CCAP
Annexe1CCAP_Clauses_RGPD.pdf · 4 474 mots · du marché « Pose, dépose et entretien de supports d'efforts, poteaux d'arrêt, bornes d'informations voyageurs et mobiliers urbains… », dossier de consultation officiel.
Protection des données personnelles
1 - Avertissement relatif aux données à caractère personnel
Il appartient à la société titulaire du présent marché de prendre toutes les mesures, nécessaires et
suffisantes, pour garantir la confidentialité et la sécurité de ces données, lorsque celui-ci est amené
à traiter des données à caractère personnel pour le compte de Limoges Métropole (responsable de
traitement), en qualité de sous-traitant au sens du RGPD.
Les supports informatiques et documents fournis par le pouvoir adjudicateur au titulaire du marché
restent la propriété du pouvoir adjudicateur.
Les données contenues dans ces supports et documents sont strictement couvertes par le secret
professionnel (article 226-13 du code pénal), il en va de même pour toutes les données dont le
titulaire du marché prend connaissance à l’occasion de l’exécution du présent contrat.
Le titulaire du marché s'engage à prendre toutes précautions utiles afin de préserver la sécurité des
informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou
communiquées à des personnes non autorisées.
Le titulaire du marché s'engage donc à respecter les obligations suivantes et à les faire respecter :
veiller à ce que son personnel et le personnel des sociétés sous-traitantes soient strictement tenus
à des devoirs de secret professionnel ;
ne prendre aucune copie des documents et supports d'informations qui lui sont confiés, à
l’exception de celles nécessaires à l’exécution de la présente prestation prévue au contrat,
l’accord préalable du maître du fichier est nécessaire ;
ne pas utiliser les documents et informations traités, qui aurait pu lui être communiqué ou dont
il aurait pu avoir connaissance à l'occasion des études et opérations effectuées, à des fins autres
que celles spécifiées au présent contrat ;
ne pas divulguer ces documents ou informations sous quelque forme que ce soit à des tiers non
habilités, qu'il s'agisse de personnes privées ou publiques, physiques ou morales ;
prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse des
fichiers informatiques en cours d'exécution du contrat. Veiller à ce que les données présentes en
ses locaux et en les locaux des sociétés sous-traitantes soient protégées de toutes consultations
autres que celles qui seront rendues strictement nécessaires par les développements et les tests
menés par les seuls personnels strictement habilités à travailler sur le système d’information dans
le cadre du présent marché ;
s’assurer qu’à l’issue du présent marché toutes les données du système d’information détenues
par le titulaire et ses sous-traitants, au sens le plus général, seront détruites par un procédé
irréversible.
Le titulaire du marché ne pourra sous-traiter l'exécution des prestations à une autre société, ni
procéder à une cession de marché sans l’accord préalable du pouvoir adjudicateur.
En général, ces informations (quelle qu’en soit la forme) ne peuvent sans autorisation écrite du
pouvoir adjudicateur être communiquées à des tiers.
2 - Engagement relatif à la protection des données personnelles
Conformément au Règlement Général sur la Protection des Données, règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 (ci-après, « le RGPD »), Limoges Métropole est
défini en tant que responsable de traitement, définissant les finalités et les moyens.
Le titulaire du marché est défini en tant que sous-traitant de données à caractère personnel au sens
de l’article 28 du RGPD dans le cadre de l’exécution des traitements tels que définis dans l’article
2.1 par la nature et les finalités du traitement.
Celui-ci s’engage à respecter les obligations de protection des données personnelles qui découlent de
ce statut, telles qu’énoncées ci-après, et à les faire respecter par son personnel et le personnel des
sociétés sous-traitantes.
-------------------------
Conformément aux obligations du RGPD, Limoges Métropole procède dans le cadre de ses actions en
matière de commande publique et préalablement à la mise en œuvre d’un traitement, à une analyse
des circonstances factuelles dans lesquelles intervient un traitement de données à caractère
personnel opéré dans la contexte d’une prestation dans l’objectif de qualifier les acteurs ou parties
concernées.
le fait que la prestation soit exécutée pour répondre à un besoin de Limoges Métropole ne permet pas
à lui seul de déduire de manière systématique, et pour la globalité de la prestation, une qualification
de responsable de traitement de Limoges Métropole associée à une qualité de sous- traitant au sens
du RGPD du prestataire ; les lignes directrices du CEPD soulignant que les prestataires qui traitent des
données pour satisfaire les contrats les liant à leurs clients ne peuvent être de manière consécutive et
systématique qualifiés de sous-traitants au sens du RGPD.
