Pièce
clauses_RGPD_inventaires-faunistiques_2027-2030_DPO-iteration1_v1.pdf · 4 597 mots · du marché « Réalisation d'inventaires naturalistes (faune, flore, habitats) sur le territoire de Limoges Métropole - 3 lots distincts », dossier de consultation officiel.
Inventaires naturalistes pour l'amélioration des connaissances du territoire
de Limoges Métropole (Haute-Vienne) – 2027-2030
Protection des données personnelles
1 - Avertissement relatif aux données à caractère personnel
Il appartient à la société titulaire du présent marché de prendre toutes les mesures, nécessaires et
suffisantes, pour garantir la confidentialité et la sécurité de ces données, lorsque celui-ci est amené
à traiter de données à caractère personnel pour le compte de Limoges Métropole (responsable de
traitement), en qualité de sous-traitant au sens du RGPD.
Les supports informatiques et documents fournis par le pouvoir adjudicateur au titulaire du marché
restent la propriété du pouvoir adjudicateur.
Les données contenues dans ces supports et documents sont strictement couvertes par le secret
professionnel (article 226-13 du code pénal), il en va de même pour toutes les données dont le
titulaire du marché prend connaissance à l’occasion de l’exécution du présent contrat.
Le titulaire du marché s'engage à prendre toutes précautions utiles afin de préserver la sécurité des
informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou
communiquées à des personnes non autorisées.
Le titulaire du marché s'engage donc à respecter les obligations suivantes et à les faire respecter :
✓ veiller à ce que son personnel et le personnel des sociétés sous-traitantes soient
strictement tenus à des devoirs de secret professionnel ;
✓ ne prendre aucune copie des documents et supports d'informations qui lui sont confiés, à
l’exception de celles nécessaires à l’exécution de la présente prestation prévue au
contrat, l’accord préalable du maître du fichier est nécessaire ;
✓ ne pas utiliser les documents et informations traités, qui aurait pu lui être communiqué
ou dont il aurait pu avoir connaissance à l'occasion des études et opérations effectuées,
à des fins autres que celles spécifiées au présent contrat ;
✓ ne pas divulguer ces documents ou informations sous quelque forme que ce soit à des
tiers non habilités, qu'il s'agisse de personnes privées ou publiques, physiques ou morales ;
✓ prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse
des fichiers informatiques en cours d'exécution du contrat. Veiller à ce que les données
présentes en ses locaux et en les locaux des sociétés sous-traitantes soient protégées de
toutes consultations autres que celles qui seront rendues strictement nécessaires par les
développements et les tests menés par les seuls personnels strictement habilités à
travailler sur le système d’information dans le cadre du présent marché ;
✓ s’assurer qu’à l’issue du présent marché toutes les données du système d’information
détenues par le titulaire et ses sous-traitants, au sens le plus général, seront détruites
par un procédé irréversible. A ce titre, le titulaire du marché ne pourra sous-traiter
l'exécution des prestations à une autre société, ni procéder à une cession de marché sans
l’accord préalable du pouvoir adjudicateur.
Le titulaire du marché ne pourra sous-traiter l'exécution des prestations à une autre société, ni
procéder à une cession de marché sans l’accord préalable du pouvoir adjudicateur.
En général, ces informations (quelle qu’en soit la forme) ne peuvent sans autorisation écrite du
pouvoir adjudicateur être communiquées à des tiers.
2 - Engagement relatif à la protection des données personnelles
Conformément au Règlement Général sur la Protection des Données, règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 (ci-après, « le RGPD »), Limoges Métropole est
défini en tant que responsable de traitement, définissant les finalités et les moyens.
Le titulaire du marché est défini en tant que sous-traitant de données à caractère personnel au sens
de l’article 28 du RGPD dans le cadre de l’exécution des traitements tels que définis dans l’article
2.1 par la nature et les finalités du traitement.
Celui-ci s’engage à respecter les obligations de protection des données personnelles qui découlent de
ce statut, telles qu’énoncées ci-après, et à les faire respecter par son personnel et le personnel des
sociétés sous-traitantes.
