CCAP
Annexe1CCAP-Clauses_RGPD_evacuation_dechets_machefers_DPO-iteration1_20260707_vm_20260707.pdf · 3 248 mots · du marché « Évacuation et valorisation des mâchefers de la Centrale énergie déchets de Limoges Métropole : transport vers une… », dossier de consultation officiel.
Protection des données personnelles
1 - Avertissement relatif aux données à caractère personnel
Il appartient à la société titulaire du présent marché de prendre toutes les mesures, nécessaires et
suffisantes, pour garantir la confidentialité et la sécurité de ces données, lorsque celui-ci est amené
à traiter des données à caractère personnel pour le compte de Limoges Métropole (responsable de
traitement), en qualité de sous-traitant au sens du RGPD.
Les supports informatiques et documents fournis par le pouvoir adjudicateur au titulaire du marché
restent la propriété du pouvoir adjudicateur.
Les données contenues dans ces supports et documents sont strictement couvertes par le secret
professionnel (article 226-13 du code pénal), il en va de même pour toutes les données dont le
titulaire du marché prend connaissance à l’occasion de l’exécution du présent contrat.
Le titulaire du marché s'engage à prendre toutes précautions utiles afin de préserver la sécurité des
informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou
communiquées à des personnes non autorisées.
Le titulaire du marché s'engage donc à respecter les obligations suivantes et à les faire respecter :
✓ veiller à ce que son personnel et le personnel des sociétés sous-traitantes soient
strictement tenus à des devoirs de secret professionnel ;
✓ ne prendre aucune copie des documents et supports d'informations qui lui sont confiés, à
l’exception de celles nécessaires à l’exécution de la présente prestation prévue au
contrat, l’accord préalable du maître du fichier est nécessaire ;
✓ ne pas utiliser les documents et informations traités, qui aurait pu lui être communiqué
ou dont il aurait pu avoir connaissance à l'occasion des études et opérations effectuées,
à des fins autres que celles spécifiées au présent contrat ;
✓ ne pas divulguer ces documents ou informations sous quelque forme que ce soit à des
tiers non habilités, qu'il s'agisse de personnes privées ou publiques, physiques ou morales ;
✓ prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse
des fichiers informatiques en cours d'exécution du contrat. Veiller à ce que les données
présentes en ses locaux et en les locaux des sociétés sous-traitantes soient protégées de
toutes consultations autres que celles qui seront rendues strictement nécessaires par les
développements et les tests menés par les seuls personnels strictement habilités à
travailler sur le système d’information dans le cadre du présent marché ;
✓ s’assurer qu’à l’issue du présent marché toutes les données du système d’information
détenues par le titulaire et ses sous-traitants, au sens le plus général, seront détruites
par un procédé irréversible. En fin de contrat, le prestataire s’engage donc à :
Le titulaire du marché ne pourra sous-traiter l'exécution des prestations à une autre société, ni
procéder à une cession de marché sans l’accord préalable du pouvoir adjudicateur.
En général, ces informations (quelle qu’en soit la forme) ne peuvent sans autorisation écrite du
pouvoir adjudicateur être communiquées à des tiers.
2 - Engagement relatif à la protection des données personnelles
Conformément au Règlement Général sur la Protection des Données, règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 (ci-après, « le RGPD »), Limoges Métropole est
défini en tant que responsable de traitement, définissant les finalités et les moyens.
Le titulaire du marché est défini en tant que sous-traitant de données à caractère personnel au sens
de l’article 28 du RGPD dans le cadre de l’exécution des traitements tels que définis dans l’article
2.1 par la nature et les finalités du traitement.
Celui-ci s’engage à respecter les obligations de protection des données personnelles qui découlent de
ce statut, telles qu’énoncées ci-après, et à les faire respecter par son personnel et le personnel des
sociétés sous-traitantes.
-------------------------
Conformément aux obligations du RGPD, Limoges Métropole procède dans le cadre de ses actions en
matière de commande publique et préalablement à la mise en œuvre d’un traitement, à une analyse
des circonstances factuelles dans lesquelles intervient un traitement de données à caractère
personnel opéré dans le contexte d’une prestation dans l’objectif de qualifier les acteurs ou parties
concernées.
le fait que la prestation soit exécutée pour répondre à un besoin de Limoges Métropole ne permet
pas à lui seul de déduire de manière systématique, et pour la globalité de la prestation, une
qualification de responsable de traitement de Limoges Métropole associée à une qualité de sous-
traitant au sens du RGPD du prestataire ; les lignes directrices de l’European Data Protection Board
soulignant que les prestataires qui traitent des données pour satisfaire les contrats les liant à leurs
clients ne peuvent être de manière consécutive et systématique qualifiés de sous-traitants au sens du
RGPD.