En conséquence et par exception à la qualification du titulaire du marché en tant que sous-traitant,
si toutefois celui-ci était amené à réaliser des opérations engendrant le traitement de données à
caractère personnel opérées au regard de dispositions règlementaires et/ou de normes s’imposant à
lui et pour lesquelles Limoges Métropole ne définit pas les moyens de réalisation de ces opérations et
ne formule aucune consigne documentée, le titulaire du marché endosserait la qualité de responsable
de traitement et il lui incomberait alors le respect de l’ensemble des obligations imposées au
responsable de traitement par le RGPD ou par tout autre disposition règlementaire en vigueur en
matière de protection des données à caractère personnel.
Sont notamment concernées par ce contexte les opérations suivantes réalisées par le titulaire du
marché :
- Les opérations réalisées au regard de normes environnementales ou de dispositions
règlementaires relatives à l’environnement ou à l’urbanisme.
- Les éventuelles opérations de type « contrôle », « diagnostics » ou « analyses » réalisées au
regard de normes ou de dispositions règlementaires non définies par Limoges Métropole.
- Les éventuelles opérations d’ordonnancement réalisées par le titulaire du marché hors
consignes établies et formulées par Limoges Métropole.
- Les opérations engendrant des traitements de données à caractère personnel consécutives à
la mise en œuvre par le titulaire du marché d’un plan particulier de sécurité et de protection
de la santé (PPSPS), d’un plan d’assurance qualité (PAQ) ou encore d’un plan général de
coordination (PGC).
- Les traitements de données à caractère personnel que le titulaire du marché pourrait être
amené à opérer consécutivement à des dégradations commises par lui-même lors de
l’exécution de la prestation et pour lesquelles il serait amené à mettre en œuvre des
démarches lui incombant au regard de sa responsabilité.
- De manière générale, l’ensemble des traitements de données à caractère personnel relatives
au propre personnel du titulaire du marché.
2.1 - Obligations du sous-traitant au sens RGPD
Le sous-traitant au sens du RGPD est autorisé à traiter au bénéfice et/ou pour le compte du
responsable de traitement les données personnelles nécessaires pour les prestations objet du présent
marché.
Le sous-traitant au sens RGPD s’engage à :
- Traiter les données exclusivement pour les finalités qui font l’objet du marché ;
- Traiter les données conformément aux instructions du responsable de traitement ;
- Garantir la confidentialité des données à caractère personnel traitées dans le cadre du
marché, veiller à ce que les personnes chargées de traiter ces données soient soumises
et respectent une obligation de confidentialité ;
- Prendre en compte les principes de protection des données dès la conception des
services et outils mis en œuvre dans le présent marché ;
- Prendre en compte les principes de protection des données par défaut.
2.1.1 FINALITES DU TRAITEMENT
Les finalités du traitement effectué par le prestataire dans le cadre du présent marché sont les
suivantes :
1. Procéder au traitement des informations et des données préexistantes qui sont susceptibles
d’être mises à disposition du sous-traitant par Limoges Métropole en lien avec la prestation
et nécessaires à la réalisation de celle-ci.
2. Procéder au traitement des données à caractère personnel que le titulaire du marché sera
amené à collecter / à exploiter au regard de ses interventions et des obligations
règlementaires associées.
3. Procéder aux actions requises au suivi de l’exécution des prestations et du marché.
2.1.2 NATURE DES OPERATIONS
Les opérations réalisées par le prestataire dans le cadre du présent marché sont les suivantes :
Au titre de la finalité 1.
- Les éléments et documents qui sont susceptibles d’être mis à disposition du titulaire du
marché par Limoges Métropole sont d’ordre technique et relatifs à des infrastructures, à des
équipements, à des sites d’interventions ou constitués de documents d’urbanisme nécessaires
à la réalisation des prestations.
Ils ne sont pas censés contenir de données à caractère personnel susceptibles de permettre
l’identification directe de personnes physiques sans pour autant que cela ne puisse être exclue
de manière formelle.
- Il est en revanche possible que les éléments et documents mis à disposition du titulaire du
marché puissent contenir des éléments permettant l’identification indirecte de personnes
physiques par le biais d’identifiants figurant dans les études ou plans remis au titulaire du
marché pour l’exécution de sa prestation.