2.1 - Obligations du sous-traitant au sens RGPD
Le sous-traitant au sens du RGPD est autorisé à traiter au bénéfice et/ou pour le compte du
responsable de traitement les données personnelles nécessaires pour les prestations objet du présent
marché.
Le sous-traitant au sens RGPD s’engage à :
- Traiter les données exclusivement pour les finalités qui font l’objet du marché ;
- Traiter les données conformément aux instructions du responsable de traitement ;
- Garantir la confidentialité des données à caractère personnel traitées dans le cadre du
marché, veiller à ce que les personnes chargées de traiter ces données soient soumises
et respectent une obligation de confidentialité ;
- Prendre en compte les principes de protection des données dès la conception des
services et outils mis en œuvre dans le présent marché ;
- Prendre en compte les principes de protection des données par défaut.
2.1.1 FINALITES DU TRAITEMENT
Les finalités du traitement effectué par le sous-traitant dans le cadre du présent marché sont les
suivantes :
1. Procéder au traitement des informations et des données préexistantes susceptibles de
permettre l’identification directe ou indirecte de personnes physiques mises à disposition du
sous-traitant par Limoges Métropole ou par des tiers tels que définis à l’article 2.1.2 des
présentes clauses.
2. Procéder au traitement des données à caractère personnel que le sous-traitant sera amené à
collecter / à exploiter pour la réalisation de sa prestation.
3. Procéder aux actions requises au suivi de l’exécution des prestations et du marché.
2.1.2 NATURE DES OPERATIONS
La nature des opérations réalisées par le sous-traitant dans le cadre du présent marché sont les
suivantes :
Au titre de la finalité 1.
- Les éléments et documents qui sont susceptibles d’être mis à disposition du sous-traitant sont
d’ordre technique et relatif à des données naturalistes existantes, anciennes ou historiques
requises pour l’exécution de la prestation.
- Les données à caractère personnel que ces contenus et documents sont susceptibles de
contenir sont majoritairement relatives aux observateurs / aux auteurs des données ou
observations naturalistes.
Il est en revanche possible que les contenus et documents mis à disposition du sous-traitant
puissent contenir des éléments permettant l’identification indirecte de personnes physiques
autres que ces observateurs / ces auteurs :
Données relatives à des citoyens en tant que personnes physiques dont l’identité ou les
coordonnées n’auraient pas fait l’objet d’une occultation ou n’auraient pas été soumises
à un processus de désidentification en raison, à titre d’exemple et de manière non
limitative, de l’ancienneté de leur réalisation.
Données d’identification indirecte relatives à des identifiants figurant dans les études ou
plans remis au sous-traitant pour l’exécution de sa prestation.
- Le sous-traitant est autorisé à traiter les éléments de cette nature dès lors que la nécessité
de ce traitement est avérée au regard des nécessités des prestations et dans le respect des
dispositions figurant à l’article 2.4 des présentes clauses.
Au titre de la finalité 2.
- Les opérations réalisées par le sous-traitant peuvent l’amener à devoir établir des relations
avec des citoyens en tant que personnes physiques pour la réalisation de certains points de
ses prestations et, par voie de conséquence, à collecte et traiter des données à caractère
personnel relatives à ces personnes.
Il pourrait s’agir par exemple et de manière non limitative, de démarches devant être
réalisées par le sous-traitant au regard d’interventions exécutées au titre de ses prestations
sur ou en bordure de propriétés privées pour lesquelles il pourrait être nécessaire d’informer
les personnes concernées (propriétaires / occupants) et/ou de solliciter des autorisations
auprès de ces personnes.
Dans ce contexte, le sous-traitant serait autorisé à collecter / à traiter les données à
caractère personnel de ces personnes physiques au regard des seuls besoins d’exécution des
prestations et dans le respect des dispositions figurant à l’article 2.4 des présentes clauses à
cet effet.