En conséquence et par exception à la qualification du titulaire du marché en tant que sous-traitant,
si toutefois celui-ci était amené à réaliser des opérations engendrant le traitement de données à
caractère personnel opérées au regard de dispositions règlementaires et/ou de normes s’imposant à
lui et pour lesquelles Limoges Métropole ne définit pas les moyens de réalisation de ces opérations et
ne formule aucune consigne documentée, le titulaire du marché endosserait la qualité de responsable
de traitement et il lui incomberait alors le respect de l’ensemble des obligations imposées au
responsable de traitement par le RGPD ou par tout autre disposition règlementaire en vigueur en
matière de protection des données à caractère personnel.
Sont notamment concernées par ce contexte les opérations suivantes réalisées par le titulaire du
marché :
- De manière générale toutes les opérations effectuées par le titulaire du marché portant sur
des mâchefers issus de l’incinération des déchets de la CEDLM et de la future installation.
- De manière spécifique toutes les opérations effectuées par le titulaire du marché relatives
au transport des mâchefers.
- De manière spécifique toutes les opérations effectuées par le titulaire du marché relatives
au traitement des mâchefers collectés auprès de la CEDLM et de la future installation.
- De manière spécifique, les opérations relatives à la traçabilité des déchets pour leur
composante incombant à l’organisme en charge de leur collecte, de leur transport ou de leur
traitement (bordereau de suivi via Trackdechets pour ce qui concerne les procédures
n’incombant pas à Limoges Métropole).
Pour ces opérations opérées par le titulaire du marché en sa qualité de responsable de traitement,
Limoges Métropole ne formulera aucune consigne documentée en raison du fait que le titulaire du
marché opère, en qualité de responsable de traitement, au regard d’obligations, de normes ou de
process définis par des dispositions règlementaires.
Le périmètre du présent marché dans un contexte de sous-traitance est donc limité aux seules
dispositions figurant aux articles 2.1 et suivants des présentes clauses et porte exclusivement sur le
suivi de l’exécution de la prestation.
2.1 - Obligations du sous-traitant au sens RGPD
Le sous-traitant au sens du RGPD est autorisé à traiter au bénéfice et/ou pour le compte du
responsable de traitement les données personnelles nécessaires pour les prestations objet du présent
marché.
Le sous-traitant au sens RGPD s’engage à :
- Traiter les données exclusivement pour les finalités qui font l’objet du marché ;
- Traiter les données conformément aux instructions du responsable de traitement ;
- Garantir la confidentialité des données à caractère personnel traitées dans le cadre du
marché, veiller à ce que les personnes chargées de traiter ces données soient soumises
et respectent une obligation de confidentialité ;
- Prendre en compte les principes de protection des données dès la conception des
services et outils mis en œuvre dans le présent marché ;
- Prendre en compte les principes de protection des données par défaut.
2.1.1 FINALITES DU TRAITEMENT
Les finalités du traitement effectué par le prestataire dans le cadre du présent marché sont les
suivantes :
1. Procéder aux actions requises au suivi de l’exécution des prestations et du marché.
2.1.2 NATURE DES OPERATIONS
Les opérations réalisées par le prestataire dans le cadre du présent marché sont les suivantes :
Au titre de la finalité 1.
- Traiter les données à caractère personnel permettant d’identifier de manière directe ou
indirecte des personnes physiques susceptibles de figurer dans les documents suivants :
Les éléments administratifs nécessaires pour mettre en œuvre et assurer les actions de
restitution relatives à l’exécution de la prestation auprès de Limoges Métropole ainsi que
tout autre action inhérente à l’exécution de la prestation donnant lieu à l’établissement
d’invitations / convocations, de listes d’émargement, de comptes rendus...
Spécifiquement au regard de la nature de la prestation, les données nécessaires aux
procédures incombant à Limoges Métropole en matière de traçabilité des déchets par le
biais du bordereau de suivi.
-------------------------
Les données à caractère personnel inhérentes aux autres documents relatifs à la passation
du marché sont traitées par le titulaire du marché en sa propre qualité de responsable de
traitement au regard des nécessités liées à l’exécution du contrat.
2.1.3 CATEGORIES DE DONNEES
Les catégories de données à caractère personnel traitées par le prestataire dans le cadre du présent
marché sont les suivantes :
Au titre de la finalité 1.
- Coordonnées : coordonnées téléphoniques ; adresses de messagerie ; adresse postale.
- Etat civil, identité, données d’identification : civilité ; nom ; prénom.