- Le titulaire du marché peut également être amené à traiter les données à caractère personnel
des personnels des communes membres de l’EPCI ainsi que des partenaires institutionnels de
Limoges Métropole pour autant que les traitements de cette nature soient requis pour
l’exécution de la prestation.
- Le sous-traitant est autorisé à traiter les éléments de cette nature dès lors que la nécessité
de ce traitement est avérée au regard des nécessités des prestations.
A seul titre d’information et de manière non exhaustive ni limitative, les types de documents ou
éléments susceptibles d’être mis à disposition du titulaire du marché par Limoges Métropole
préalablement à la réalisation de sa prestation sont les suivants :
Les règles d’environnement et d’urbanisme locales applicables à l’opération et toutes
autres informations règlementaires ou juridiques nécessaires.
Les éventuelles études antérieures ainsi que, le cas échéant, les observations portées
sur celles-ci.
Les données techniques déjà connues, complétées éventuellement de celles en projet,
dont notamment :
▪ Les éléments de référence cadastraux,
▪ Les éléments issus des interventions de géomètres (levés, plans topographiques et
de nivellement, relevés des existants, des héberges, des abords, des réseaux divers
d’alimentation et de rejet…),
▪ Les servitudes publiques et privées,
▪ Les résultats et analyses des études géotechniques,
▪ Les plans de récolement des concessionnaires et la liste des « parties intéressées »,
▪ La liste des projets connexes nécessitant une prise en compte pour le projet,
▪ Les contraintes climatiques, sismiques et les plans d’exposition aux risques
naturels…,
Au titre de la finalité 2.
- Selon impératifs en lien avec la prestation, traiter les données nécessaires aux opérations
requérant une étude de réseaux au regard des obligations des DT/DICT.
- Selon impératifs en lien avec la prestation, traiter les données nécessaires aux opérations
consécutives à des interventions sur des sites ICPE.
- Selon impératifs en lien avec la prestation, traiter les données nécessaires aux démarches
administratives réalisées par le titulaire du marché dès lors que les sites et/ou la nature des
interventions le nécessitent (autorisations, demandes d’arrêtés).
- Selon impératifs en lien avec la prestation, traiter les données nécessaires aux démarches
visant à évacuer les déchets ou résidus d’intervention produits lors de l’exécution des
prestations conformément aux éventuelles dispositions règlementaires ou aux préconisations
formulées par Limoges Métropole.
Au titre de la finalité 3.
- Traiter les données à caractère personnel permettant d’identifier de manière directe ou
indirecte des personnes physiques susceptibles de figurer dans les documents suivants :
Les éléments administratifs nécessaires pour mettre en œuvre et assurer les actions de
restitution relatives à l’exécution de la prestation auprès de Limoges Métropole et des
instances de pilotage ainsi que les éléments nécessaires aux actions d’assistance et
donnant lieu à l’établissement d’invitations / convocations, de listes d’émargement, de
comptes rendus...
-------------------------
Les données à caractère personnel inhérentes aux autres documents relatifs à la passation
du marché sont traitées par le titulaire du marché en sa propre qualité de responsable de
traitement au regard des nécessités liées à l’exécution du contrat.
2.1.3 CATEGORIES DE DONNEES
Les catégories de données à caractère personnel traitées par le prestataire dans le cadre du présent
marché sont les suivantes :
Au titre de la finalité 1., possiblement et de manière non systématique
- Coordonnées : adresse postale, numéro(s) de téléphone, courriel(s).
- Etat civil, identité, données d’identification : civilité, nom, prénom.
- Données liées à l’activité professionnelle : organisme ; fonction ; rôles exercés au cours
d’interventions antérieures portant sur le secteur géographique en lien avec le marché et la
prestation.
- Données de localisation : données d’identification indirecte en lien avec les références
cadastrales ; autres types de données permettant une identification indirecte susceptibles de
figurer dans les études ou plans remis au titulaire du marché pour l’exécution de sa prestation.
Au titre de la finalité 2., selon nature des données nécessaires à la réalisation de la finalité
- Coordonnées : adresse postale, numéro(s) de téléphone, courriel(s).
- Etat civil, identité, données d’identification : civilité, nom, prénom.