Les modalités de traitement pourraient être constituées :
De traitements de données à caractère personnel relatives aux propriétaires ou aux
occupants qui auraient été collectées par Limoges Métropole et transmises au sous-
traitant afin de contacter ces personnes concernées dans l’éventualité de la nécessité
d’une intervention sur ou en limite des propriétés privées concernées.
D’une collecte d’information relative à ces propriétaires ou ces occupants réalisée par le
sous-traitant; cette éventuelle collecte devant être strictement proportionnée au regard
des objectifs des prestations.
Au titre de la finalité 3.
- Traiter les données à caractère personnel permettant d’identifier de manière directe ou
indirecte des personnes physiques susceptibles de figurer dans les documents suivants :
Les éléments administratifs nécessaires pour mettre en œuvre et assurer les actions de
restitution relatives à l’exécution de la prestation auprès de Limoges Métropole et des
instances de pilotage ainsi que les éléments nécessaires aux actions d’assistance et
donnant lieu à l’établissement d’invitations / convocations, de listes d’émargement, de
comptes rendus...
-------------------------
Les données à caractère personnel inhérentes aux autres documents relatifs à la passation
du marché sont traitées par le sous-traitant en sa propre qualité de responsable de
traitement au regard des nécessités liées à l’exécution du contrat.
2.1.3 CATEGORIES DE DONNEES
Les catégories de données à caractère personnel pour lesquelles le prestataire est considéré comme
sous-traitant au sens RGPD dans le cadre du présent marché sont les suivantes :
Au titre de la finalité 1., possiblement et de manière non systématique
- Coordonnées : adresse postale ; numéro(s) de téléphone ; courriel(s).
- Etat civil, identité, données d’identification : civilité ; nom ; prénom.
- Données liées à l’activité professionnelle : organisme ; rôle / fonction exercée dans le cadre
des observations naturalistes concernées.
- Données de localisation : données d’identification indirecte en lien avec les références
cadastrales ; autres types de données permettant une identification indirecte susceptibles de
figurer dans les études ou plans remis au sous-traitant pour l’exécution de sa prestation ; le
cas échéant des coordonnées GPS.
- Autres catégories de données :
Photographies de milieux naturels ou de paysages susceptibles de représenter
physiquement des personnes ou de contenir des éléments d’identification ou de
qualification physique indirects de personnes physiques par le biais de leur lieu de vie
représentés sur ces photographies.
Autres catégories de données de différentes natures susceptibles d’être contenues dans
ces documents pour les raisons mentionnées à l’article 2.1.2 des présentes clauses.
Au titre de la finalité 2.
- Coordonnées : adresse postale ; numéro(s) de téléphone ; courriel(s).
- Etat civil, identité, données d’identification : civilité ; nom ; prénom.
- Données liées à l’activité professionnelle : organisme ; fonction dans l’éventualité où les
interventions du sous-traitant impliquerait le traitement de données relatives à des personnes
physiques représentant des personnes morales.
- Données de localisation : données d’identification indirecte en lien avec les références
cadastrales ; le cas échéant des coordonnées GPS.
- Autres catégories de données :
Photographies de milieux naturels ou de paysages susceptibles de porter, au moins
partiellement, sur des lieux de vie relatifs à des personnes physiques.
Au titre de la finalité 3.
- Coordonnées : coordonnées téléphoniques ; adresses de messagerie ; adresse postale.
- Etat civil, identité, données d’identification : civilité ; nom ; prénom.
- Données liées à l’exercice de la profession : organisme ; fonction.
- Données d’ordre économique et financier : documents relevant de cette catégorie devant
impérativement figurer dans les pièces de marché et nécessaires à sa passation et à son
exécution.
2.1.4 PERSONNES CONCERNEES
Les personnes concernées par les traitements de données à caractère personnel pour lesquels le
prestataire est considéré comme sous-traitant au sens RGPD dans le cadre du présent marché sont les
suivantes :
Au titre de la finalité 1., possiblement et de manière non systématique
- Tous types de personnes physiques susceptibles de figurer dans les contenus ou documents
mis à disposition du sous-traitant pour l’exécution de sa prestation.
