Afin de renforcer la sécurité juridique des contrats publics sur l’application du RGPD pour les acheteurs et les opérateurs économiques, la CNIL a publié un guide comportant des précisions sur les critères de qualification au sens du RGPD et les conséquences qui en découlent lors de la rédaction des documents contractuels.
Cette qualification dépend de l’objet des contrats et de la nature des traitements envisagés. Elle devra intervenir au moment de la définition du besoin et être préalable à toute commande afin de mettre en place les mesures et dispositions contractuelles appropriées.
Pour aider chaque acteur concerné à identifier sa responsabilité dans la gestion des données liées aux marchés publics, la CNIL distingue, par des critères cumulatifs, les hypothèses dans lesquelles :
- L’administration est responsable du traitement et l’opérateur économique est sous-traitant :
- elle s'est spécifiquement intéressée aux objectifs et caractéristiques essentielles du traitement ;
- elle a exigé ou validé la mise en œuvre dans un but précisément identifié ;
- elle organise le traitement pour satisfaire son besoin dont il constitue l'objet même ou un élément clé ;
- L’administration et l’opérateur économique sont responsables conjoints du traitement :
- l’administration est responsable de traitement ;
- l’opérateur économique a exercé une influence décisive sur la définition des objectifs et les conditions de mise en œuvre du traitement en vue de répondre à ses propres besoins, liés à la bonne gestion de son activité ;
- L’opérateur économique est seul responsable du traitement :
- l'exploitation des données transmises ou collectées vient satisfaire ses propres besoins et il a ainsi pu librement définir les objectifs et conditions de mise en œuvre du traitement.
Les conséquences en termes de responsabilité sont variables d’une qualification à l’autre mais d’une manière générale, cela va déterminer dans quelle mesure les parties sont garantes du respect du RGPD.
Lorsque l’administration est responsable du traitement et l’opérateur économique est sous-traitant, l’administration devra notamment vérifier que l’opérateur économique présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées assurant la protection des données recueillies dans le cadre de l’exécution du contrat, ce dernier devant contenir obligatoirement les clauses relatives à la sous-traitance (art. 28 du RGPD).
Lorsque l’administration et l’opérateur économique sont responsables conjoints, ils devront déterminer par voie d’accord leurs obligations respectives et le degré de responsabilité de chacun en la matière (article 26 du RGPD).
Lorsque dans le cadre d’un contrat conclu avec l’administration l’opérateur économique est seul responsable de traitement, la CNIL recommande à l’administration de ne pas se déresponsabiliser totalement quant à la protection des données de ses administrés ou de ses employés. Pour ce faire, il est nécessaire de prévoir une clause générale pointant l’obligation pour l’opérateur économique de veiller au respect des règles en matière de protection des données pour les traitements effectués ce qui permettra d’engager sa responsabilité contractuelle en cas de manquement avéré.
