La CNIL vient de publier un nouveau guide relatif à la responsabilité des acteurs dans le cadre de la passation de contrat de la commande publique en matière de protection des données personnelles.
Dans celui-ci, la CNIL préconise aux acheteurs de mener en amont de la conclusion de marchés publics ou de concessions, leur réflexion sur les obligations imposées par le RGPD et sur les responsabilités qui en découlent ; les éléments du contrat devant refléter ces dernières. En dernière page, la CNIL définit sous la forme d’un schéma clair les obligations du "responsable des données", de son "sous-traitant" ou du "responsable conjoint".
Ainsi, selon l’intérêt porté par l’administration en matière de protection des données ou les conditions de mise en œuvre, la responsabilité incombera différemment à cette dernière ou à l’opérateur économique.
- Lorsque « l’objet même du contrat est la mise en œuvre d’un traitement de données, dont les caractéristiques sont alors encadrées dans ce contrat » ou lorsque « l’administration a initialement exigé, dans le cadre de la fourniture du bien, du service ou des travaux prévue par le contrat, le déploiement du traitement, en le visant dans le cahier des charges définissant la nature et l’étendue des besoins à satisfaire »: dans ce cas l’administration est responsable du traitement et l’opérateur économique est sous-traitant ;
Dans ces ces deux cas, il est fait application de l’article 28 du RGPD, l’administration devant vérifier que l’opérateur présente « des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées » assurant la protection des données recueillies dans le cadre de l’exécution du contrat, ce dernier devant contenir obligatoirement les clauses relative à la sous-traitance.
- Lorsque « l’administration a porté une attention particulière aux objectifs et conditions de traitement des données personnelles, en validant celles proposées par l’opérateur économique » : dans ce cas l’administration et l’opérateur économique sont responsables conjoints du traitement et doivent à ce titre déterminer leurs obligations respectives et le degré de responsabilité de chacun en la matière (article 26 du RGPD).
- A l’inverse, lorsque le traitement de données n’est pas régi par le contrat et n’a pas été prévu par l’administration, l’opérateur public en est l’unique responsable.
Dans ce cas, la CNIL recommande à l’administration de prévoir dans le contrat « une clause générale pointant l’obligation pour l’opérateur économique de veiller au respect des règles en matière de protection des données » dans le cadre de l’exécution du contrat.
