Art. 37 Loi sur la protection des données (LPrD) - Responsabilité - Sous-traitance

1. L'organe public qui fait traiter des données personnelles par un sous-traitant demeure responsable des obligations prévues par la législation en matière de protection des données.

2. Le traitement de données personnelles peut être confié à un sous-traitant pour autant qu'un contrat ou une convention le prévoie et que les conditions suivantes soient réunies

a) seuls sont effectués les traitements que le responsable du traitement serait en droit d'effectuer lui-même;

b) aucune obligation légale ou contractuelle de garder le secret ne l'interdit;

c) le sous-traitant n'est pas autorisé à confier à son tour le traitement à un tiers sans l'autorisation préalable du responsable du traitement.

3. Le responsable du traitement doit en particulier s'assurer que le sous-traitant est en mesure de garantir la sécurité des données.

4. Le sous-traitant peut faire valoir les mêmes motifs justificatifs que le responsable du traitement.

5. A moins que la loi ou une convention entre organes n'en dispose autrement, les règles en matière de sous-traitance ne s'appliquent pas entre organes appartenant à une même collectivité. L'article 36 al. 2 est applicable.

← Art. 36 LPrD Loi sur la protection des données (LPrD) - But Art. 38 LPrD →