Art. 21 Loi sur la protection des données (LPrD) - Externalisation - Mesures relatives aux données sensibles

1. Le traitement de données personnelles sensibles et le traitement de données qui font l'objet d'une obligation légale ou contractuelle de garder le secret peuvent être externalisés si la confidentialité à l'égard du sous-traitant est assurée de manière que ce dernier ne puisse avoir accès à leur contenu.

2. Lorsque le sous-traitant doit impérativement avoir accès aux données pour des raisons techniques, le contrat d'externalisation fixe les exigences particulières nécessaires, en particulier l'engagement du sous-traitant de n'accéder au contenu des données qu'avec le consentement exprès de l'organe public qui procède à l'externalisation et l'obligation de tenir un journal des accès.

3. Lors de l'externalisation de données soumises à une obligation légale de garder le secret, le responsable du traitement s'assure que le sous-traitant ait le statut d'auxiliaire du détenteur du secret.