple de clauses
RGPD et sous-traitance 25
I. Objet
Les présentes clauses ont pour objet de définir les conditions dans lesquelles le sous-traitant s’engage à effectuer pour
le compte du responsable de traitement les opérations de traitement de données à caractère personnel définies ci-
après.
Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en vigueur
applicable au traitement de données à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement
européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018 (ci-après, « le règlement européen sur la
protection des données »).
III. Durée du contrat
Le présent contrat entre en vigueur à compter du […] pour une durée de […].
13. Délégué à la protection des données
Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué à la protection
des données, s’il en a désigné un conformément à l’article 37 du règlement européen sur la protection des données

26. Elaborez un registre des
traitements
• Lister les traitements effectués sur des données personnelles
• Déterminer les catégories de données
• Définir les objectifs des traitements (sauvegarde, envoi emailing, gestion du
personnel,…)
• Lister les acteurs, y compris les sous-traitants
• Déterminer les flux de données
RGPD et sous-traitance 26

27. Mettez en place un plan d’action
de mise en conformité
Pour tous les traitements jugés à risque :
• Quels risques potentiels ? (cf PIA)
• Quel contexte pour le traitement ? Finalité ?
Fonctionnement ?
• Evaluation des risques (vraisemblance, gravité, impacts
potentiels,…)
• Mesures mises en place avec pilote et délai de réalisation
• Analyse des risques résiduels
• Mise en place d’un plan d’action complémentaire
RGPD et sous-traitance 27
Télécharger l’outil PIA de la CNIL

28. Méthode PIA (Privacy Impact Assessment)
RGPD et sous-traitance 28
Source : CNIL

29. Sous-traitant de
2e niveau ?
1. Autorisation écrite obligatoire
• Spécifique
• Générale
2. Obligations héritées par le nouveau
sous-traitant
3. Responsabilité finale du 1er sous-
traitant quoi qu’il arrive
RGPD et sous-traitance 29

30. En synthèse (1/2)
• Nommez un DPO
• Mettez en place vos registres
des traitements (1 pour les
traitements effectués pour
vos clients, 1 pour vos propres
traitements internes)
• Mettez en place le plan
d’action de mise en
conformité notamment pour
éviter toute violation de
données
• Documentez toutes les
actions entreprises pour
répondre au règlement
RGPD et sous-traitance 30

31. En synthèse (2/2)
• Vérifiez vos contrats et faites-
les évoluer avec l’aide d’un
juriste
• Mettez en place des
procédures de
communication avec vos
donneurs d’ordres
(instructions écrites)
• Revalidez toutes vos bases de
données marketing auprès
des personnes concernées
RGPD et sous-traitance 31

32. Sources
• https://www.cnil.fr/fr/reglement-europeen-sur-la-
protection-des-donnees-un-guide-pour-
accompagner-les-sous-traitants
• https://www.cnil.fr/fr/reglement-europeen-
protection-donnees/chapitre4#Article28
• https://www.cnil.fr/sites/default/files/atoms/files/
171002_fiche_risque_fr_cmjk.pdf
RGPD et sous-traitance 32

33. Partie 5
Zoom sur Kiwi Backup
RGPD et sous-traitance 33

34. Conformité de Kiwi Backup vis-à-vis du RGPD
• Refonte complète des conditions générales de vente
• Obligation de confidentialité pour tous les salariés Kiwi Backup
• Chiffrement des données lors du transfert et du stockage
• Hébergement des données chez OVH France (données classiques
et de santé)
• Les restaurations de données de santé sont sécurisées par une
double authentification
• Historique long (90 jours)
• Réception de notifications par mail (alertes/synthèses)
• Logs par machine accessibles via l’interface d’administration
• Pas de portabilité mais 3 mois de conservation permettent de
reconstruire l’historique des sauvegardes chez un confrère sans
risque de perte de données
• Suppression complète des données 3 mois après la cessation de
contrat
RGPD et sous-traitance 34
https://www.cnil.fr/sites/default/files/atoms/files/cnil_guide_securite_personnelle.pdf

35. Interface utilisateur
RGPD et sous-traitance 35

36. Interface utilisateur
RGPD et sous-traitance 36

37. Connexion à l’interface d’administration
RGPD et sous-traitance 37
Accès à l’interface
d’administration sécurisé par un
ID/mot de passe personnalisé

38. Tableau de bord
RGPD et sous-traitance 38

39. Contrats enregistrés dans un espace
RGPD et sous-traitance 39

40. Contact
 03 89 333 888
 stephanie@kiwi-backup.com
 www.kiwi-backup.com
https://www.facebook.com/kiwib
ackup
4
0