- Données liées à l’exercice de la profession : organisme ; fonction ; selon nécessités rôles et
qualifications des personnels du titulaire du marché ou des intervenants auxquels il serait
susceptible de faire appel pour l’exécution des prestations ; SIRET ; données nécessaires aux
signatures dans Trackdechets.
- Données d’ordre économique et financier : documents relevant de cette catégorie devant
impérativement figurer dans les pièces de marché et nécessaires à sa passation et à son
exécution.
2.1.4 PERSONNES CONCERNEES
Les personnes concernées par les traitements de données à caractère personnel par le prestataire
dans le cadre du présent marché sont les suivantes :
Au titre de la finalité 1.
- Personnel concerné de Limoges Métropole.
- Personnel concerné du titulaire du marché ou intervenants auxquels il serait susceptible de
faire appel pour l’exécution des prestations.
2.1.5 SUIVI ET TRACABILITE DES TRAITEMENTS
Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement
effectuées pour le compte du responsable de traitement telles que définies ci-avant et comprenant :
• le nom et les coordonnées du responsable de traitement pour le compte duquel il agit, des éventuels
sous-traitants et, le cas échéant, du délégué à la protection des données,
• les catégories de traitements effectués pour le compte du responsable du traitement,
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une
organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation
internationale ainsi que les éléments attestant de l'existence de garanties appropriées,
• une description générale des mesures de sécurité techniques et organisationnelles,
• une description des moyens permettant de garantir la confidentialité, l'intégrité et la résilience
constantes des systèmes et des services de traitement,
• une description des moyens permettant de rétablir la disponibilité des données à caractère
personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique,
• une description des procédures visant à tester, à analyser et à évaluer régulièrement l'efficacité
des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour
démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris
des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer
à ces audits.
2.1.6 DUREES DE CONSERVATION
La durée de conservation maximale des données à caractère personnel traitées par le sous-traitant
correspond à la durée d’exécution du présent marché.
En fin de contrat, les données qui ne sont pas strictement nécessaires aux propres obligations du sous-
traitant seront rendues au pouvoir adjudicateur, responsable de traitement, dans un format
exploitable par des solutions informatiques courantes du marché et toutes les copies détenues par le
titulaire du marché, sous-traitant au sens du RGPD, devront être détruites ; le sous-traitant
s’engageant à attester de cette destruction.
2.2 - Cas de sous-traitance ultérieure
En cas de recours à une sous-traitance ultérieure pour des opérations de traitement spécifiques, le
responsable de traitement devra être informé par courrier, mentionnant précisément les activités de
traitement ultérieurement sous-traitées.
Le responsable de traitement disposera d’un délai de deux mois à la date de réception de ce courrier
pour accepter la sous-traitance ultérieure, le silence gardé au-delà de ce délai valant refus.
Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat. Il appartient au sous-
traitant initial de s’assurer que le sous-traitant ultérieur présente les garanties suffisantes quant au
respect des obligations liées à la protection des données. Si le sous-traitant ultérieur ne respecte pas
ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable de
traitement.
2.3 - Droit des personnes concernées
Le sous-traitant doit assister le responsable de traitement à s’acquitter de son obligation de donner
suite aux demandes d’exercice des droits des personnes concernées ; droits inhérents à la ou aux
bases légales retenus pour l’établissement du ou des traitements et inscrits au registre des activités
et traitement du responsable de traitement.
Le sous-traitant ne doit en aucun cas répondre par lui-même à une demande d’exercice de droits des
personnes concernées mais, dans l’optique où une demande lui serait adressée directement, rediriger
cette demande auprès de la Direction de Limoges Métropole porteuse du projet ainsi qu’auprès du
Délégué à la protection des données de Limoges Métropole dans les plus brefs délais (3 jours ouvrés
au maximum) afin de permettre à Limoges Métropole de répondre à cette demande dans le respect
des dispositions règlementaires en ce domaine.
2.4 - Mesures de sécurité et de protection relatives aux données à caractère
personnel
En vertu de l’article 32 du RGPD, le sous-traitant assure la mise en œuvre des mesures techniques et
organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu
de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et
des finalités du traitement ainsi que des risques.
De manière générale, ces mesures doivent permettre entre autres et sans s’y limiter de garantir :
- La confidentialité, l'intégrité et la résilience constantes des systèmes et des services de
traitement.
- Si cela s’avère requis dans le cadre de la prestation, la disponibilité des données à caractère
personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou
technique.
2.5 - Signalement de violations de données à caractère personnel
Le sous-traitant s’engage à informer le Délégué à la protection des données du responsable de
traitement dans les plus brefs délais après en avoir pris connaissance de toute violation ou atteinte
aux données personnelles en termes d’intégrité, de disponibilité ou de confidentialité afin de
permettre au responsable de traitement de procéder si besoin à une notification de violation auprès
de l’autorité de contrôle.