Au titre de la finalité 2.
- Citoyens en tant que personnes physiques.
- Le cas échéant, personnes physiques représentant des personnes morales.
Au titre de la finalité 3.
- Personnel concerné de Limoges Métropole.
2.1.5 DESTINATAIRES DES DONNEES
Les destinataires des données à caractère personnel traitées par le prestataire considéré comme sous-
traitant au sens RGPD dans le cadre du présent marché sont les suivants :
- Direction des Espaces Naturels (DEN) de Limoges Métropole ; toute autre direction de Limoges
Métropole concernée par le marché.
- Services instructeurs de l’Etat (DREAL Nouvelle-Aquitaine ; DDT87)
- Dans certains cas, financeurs tels que l’Agence de l’Eau Loire-Bretagne ou la Région
Nouvelle-Aquitaine.
- Le cas échéant et sur accord express de Limoges Métropole : le ou les prestataires ayant
procédé à la collecte des données pour la réalisation de ses propres finalités et selon
consentement des personnes concernées.
2.1.6 SUIVI ET TRACABILITE DES TRAITEMENTS
Le sous-traitant déclare tenir par écrit un registre de toutes les catégories d’activités de traitement
effectuées pour le compte du responsable de traitement telles que définies ci-avant et comprenant :
• le nom et les coordonnées du responsable de traitement pour le compte duquel il agit, des éventuels
sous-traitants et, le cas échéant, du délégué à la protection des données,
• les catégories de traitements effectués pour le compte du responsable du traitement,
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou à une
organisation internationale, y compris l'identification de ce pays tiers ou de cette organisation
internationale ainsi que les éléments attestant de l'existence de garanties appropriées,
• une description générale des mesures de sécurité techniques et organisationnelles,
• une description des moyens permettant de garantir la confidentialité, l'intégrité et la résilience
constantes des systèmes et des services de traitement,
• une description des moyens permettant de rétablir la disponibilité des données à caractère
personnel et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique,
• une description des procédures visant à tester, à analyser et à évaluer régulièrement l'efficacité
des mesures techniques et organisationnelles pour assurer la sécurité du traitement.
Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour
démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris
des inspections, par le responsable du traitement ou un autre auditeur qu'il a mandaté, et contribuer
à ces audits.
2.1.7 DUREE DE CONSERVATION
De manière générale au titre de l’ensemble des finalités
La durée de conservation maximale des données traitées par le sous-traitant correspond à la durée
d’exécution du présent marché.
En fin de contrat, les données qui ne sont pas strictement nécessaires aux propres obligations du sous-
traitant seront rendues au pouvoir adjudicateur, responsable de traitement, dans un format
exploitable par des solutions informatiques courantes du marché et toutes les copies détenues par le
titulaire du marché, sous-traitant au sens du RGPD, devront être détruites ; le sous-traitant
s’engageant à attester de cette destruction.
De manière spécifique au titre de la finalité 2.
A l’issue de la remise à Limoges Métropole des recueils de consentement comme défini au point C de
l’article 2.4 des présentes clauses, le sous-traitant peut en conserver une copie temporaire,
dématérialisée ou non, si ces recueils sont nécessaires à la poursuite de l’exécution de sa prestation.
En revanche, dès lors que ces documents ne lui seront plus nécessaires à la réalisation de sa
prestation, ils devront être supprimés de ses environnements informatiques ou applicatifs et tout
support non dématérialisé détruit et cela, indépendamment de la durée d’exécution du marché.
2.2 - Cas de sous-traitance ultérieure
En cas de recours à une sous-traitance ultérieure pour des opérations de traitement spécifiques, le
responsable de traitement devra être informé par courrier, mentionnant précisément les activités de
traitement ultérieurement sous-traitées.
Le responsable de traitement disposera d’un délai de deux mois à la date de réception de ce courrier
pour accepter la sous-traitance ultérieure, le silence gardé au-delà de ce délai valant refus.