- Données liées à l’activité professionnelle : organisme ; fonction, autres types de données en
lien strict avec les opérations mentionnées à l’article 2.1.2 des présentes clauses au titre de
cette finalité.
Au titre de la finalité 3.
- Coordonnées : coordonnées téléphoniques ; adresses de messagerie ; adresse postale.
- Etat civil, identité, données d’identification : civilité ; nom ; prénom.
- Données liées à l’exercice de la profession : organisme ; fonction.
- Données d’ordre économique et financier : documents relevant de cette catégorie devant
impérativement figurer dans les pièces de marché et nécessaires à sa passation et à son
exécution.
2.1.4 PERSONNES CONCERNEES
Les personnes concernées par les traitements de données à caractère personnel par le prestataire
dans le cadre du présent marché sont les suivantes :
Au titre de la finalité 1., possiblement et de manière non systématique
- Tous types de personnes physiques susceptibles de figurer dans les études ou plans remis au
titulaire du marché pour l’exécution de sa prestation.
Au titre de la finalité 2.
- Personnel des communes membres de l’EPCI.
- Personnel des partenaires institutionnels de Limoges Métropole concernés par les prestations.
- Personnel des entreprises concernées par les traitements liés à l’évacuation des déchets ou
résidus d’intervention produits lors de l’exécution des prestations.
Au titre de la finalité 3.
- Personnel concerné de Limoges Métropole.
2.1.5 SUIVI ET TRACABILITE DES TRAITEMENTS
Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement
effectuées pour le compte du responsable de traitement telles que définies ci-avant et comprenant :
• le nom et les coordonnées du responsable de traitement pour le compte duquel il agit, des éventuels
sous-traitants et, le cas échéant, du délégué à la protection des données,
• les catégories de traitements effectués pour le compte du responsable du traitement,
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une
organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation
internationale ainsi que les éléments attestant de l'existence de garanties appropriées,
• une description générale des mesures de sécurité techniques et organisationnelles,
• une description des moyens permettant de garantir la confidentialité, l'intégrité et la résilience
constantes des systèmes et des services de traitement,
• une description des moyens permettant de rétablir la disponibilité des données à caractère
personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique,
• une description des procédures visant à tester, à analyser et à évaluer régulièrement l'efficacité
des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour
démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des
inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer à ces
audits.
2.1.6 DUREES DE CONSERVATION
La durée de conservation maximale des données à caractère personnel traitées par le sous-traitant
correspond à la durée d’exécution du présent marché.
En fin de contrat, les données qui ne sont pas strictement nécessaires aux propres obligations du sous-
traitant seront rendues au pouvoir adjudicateur, responsable de traitement, dans un format
exploitable par des solutions informatiques courantes du marché et toutes les copies détenues par le
titulaire du marché, sous-traitant au sens du RGPD, devront être détruites ; le sous-traitant
s’engageant à attester de cette destruction.
2.2 - Cas de sous-traitance ultérieure
Le sous-traitant doit, en cas de recours à une sous-traitance ultérieure pour des opérations de
traitement spécifiques, le responsable de traitement devra être informé par courrier, mentionnant
précisément les activités de traitement ultérieurement sous-traitées.
Le responsable de traitement disposera d’un délai de deux mois à la date de réception de ce courrier
pour accepter la sous-traitance ultérieure, le silence gardé au-delà de ce délai valant refus.
Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat. Il appartient au sous-
traitant initial de s’assurer que le sous-traitant ultérieur présente les garanties suffisantes quant au
respect des obligations liées à la protection des données. Si le sous-traitant ultérieur ne respecte pas
ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable de
traitement.
2.3 - Droit des personnes concernées
Le sous-traitant doit assister le responsable de traitement à s’acquitter de son obligation de donner
suite aux demandes d’exercice des droits des personnes concernées ; droits inhérents à la ou aux
bases légales retenus pour l’établissement du ou des traitements et inscrits au registre des activités
et traitement du responsable de traitement.
Le sous-traitant ne doit en aucun cas répondre par lui-même à une demande d’exercice de droits des
personnes concernées mais, dans l’optique où une demande lui serait adressée directement, rediriger
cette demande auprès de la Direction de Limoges Métropole porteuse du projet ainsi qu’auprès du
Délégué à la protection des données de Limoges Métropole dans les plus brefs délais (3 jours ouvrés
au maximum) afin de permettre à Limoges Métropole de répondre à cette demande dans le respect
des dispositions règlementaires en ce domaine.
