AT04 RGPD et marchés publics : adapter ses clauses. À distance

1. Les objectifs du RGPD et la loi du 20 juin 2018 pour le secteur public

Changer les pratiques des acteurs du secteur public en matière de données personnelles pour plus de protection

• La création de moyens lui permettant d'être assistée, alertée et conseillée en cas de violation des règles en matière de protection des données

Passer d'une logique déclarative basée sur des formalités administratives à une logique de responsabilisation de tous les acteurs

Les conséquences pour les partenaires privés

• Être capables de démontrer le niveau optimal de protection des données personnelles

Le renforcement des amendes administratives en cas de violation des règles ou de négligence

Quelles actions mener ?

• Désigner un délégué à la protection des données : quels rôle et responsabilités du DPO ? Qui peut être désigné ?

• Intégrer le principe de protection de données dès la phase de préparation du marché

• Tenir un registre des activités de traitement et des opérations de soustraitance

• Formaliser des politiques de confidentialité pour prouver la conformité de l'établissement au RGPD : audit interne, charte interne, mesures de sécurité…

• L'établissement des éléments de preuves de conformité au règlement européen

• L'obligation de notifier toute violation aux données à caractère personnel

2. Les mesures contractuelles à entreprendre : adapter ses clauses

contractuelles pour assurer une protection optimale des données du cocontractant

Qui est concerné ? Qu'en est-il pour les sous-traitants ?

• Quels sont les droits et obligations du sous-traitant en matière de protection des données ?

• Quelles clauses le responsable du traitement doit-il prévoir dans le contrat de sous-traitance ?

• À quoi s'expose le sous-traitant en cas de négligence ou de faute ?

Décrire concrètement le traitement des données que le fournisseur aura à traiter dans le cadre du marché

• L'objet et la durée du traitement

• La nature et finalité

• Les types de données

Décrypter les obligations du cocontractant dans l'usage des données

• Ne traiter les données que sur instruction de l'acheteur public

• Quelles mesures techniques et organisationnelles prendre afin de garantir un niveau de sécurité adapté au risque ?

• Dans quels cas détruire ou renvoyer sans copie toutes les données personnelles soumises au traitement ?

• Qu'en est-il en cas de demande d'exercice des droits des personnes concernées (droit d'information, droit d'accès, de rectification, d'effacement, d'opposition) ?

3. Quid pour les contrats en cours : La conclusion d'un avenant est-elle nécessaire ?

4. Le traitement  des cas de non-conformité.

Non-conformité totale ou partielle : même traitement ?

Dans quels cas engager la responsabilité du pouvoir adjudicateur ?

• Démontrer le dommage subi

• Prouver une violation du règlement par un responsable du traitement ayant participé au traitement

• Qu'en est-il pour les sous-traitants ?

Quelles sanctions administratives ?

• Une appréciation du montant de l'amende en raison de la nature et de la gravité des faits

Cas pratique : rédaction des clauses sensibles liées à la protection des données personnelles dans vos contrats publics

Cas pratique : rédaction d'un avenant au contrat public liée à la protection des données personnelles

• Cerner la réglementation relative à la protection des données

• Respecter les nouvelles obligations en matière de protection des données

• Anticiper les risques juridiques susceptibles de naître et liés aux données personnelles

• Rédiger les clauses contractuelles pour assurer une protection efficace des données personnelles

• Respecter les nouvelles obligations en matière de protection des données
• Rédiger les clauses contractuelles pour assurer une protection efficace des données personnelles

QCM de début et de fin de formation

Mise en situation et cas pratiques

Tour de table

Evaluation à chaud