Le sous-traitant ultérieur est tenu de respecter les obligations du présent contrat. Il appartient au sous-
traitant initial de s’assurer que le sous-traitant ultérieur présente les garanties suffisantes quant au
respect des obligations liées à la protection des données. Si le sous-traitant ultérieur ne respecte pas
ses obligations, le sous-traitant initial demeure pleinement responsable devant le responsable de
traitement.
2.3 - Droit des personnes concernées
Le sous-traitant doit assister le responsable de traitement à s’acquitter de son obligation de donner
suite aux demandes d’exercice des droits des personnes concernées ; droits inhérents à la ou aux
bases légales retenus pour l’établissement du ou des traitements et inscrits au registre des activités
et traitement du responsable de traitement.
Le sous-traitant ne doit en aucun cas répondre par lui-même à une demande d’exercice de droits des
personnes concernées mais, dans l’optique où une demande lui serait adressée directement, rediriger
cette demande auprès de la Direction des Espaces Naturels Limoges Métropole ainsi qu’auprès du
Délégué à la protection des données de Limoges Métropole dans les plus brefs délais (3 jours ouvrés
au maximum) afin de permettre à Limoges Métropole de répondre à cette demande dans le respect
des dispositions règlementaires en ce domaine.
2.4 - Mesures de sécurité et de protection relatives aux données à caractère
personnel
En vertu de l’article 32 du RGPD, le sous-traitant assure la mise en œuvre des mesures techniques et
organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, compte tenu
de l'état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et
des finalités du traitement ainsi que des risques.
Ces mesures doivent permettre entre autres et sans s’y limiter de garantir :
- la confidentialité, l'intégrité et la résilience constantes des systèmes et des services de
traitement,
- la disponibilité des données à caractère personnel et l'accès à celles-ci dans des délais
appropriés en cas d'incident physique ou technique.
A - Au titre de l’ensemble des finalités et dès lors qu’il sera nécessaire de procéder à une transmission
de données à caractère personnel entre Limoges Métropole et le prestataire :
- Les transmissions réalisées par des moyens numériques devront être opérées dans des
conditions permettant d’assurer un niveau de sécurité adéquat aux données.
Ces moyens pourront être constitués par exemple (de manière non limitative ni exhaustive) :
De l’usage d’espaces numériques collaboratifs sécurisés et dont l’accès est conditionné
à la définition de profils utilisateurs assortie de modalités de connexion sécurisées.
Du recours au chiffrement des données transmises par le biais de messageries, la clé
de déchiffrement étant transmise par le biais d’un moyen distinct de celui ayant servi à
l’envoi.
B -De manière spécifique au titre de la finalité 1.
- Le sous-traitant doit porter une attention particulière à ce que les données à caractère
personnel susceptibles de figurer dans les études, documents, plans ou cartographies…
préétablis qui lui seraient remis par Limoges Métropole pour l’exécution de la prestation ne
soient reportés de manière identifiante dans les éventuels livrables qu’en cas de nécessité
avérée au regard des objectifs de la prestation.
- En cas d’absence de nécessité avérée d’une présence dans les livrables de données
identifiantes, le sous-traitant devra appliquer un processus de désidentification (a minima
pseudonymisation, anonymisation en priorité) à toute données à caractère personnel reportée
dans les livrables.
- Il est cependant entendu par cette formulation la nécessité de distinguer, lors de ce processus
de désidentification, les données recueillies émanant de personnes dont l’identité est
signifiante et/ou apporte une crédibilité aux observations naturalistes de celles recueillies
par des personnes dont la connaissance de l’identité n’apporte aucune plus-value aux
observations naturalistes et qu’il n’est donc, au titre du principe de minimisation du RGPD,
pas nécessaire de conserver en lien avec la finalité.
