RGPD dans un marché public : quelles obligations pour le titulaire qui traite des données ?

Le RGPD marché public devient très concret dès que le titulaire manipule des données personnelles pour le compte de l’acheteur. C’est le cas d’un éditeur de logiciel, d’un prestataire de téléservices, d’une entreprise de transport scolaire ou d’un cabinet qui mène une enquête auprès des habitants. Pourtant, beaucoup de marchés se contentent d’une phrase générale sur la protection des données. Or, les CCAG de 2021 contiennent une clause précise, et le règlement européen impose des obligations détaillées. Cet article s’adresse d’abord aux entreprises titulaires, mais aussi aux acheteurs qui rédigent les pièces. Il présente les rôles de chacun, les obligations du titulaire et les clauses à prévoir.

RGPD marché public : qui est responsable de quoi ?

Dans la plupart des marchés, l’acheteur décide pourquoi et comment les données sont traitées. Il agit donc comme responsable du traitement. Le titulaire traite les données pour son compte et selon ses instructions. Il agit alors comme sous-traitant au sens du RGPD.

Attention au vocabulaire. Le « sous-traitant » du RGPD n’a rien à voir avec la sous-traitance d’un marché public. Ainsi, le titulaire est sous-traitant au sens du RGPD même s’il exécute seul le marché. En revanche, si ce titulaire confie une partie du traitement à une autre entreprise, celle-ci devient un sous-traitant ultérieur.

Pour qualifier les rôles, la CNIL a publié un guide sur la responsabilité des acteurs dans la commande publique.

Ce que prévoit l’article 5.2 des CCAG

Les six CCAG de 2021 comportent un article 5.2 consacré aux données à caractère personnel. C’est notamment le cas du CCAG-FCS et du CCAG-Travaux. Chaque partie doit respecter la réglementation européenne et française. De plus, toute transmission de données à des tiers non conforme à cette réglementation est interdite.

Lorsque le titulaire traite des données pour le compte de l’acheteur, les documents particuliers doivent préciser plusieurs points :

• la finalité, la description et la durée du traitement ;
• les obligations de chaque partie, dont l’information de l’acheteur en cas de difficulté ;
• la prise en compte des droits des personnes concernées ;
• les mesures de sécurité et la notification des violations de données ;
• la durée de conservation et le sort des données à la fin du marché.

Par ailleurs, en cas d’évolution des règles, les adaptations passent par un avenant. À défaut d’accord, l’acheteur peut procéder à une modification unilatérale. Enfin, les documents particuliers prévoient des pénalités, et un manquement peut justifier une résiliation pour faute.

Les obligations concrètes du titulaire

L’article 28 du RGPD fixe le socle des obligations du sous-traitant. D’abord, le titulaire agit uniquement sur instruction documentée de l’acheteur. Ensuite, il garantit que les personnes autorisées à traiter les données respectent la confidentialité. Il met aussi en place des mesures de sécurité adaptées aux risques.

De plus, il aide l’acheteur à répondre aux demandes des personnes, par exemple une demande d’accès. Il l’informe dans les meilleurs délais en cas de violation de données. Enfin, au terme du marché, il restitue ou supprime les données, selon le choix de l’acheteur, et il tient à sa disposition les informations utiles pour un audit.

RGPD marché public : faire appel à un sous-traitant ultérieur

Le titulaire ne peut pas recruter librement un autre prestataire pour traiter les données. Il lui faut en effet l’autorisation écrite préalable de l’acheteur. L’hébergeur, le support informatique ou un éditeur tiers entrent souvent dans ce cas.

Cette autorisation se prépare dès l’offre. Ainsi, l’entreprise liste ses prestataires dans son mémoire technique. Si elle déclare en outre un sous-traitant du marché, elle suit les règles propres à la sous-traitance, présentées dans notre article sur le contenu de l’acte spécial.

Cas pratique : le prestataire d’un portail de démarches en ligne

Une commune confie à une PME l’hébergement et la maintenance de son portail de démarches. Le portail contient des noms, adresses et pièces justificatives d’habitants. Le CCAP vise le CCAG-TIC, mais l’annexe sur les données reste vide.

Dans cette situation, la PME demande d’abord à l’acheteur de compléter les instructions. Elle propose ensuite une annexe type, inspirée des modèles de la CNIL : finalités, catégories de données, durée, sécurité, sous-traitants ultérieurs. Puis, un mois plus tard, une faille touche l’hébergeur. La PME prévient alors immédiatement la commune, qui peut ainsi notifier la violation à la CNIL dans le délai réglementaire.

Côté entreprise : les réflexes dès la notification

Dès la notification, le titulaire vérifie si le marché prévoit des instructions écrites. À défaut, il les demande. Il désigne aussi un interlocuteur interne et tient un registre des traitements qu’il réalise pour le compte de l’acheteur. De même, il prévoit une procédure d’alerte en cas d’incident.

Par ailleurs, ces obligations ont un coût. L’entreprise les intègre donc dans son prix dès l’offre. Pour la réunion de démarrage, notre article sur la réunion de lancement du marché propose une liste des points à caler.

Côté acheteur : rédiger une clause utile

L’acheteur complète l’article 5.2 du CCAG par une annexe opérationnelle. Il décrit les données, les finalités et la durée de conservation. Ensuite, il fixe les règles de sécurité et la procédure de notification d’une violation. Enfin, il prévoit des pénalités proportionnées et organise la restitution des données en fin de marché, pour garantir la continuité du service.

RGPD marché public : à retenir

• L’acheteur agit en général comme responsable du traitement et le titulaire comme sous-traitant au sens du RGPD.
• L’article 5.2 des CCAG de 2021 renvoie aux documents particuliers pour décrire le traitement.
• Le titulaire agit sur instruction, sécurise les données et signale vite toute violation.
• Un sous-traitant ultérieur suppose l’autorisation écrite préalable de l’acheteur.
• En fin de marché, les données sont restituées ou supprimées selon le choix de l’acheteur.