2.4 - Mesures de sécurité et de protection relatives aux données à caractère
personnel
En vertu de l’article 32 du RGPD, le sous-traitant assure la mise en œuvre des mesures techniques et
organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu
de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et
des finalités du traitement ainsi que des risques.
De manière générale, ces mesures doivent permettre entre autres et sans s’y limiter de garantir :
- La confidentialité, l'intégrité et la résilience constantes des systèmes et des services de
traitement.
- Si cela s’avère requis dans le cadre de la prestation, la disponibilité des données à caractère
personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou
technique.
De manière spécifique, au titre de l’ensemble des finalités et dès lors qu’il sera nécessaire de
procéder à une transmission de données à caractère personnel entre Limoges Métropole et le
prestataire :
- Les transmissions réalisées par des moyens numériques devront être opérées dans des
conditions permettant d’assurer un niveau de sécurité adéquat aux données.
Ces moyens pourront être constitués par exemple (de manière non limitative ni exhaustive) :
De l’usage d’espaces numériques collaboratifs sécurisés et dont l’accès est conditionné à
la définition de profils utilisateurs assortie de modalités de connexion sécurisées.
Du recours au chiffrement des données transmises par le biais de messageries, la clé de
déchiffrement étant transmise par le biais d’un moyen distinct de celui ayant servi à
l’envoi.
De manière spécifique au titre de la finalité 1.
- Le sous-traitant doit porter une attention particulière à ce que les données à caractère
personnel susceptibles de figurer dans les études, documents, plans ou cartographies…
préétablis qui lui seraient remis par Limoges Métropole pour l’exécution de la prestation ne
soient reportés de manière identifiante dans les éventuels livrables qu’en cas de nécessité
avérée au regard des objectifs de la prestation.
- En cas d’absence de nécessité avérée d’une présence dans les livrables de données
identifiantes, le sous-traitant devra appliquer un processus de désidentification (a minima
pseudonymisation, anonymisation en priorité) à toute données à caractère personnel reportée
dans les livrables.
De manière spécifique au titre de la finalité 2 pour ce qui concerne la collecte de données à caractère
personnel.
- Dans le cadre de l’exécution de sa prestation, le titulaire du marché ne devrait pas avoir à
procéder à la collecte de données à caractère personnel relative à des citoyens en tant que
personnes physiques ; les relations directes qui pourraient s’avérer nécessaires avec les
citoyens concernés par l’exécution de la prestation étant généralement assurées par les
services de Limoges Métropole.
- Cependant, dans l’éventualité où ces relations devaient être assurées par le titulaire du
marché, sur demande et consignes expresses de Limoges Métropole, le titulaire du marché
devrait alors impérativement se conformer aux modalités suivantes :
• Préalablement à toute opération de collecte de données, le titulaire du marché devra
procéder à la préparation des éléments requis dès lors qu’ils s’avèreraient nécessaires au
regard des dispositions règlementaires en vigueur en matière de protection des données
(mentions d’informations aux personnes concernées pour ce qui concerne le traitement
de leurs données à caractère personnel, recueil du consentement des personnes
concernées si celui-ci s’avère requis).
• Ces éléments préparés par le sous-traitant devront être transmis pour validation au
Délégué à la protection des données de Limoges Métropole avant toute mise en œuvre
d’une opération de collecte.
• En cas d’impossibilité pour le sous-traitant de procéder à la préparation de ces éléments
ou en cas de non validation par le Délégué à la protection des données de Limoges
Métropole des éléments préparés par le sous-traitant, celui-ci devra impérativement
exploiter les documents qui lui seraient alors remis par Limoges Métropole en matière
d’information aux personnes concernées et le cas échéant de recueil du consentement de
ces personnes.
2.5 - Signalement de violations de données à caractère personnel
Le sous-traitant s’engage à informer le Délégué à la protection des données du responsable de
traitement dans les plus brefs délais après en avoir pris connaissance de toute violation ou atteinte
aux données personnelles en termes d’intégrité, de disponibilité ou de confidentialité afin de
permettre au responsable de traitement de procéder si besoin à une notification de violation auprès
de l’autorité de contrôle.
L’information auprès du responsable de traitement doit s’effectuer conjointement auprès de la
Direction de Limoges Métropole porteuse du projet ainsi qu’auprès du Délégué à la protection des
données de Limoges Métropole.