C -De manière spécifique au titre de la finalité 2. et tout particulièrement pour ce qui concerne la
collecte / le traitement de données à caractère personnel qui pourrait être réalisée par le sous-
traitant concernant des citoyens ou toute autre catégorie de personnes physiques.
- Préalablement à toute opération de collecte de données, le sous-traitant devra procéder à la
préparation des éléments requis dès lors qu’ils s’avèreraient nécessaires au regard des
dispositions règlementaires en vigueur en matière de protection des données (mentions
d’informations aux personnes concernées pour ce qui concerne le traitement de leurs données
à caractère personnel, recueil du consentement des personnes concernées si celui-ci s’avère
requis).
Ces éléments préparés par le sous-traitant devront être soumis au Délégué à la protection des
données de Limoges Métropole avant toute mise en œuvre d’une opération de collecte.
En cas d’impossibilité pour le sous-traitant de procéder à la préparation de ces éléments ou
en cas de non validation par le Délégué à la protection des données de Limoges Métropole des
éléments préparés par le sous-traitant, celui-ci devra impérativement exploiter les
documents qui lui seraient alors remis par Limoges Métropole en matière d’information aux
personnes concernées et le cas échéant de recueil du consentement de ces personnes.
Les recueils de consentement des personnes concernées doivent être remis au Délégué à la
protection des données de Limoges Métropole au plus tôt après leur recueil et traitées par le
sous-traitant conformément aux dispositions figurant à l’article 2.1.7 des présentes clauses.
- Le traitement / la collecte et le traitement des données à caractère personnel portant sur
des citoyens en tant que personnes physiques sont exclusivement destinés à établir des
contacts avec les personnes concernées en vue de la réalisation des opérations mentionnées
à l’article 2.1.2 des présentes clauses.
Aucune donnée relative aux conditions de vie des propriétaires ou des occupants des
propriétés concernées incluant de ce fait des captations d’images associées à la réalisation
des chantiers ne devra être traitée dans le cadre de l’exécution des prestations.
En cas de nécessité de captations nécessaires à l’exécution des prestations, le sous-traitant
devra appliquer des opérations de masquage irréversible à toute captation contenant des
éléments susceptibles de révéler des conditions de vie des personnes concernées qui ne
s’avèreraient pas strictement requis au regard des prestations.
- Dans l’éventualité où il s’avérerait nécessaire de s’assurer de l’identité des personnes
concernées par la réalisation de la finalité 2, le sous-traitant devra s’assurer que cette
vérification de l’identité des participants ne donne lieu à aucune collecte ni copie du
document présenté par les personnes afin d’attester de leur identité ; le traitement associé
à cette opération de vérification devant être exclusivement et strictement limité à une
présentation visuelle d’un titre d’identité par les participants sans aucune autre forme de
traitement.
D -De manière générale au titre de toutes les finalités qui pourraient être concernées
- Dès lors que le sous-traitant serait amené à avoir recours à des solutions de cloud computing,
il devra opérer les solutions mises en œuvre dans le respect des dispositions introduites par
la Loi N° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique ainsi que
des préconisations des fiches pratiques publiées par la CNIL le 22 janvier 2024 relatives au
chiffrement et à la sécurité des données exploitées en cloud.
2.5 - Signalement de violations de données à caractère personnel
Le sous-traitant s’engage à informer le responsable de traitement dans les plus brefs délais après en
avoir pris connaissance de toute violation ou atteinte aux données personnelles en termes d’intégrité,
de disponibilité ou de confidentialité afin de permettre au responsable de traitement de procéder si
besoin à une notification de violation auprès de l’autorité de contrôle.
Le sous-traitant devra en conséquence communiquer au responsable de traitement dans ces mêmes
délais tous les éléments en sa possession permettant au responsable de traitement de procéder à
cette formalité dans les délais imposés par la règlementation ainsi que de communiquer le cas échéant
auprès des personnes concernées par la violation de leurs données à caractère personnel.
