Lorsqu'une PME confie le traitement de renseignements personnels à un tiers (fournisseur TI, comptable, agence RH), c'est la PME qui demeure imputable devant la loi.

Les contrats sont obligatoires

La Loi 25 exige que cette communication de données fasse l'objet d'un contrat écrit stipulant que le fournisseur :

1. S'engage à prendre les mesures de sécurité appropriées.
2. N'utilisera les données que pour fournir le service demandé.
3. Détruira les données à la fin du contrat.
4. Avertira immédiatement la PME en cas d'incident de confidentialité.

Si vous n'avez pas de tels contrats, Loi25pro inclut des modèles de clauses à ajouter à vos ententes de sous-traitance.