L’information auprès du responsable de traitement doit s’effectuer conjointement auprès de la
Direction de Limoges Métropole porteuse du projet ainsi qu’auprès du Délégué à la protection des
données de Limoges Métropole.
Le sous-traitant devra en conséquence communiquer au responsable de traitement dans ces mêmes
délais tous les éléments en sa possession permettant au responsable de traitement de procéder à
cette formalité dans les délais imposés par la règlementation ainsi que de communiquer le cas échéant
auprès des personnes concernées par la violation de leurs données à caractère personnel.
Pour information, la notification de violation effectuée par le responsable de traitement doit contenir
a minima les éléments suivants :
• la description de la nature de la violation de données à caractère personnel y compris, si
possible, les catégories et le nombre approximatif de personnes concernées par la violation
et les catégories et le nombre approximatif d'enregistrements de données à caractère
personnel concernés,
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point de
contact auprès duquel des informations supplémentaires peuvent être obtenues,
• la description des conséquences probables de la violation de données à caractère
personnel,
• la description des mesures prises ou que le responsable du traitement propose de prendre
pour remédier à la violation de données à caractère personnel, y compris, le cas échéant,
les mesures pour en atténuer les éventuelles conséquences négatives.
Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps, les
informations peuvent être communiquées de manière échelonnée sans retard indu.
Le pouvoir adjudicateur se réserve le droit de procéder à toutes les vérifications qui lui sembleraient
utiles pour constater le respect par le prestataire des obligations précitées.
Le pouvoir adjudicateur pourra prononcer la résiliation immédiate du marché, sans indemnité en
faveur du titulaire, en cas de violation du secret professionnel ou de non-respect des prescriptions ci-
dessus.
2.6 - En cas de transfert de données à caractère personnel hors de l’Union
Européenne
Le pouvoir adjudicateur doit être informé en cas de recours de la part de celui-ci à des opérations
engendrant des transferts de données à caractère personnel hors de l’Union Européenne.
Le pouvoir adjudicateur doit être informé en cas de recours de la part du sous-traitant à des
opérations engendrant des transferts de données à caractère personnel hors de l’Union Européenne.
Dans l’éventualité d’un transfert de données à caractère personnel vers un pays pour lequel une
décision d’adéquation a été adoptée par la Commission européenne, le sous-traitant devra s’assurer
que ces transferts s’inscrivent dans le cadre définit et notamment, de manière non limitative, que
les organisations vers lesquelles les données sont transférées se sont engagées à respecter ce cadre
de protection des données.
Ces dispositions incluent celles prévues par la décision d’adéquation adoptée par la Commission
européenne le 10 juillet 2023 concernant les transferts de données à caractère personnel de l’Union
européenne vers les Etats-Unis.
Dans tout autre cas de transfert de données à caractère personnel hors de l’Union européenne, le
sous-traitant devra transmettre à Limoges Métropole les éléments ci-après lui permettant d’évaluer
les actions requises en matière de transfert de données hors de l’Union européenne (Transfert Impact
Assessment, Standards Contractual Clauses (SCC)…).
Les éléments à transmettre sont les suivants :
- Le détail des traitements concernés par d’éventuels transferts de données hors de l’Union
européenne.
- Le ou les pays de destination de ces éventuels transferts.
- Les mesures supplémentaires mises en œuvre afin de garantir un niveau de protection
essentiellement équivalent à celui prévu dans l’Espace économique européen et de s’assurer
que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière
à les priver d'effectivité.
- Toute autre forme Data Processing Agreements éventuellement mise en œuvre et intégrant
les éléments issus des décisions d’exécution (UE) 2021/914 et 2021/915 du 4 juin 2021 de la
Commission européenne.
2.7 – Obligations du responsable de traitement vis-à-vis du sous-traitant
Le responsable de traitement s’engage à :
- Documenter par écrit toute instruction concernant le traitement des données par le sous-
traitant.
- Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations
prévues par le règlement européen sur la protection des données de la part du sous-traitant.
- Superviser le traitement, y compris le cas échéant réaliser les audits et les inspections auprès
du sous-traitant.
- Dans l’hypothèse où interviendrait un quelconque changement dans le périmètre du
traitement tel que défini à l’article 2.1, intégrer ce ou ces changements dans une révision
des clauses de sous-traitance qui ferait alors l’objet d’un avenant au marché.
Coordonnées du Délégué à la Protection des données de Limoges Métropole :
Jean-Yves JABET
dpo@limoges-metropole.fr
05.55.45.29.61
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.