Politique de gestion des sous-traitants, des sous-traitants ultérieurs et des tiers en matière de protection des données

La politique de gestion des sous-traitants, des sous-traitants ultérieurs et des tiers en matière de protection des données définit comment une organisation gouverne les parties externes qui traitent, accèdent, reçoivent, stockent, transmettent, prennent en charge ou traitent autrement des données à caractère personnel dans le domaine d’application du système de management des informations relatives à la vie privée. Elle s’applique lorsque l’organisation agit en tant que responsable du traitement qui utilise des sous-traitants, en tant que responsable conjoint du traitement nécessitant une classification des rôles, en tant que sous-traitant qui utilise des sous-traitants ultérieurs ou des sous-contractants, et en tant que sous-traitant ultérieur recevant des instructions du client. La politique couvre également les relations avec des tiers nécessitant une diligence raisonnable en matière de protection des données, des contrôles contractuels, des instructions documentées, l’approbation des sous-traitants ultérieurs, la surveillance, l’assurance, l’interface avec les incidents, le lien avec les transferts, ainsi que des éléments de preuve de restitution, de suppression ou de sortie. Une caractéristique centrale de la politique est son recours à REG08 — registre des sous-traitants, des sous-traitants ultérieurs et du partage de données — comme élément de preuve principal pour la gestion des sous-traitants, des sous-traitants ultérieurs et des tiers en matière de protection des données. La politique exige que le responsable de la protection des données / responsable du PIMS définisse les champs REG08 minimaux et classe les relations avec un tiers en matière de protection des données comme responsable du traitement, responsable conjoint du traitement, sous-traitant, sous-traitant ultérieur ou autre relation avec un tiers avant l’approbation du contrat ou avant le début du traitement des données à caractère personnel. Elle exige également que le responsable fournisseurs / achats bloque l’intégration, le renouvellement ou l’extension tant que REG08 n’est pas complété et relié aux enregistrements tels que REG02, REG04, REG09 ou REG10 lorsque ces éléments de preuve sont déclenchés. Cela crée un lien documenté entre la gouvernance des relations, l’inventaire des traitements, les enregistrements de risques et de DPIA, les éléments de preuve relatifs aux transferts internationaux, les enregistrements d’incidents et les actions correctives. La politique fixe des exigences détaillées en matière de diligence raisonnable, d’appréciation des risques et de contrôle contractuel. La diligence raisonnable en matière de protection des données doit être réalisée avant de sélectionner, renouveler ou modifier substantiellement une relation avec un sous-traitant, un sous-traitant ultérieur ou un tiers qui traite des données à caractère personnel ou y accède. Les éléments de preuve d’assurance de sécurité doivent être revus par le responsable de la sécurité de l’information avant approbation, et les relations à haut risque avec des sous-traitants ou les modifications substantielles d’une relation avec un tiers en matière de protection des données déclenchent une appréciation des risques relatifs à la vie privée et un examen préalable à la DPIA dans REG04. Les contrôles relatifs aux contrats et aux instructions documentées sont séparés pour les contextes de responsable du traitement et de sous-traitant. Lorsqu’elle agit en tant que responsable du traitement, l’organisation doit enregistrer un contrat écrit de sous-traitance ou un accord contraignant équivalent avant qu’un sous-traitant ne traite des données à caractère personnel. Lorsqu’elle agit en tant que sous-traitant, les accords clients ou les instructions documentées des clients doivent définir le périmètre de traitement autorisé avant le traitement des données à caractère personnel des clients. La politique exige également une couverture contractuelle pour l’assistance, l’assurance de sécurité, l’interface avec les incidents via PII15, la restitution ou la suppression via PII10, le lien avec les transferts via PII13, ainsi que la coopération en matière d’audit ou d’assurance. La gouvernance des sous-traitants ultérieurs et des sous-contractants est traitée au moyen d’exigences spécifiques d’approbation, de notification, d’obligations répercutées et de surveillance. Le responsable fournisseurs / achats doit tenir à jour dans REG08 une liste des sous-traitants ultérieurs et des sous-contractants, vérifier l’autorisation du client avant l’engagement, notifier les clients des nouveaux sous-traitants ultérieurs ou des remplacements envisagés conformément à l’accord applicable, et s’assurer que les obligations répercutées en matière de protection des données, de sécurité, d’assistance, de restitution, de suppression, d’interface avec les incidents et de lien avec les transferts sont en place avant qu’un sous-traitant ultérieur ne traite des données à caractère personnel. Les notifications de changement de sous-traitant ultérieur côté responsable du traitement doivent également être suivies, avec les décisions d’approbation, d’opposition ou d’escalade enregistrées dans REG08 dans le délai contractuel d’opposition ou dans les 10 jours ouvrés suivant la réception de la notification, selon le délai le plus court. La politique complète le cycle de vie par la surveillance continue, la gestion de l’assistance, l’enregistrement des divulgations, les liens avec les incidents, les liens avec les transferts, les éléments de preuve de sortie, les exceptions, l’application et la revue. Les relations à haut risque avec des sous-traitants et des sous-traitants ultérieurs sont surveillées trimestriellement, tandis que les autres relations actives avec des sous-traitants et des sous-traitants ultérieurs traitant des données à caractère personnel sont surveillées annuellement. Les demandes d’assistance relatives aux droits de la personne concernée, aux DPIA, aux éléments de preuve de sécurité, aux audits ou à l’assurance demandée par les clients doivent être coordonnées via REG08 et reliées à REG06, REG04 ou REG12 lorsque cela s’applique. Les notifications d’incidents relatifs à la protection des données liés aux fournisseurs sont orientées vers REG10 au titre de PII15 dans un délai d’un jour ouvré, et les éléments de preuve de restitution, de suppression, d’élimination ou de transition doivent être obtenus dans les 30 jours suivant la résiliation, l’expiration, l’instruction du client ou l’événement de sortie approuvé, sauf si une période contractuelle plus courte s’applique. Les exceptions sont limitées dans le temps, exigent une évaluation de l’impact sur la vie privée et peuvent nécessiter l’approbation du Top Management lorsqu’elles affectent un traitement à haut risque, des éléments de preuve contractuels manquants, des lacunes de lien avec les transferts ou le périmètre de certification.