Le sous-traitant et toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel, ne peut pas traiter ces données, excepté sur instruction du responsable du traitement, à moins d'y être obligé par le droit de l'Union ou le droit d'un État membre.
Article 29
Traitement effectué sous l'autorité du responsable du traitement ou du sous-traitant
Questions courantes
Questions fréquemment posées
À qui s'applique l'article 29 du RGPD ?
Il s'applique au sous-traitant et à toute personne agissant sous l'autorité du responsable du traitement ou sous celle du sous-traitant, qui a accès à des données à caractère personnel.
Le critère est l'accès : quiconque travaille sous l'autorité de l'une des deux parties et peut accéder aux données est tenu par la règle.
Existe-t-il une exception à l'exigence d'instruction ?
Oui, une seule. Le traitement sans instruction du responsable du traitement est possible lorsque la personne y est obligée par le droit de l'Union ou le droit d'un État membre.
En dehors de cette obligation légale, l'instruction du responsable du traitement reste la seule base admise par l'article 29.