Pour information, la notification de violation effectuée par le responsable de traitement doit contenir
a minima les éléments suivants :
• la description de la nature de la violation de données à caractère personnel y compris, si
possible, les catégories et le nombre approximatif de personnes concernées par la violation
et les catégories et le nombre approximatif d'enregistrements de données à caractère
personnel concernés,
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point de
contact auprès duquel des informations supplémentaires peuvent être obtenues,
• la description des conséquences probables de la violation de données à caractère
personnel,
• la description des mesures prises ou que le responsable du traitement propose de prendre
pour remédier à la violation de données à caractère personnel, y compris, le cas échéant,
les mesures pour en atténuer les éventuelles conséquences négatives.
Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps, les
informations peuvent être communiquées de manière échelonnée sans retard indu.
Le pouvoir adjudicateur se réserve le droit de procéder à toutes les vérifications qui lui sembleraient
utiles pour constater le respect par le prestataire des obligations précitées.
Le pouvoir adjudicateur pourra prononcer la résiliation immédiate du marché, sans indemnité en
faveur du titulaire, en cas de violation du secret professionnel ou de non-respect des prescriptions ci-
dessus.
2.6 - En cas de transfert de données à caractère personnel hors de l’Union
Européenne
Le pouvoir adjudicateur doit être informé en cas de recours de la part de celui-ci à des opérations
engendrant des transferts de données à caractère personnel hors de l’Union Européenne.
Le pouvoir adjudicateur doit être informé en cas de recours de la part du sous-traitant à des
opérations engendrant des transferts de données à caractère personnel hors de l’Union Européenne.
Dans l’éventualité d’un transfert de données à caractère personnel vers un pays pour lequel une
décision d’adéquation a été adoptée par la Commission européenne, le sous-traitant devra s’assurer
que ces transferts s’inscrivent dans le cadre définit et notamment, de manière non limitative, que
les organisations vers lesquelles les données sont transférées se sont engagées à respecter ce cadre
de protection des données.
Ces dispositions incluent celles prévues par la décision d’adéquation adoptée par la Commission
européenne le 10 juillet 2023 concernant les transferts de données à caractère personnel de l’Union
européenne vers les Etats-Unis.
Dans tout autre cas de transfert de données à caractère personnel hors de l’Union européenne, le
sous-traitant devra transmettre à Limoges Métropole les éléments ci-après lui permettant d’évaluer
les actions requises en matière de transfert de données hors de l’Union européenne (Transfert Impact
Assessment, Standards Contractual Clauses (SCC)…).
Les éléments à transmettre sont les suivants :
- Le détail des traitements concernés par d’éventuels transferts de données hors de l’Union
européenne.
- Le ou les pays de destination de ces éventuels transferts.
- Les mesures supplémentaires mises en œuvre afin de garantir un niveau de protection
essentiellement équivalent à celui prévu dans l’Espace économique européen et de s’assurer
que la législation du pays tiers n'empiétera pas sur ces mesures supplémentaires de manière
à les priver d'effectivité.
- Toute autre forme de Data Processing Agreement éventuellement mise en œuvre et intégrant
les éléments issus des décisions d’exécution (UE) 2021/914 et 2021/915 du 4 juin 2021 de la
Commission européenne.
2.7 – Obligations du responsable de traitement vis-à-vis du sous-traitant
Le responsable de traitement s’engage à :
- Documenter par écrit toute instruction concernant le traitement des données par le sous-
traitant.
- Veiller, au préalable et pendant toute la durée du traitement, au respect des obligations
prévues par le règlement européen sur la protection des données de la part du sous-
traitant.
- Superviser le traitement, y compris le cas échéant réaliser les audits et les inspections
auprès du sous-traitant.
- Dans l’hypothèse où interviendrait un quelconque changement dans le périmètre du
traitement tel que défini à l’article 2.1, intégrer ce ou ces changements dans une révision
des clauses de sous-traitance qui ferait alors l’objet d’un avenant au marché.
Coordonnées du Délégué à la Protection des données de Limoges Métropole :
Jean-Yves JABET
dpo@limoges-metropole.fr
05.55.45.29.61
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.