Le sous-traitant devra en conséquence communiquer au responsable de traitement dans ces mêmes
délais tous les éléments en sa possession permettant au responsable de traitement de procéder à
cette formalité dans les délais imposés par la règlementation ainsi que de communiquer le cas échéant
auprès des personnes concernées par la violation de leurs données à caractère personnel.
Pour information, la notification de violation effectuée par le responsable de traitement doit contenir
a minima les éléments suivants :
• la description de la nature de la violation de données à caractère personnel y compris, si
possible, les catégories et le nombre approximatif de personnes concernées par la violation
et les catégories et le nombre approximatif d'enregistrements de données à caractère
personnel concernés,
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point de
contact auprès duquel des informations supplémentaires peuvent être obtenues,
• la description des conséquences probables de la violation de données à caractère personnel,
• la description des mesures prises ou que le responsable du traitement propose de prendre
pour remédier à la violation de données à caractère personnel, y compris, le cas échéant,
les mesures pour en atténuer les éventuelles conséquences négatives.
Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps, les
informations peuvent être communiquées de manière échelonnée sans retard indu.
Le pouvoir adjudicateur se réserve le droit de procéder à toutes les vérifications qui lui sembleraient
utiles pour constater le respect par le prestataire des obligations précitées.
Le pouvoir adjudicateur pourra prononcer la résiliation immédiate du marché, sans indemnité en
faveur du titulaire, en cas de violation du secret professionnel ou de non-respect des prescriptions ci-
dessus.
2.6 - En cas de transfert de données à caractère personnel hors de l’Union
Européenne
Le pouvoir adjudicateur doit être informé en cas de recours de la part de celui-ci à des opérations
engendrant des transferts de données à caractère personnel hors de l’Union Européenne.
Le pouvoir adjudicateur doit être informé en cas de recours de la part du sous-traitant à des
opérations engendrant des transferts de données à caractère personnel hors de l’Union Européenne.
Dans l’éventualité d’un transfert de données à caractère personnel vers un pays pour lequel une
décision d’adéquation a été adoptée par la Commission européenne, le sous-traitant devra s’assurer
que ces transferts s’inscrivent dans le cadre définit et notamment, de manière non limitative, que
les organisations vers lesquelles les données sont transférées se sont engagées à respecter ce cadre
de protection des données.
Ces dispositions incluent celles prévues par la décision d’adéquation adoptée par la Commission
européenne le 10 juillet 2023 concernant les transferts de données à caractère personnel de l’Union
européenne vers les Etats-Unis.
Dans tout autre cas de transfert de données à caractère personnel hors de l’Union européenne, le
sous-traitant devra transmettre à Limoges Métropole les éléments ci-après lui permettant d’évaluer
les actions requises en matière de transfert de données hors de l’Union européenne (Transfert Impact
Assessment, Standards Contractual Clauses (SCC)…).
Les éléments à transmettre sont les suivants :
- Le détail des traitements concernés par d’éventuels transferts de données hors de l’Union
européenne.
- Le ou les pays de destination de ces éventuels transferts.
- Les mesures supplémentaires mises en œuvre afin de garantir un niveau de protection
essentiellement équivalent à celui prévu dans l’Espace économique européen et de s’assurer
que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière
à les priver d'effectivité.
- Toute autre forme Data Processing Agreements éventuellement mise en œuvre et intégrant
les éléments issus des décisions d’exécution (UE) 2021/914 et 2021/915 du 4 juin 2021 de la
Commission européenne.
2.7 – Obligations du responsable de traitement vis-à-vis du sous-traitant
Le responsable de traitement s’engage à :
- Documenter par écrit toute instruction concernant le traitement des données par le sous-
traitant.
- Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations
prévues par le règlement européen sur la protection des données de la part du sous-traitant.
- Superviser le traitement, y compris le cas échéant réaliser les audits et les inspections auprès
du sous-traitant.
- Dans l’hypothèse où interviendrait un quelconque changement dans le périmètre du
traitement tel que défini à l’article 2.1, intégrer ce ou ces changements dans une révision
des clauses de sous-traitance qui ferait alors l’objet d’un avenant au marché.
Coordonnées du Délégué à la Protection des données de Limoges Métropole :
Jean-Yves JABET
dpo@limoges-metropole.fr
05.55.45.29.61
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.