En France, il est entré en vigueur depuis le 25 mai 2018. Le Règlement Européen Général sur la Protection des Données (RGPD) vise la protection des données personnelles dans un contexte où le besoin de sécurité des personnes est le plus intense. Depuis son avènement, les responsable du traitement des données dans le secteur de la commande publique sont soumis à de nouvelles obligations au regard de la loi. Quelles sont ces obligations ?
Tous les contrats doivent contenir des clauses relatives au traitement des données personnelles
Parce qu’il est l’autorité publique en charge du marché, l’acheteur public est le premier responsable du traitement des données personnelles dans les marchés publics. Le titulaire du marché étant son sous-traitant, ce dernier devra assurer pour son compte la protection des données personnelles. En conséquence, chaque contrat passé doit contenir une clause spécifiant les modes et moyens de traitement des données personnelles.
Evidemment pour les contrats passés avant le 25 mai 2018, date d’entrée en vigueur du RGPD, les parties doivent conclure un avenant en vue de prendre en considération la nouvelle réglementation européenne dans les contrats initiaux.
Les contrats de sous-traitance des données personnelles doivent être autorisés par l’acheteur public
À moins que l’acheteur lui ait déjà accordé une autorisation générale dans le CCAG, lorsque le titulaire d’un marché publique décide de prendre un sous-traitant ou de remplacer un sous-traitant par un autre qui devra traiter des données personnelles, obligation lui est faite de recevoir l’avis favorable de l’acheteur public au préalable, à travers une déclaration de sous-traitance.
La sous-traitance aura lieu à la condition que l’acheteur public donne son accord ou s’il n’exprime pas son désaccord dans un délai de 21 jours à compter de la date de déclaration de la sous-traitance.
Cas des achats mutualisés : préciser les responsabilités de chaque partie
Dans les cas d’achats mutualisés, les acheteurs sont considérés conjointement responsables du traitement. A ce titre, ils devront établir de façon claire et précise la part de responsabilité de chacun relativement au traitement des données.
