Annexe
CE28-MOE- Annexe_RGPD.pdf · 2 506 mots · du marché « Accord-cadre pour la maîtrise d'œuvre des travaux de rénovation et de maintenance de tous les corps d'état du… », dossier de consultation officiel.
ANNEXE CONTRACTUELLE AU CCAP RELATIVE AUX
MODALITES ET CONDITIONS DE TRAITEMENT DES DONNEES A
CARACTERE PERSONNEL
I. OBJET
Les présentes clauses ont pour objet de définir les conditions dans lesquelles le titulaire
s’engage à effectuer pour le compte du Département des Bouches-du-Rhône les opérations de
traitement de données à caractère personnel définies ci-après.
Au sens du règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 sur la
protection des données à caractère personnel (RGPD), le titulaire est qualifié de « sous-
traitant » et le Département des Bouches-du-Rhône de « responsable de traitement ». Les
termes « sous-traitance » ou « sous-traitant » sont utilisés en ce sens dans le cadre de la présente
annexe.
Dans le cadre de leurs relations contractuelles, le titulaire et le Département des Bouches-du-
Rhône s’engagent à respecter la réglementation en vigueur applicable au traitement de données
à caractère personnel et, en particulier, le règlement (UE) 2016/679 du Parlement européen et
du Conseil du 27 avril 2016 susvisé dénommé RGPD.
Cette annexe qui revêt un caractère contractuel complète l’article 5.2 du CCAG-PI.
II. DESCRIPTION DU TRAITEMENT
Le titulaire est autorisé, pendant toute la durée du marché, à traiter pour le compte du
Département des Bouches-du-Rhône les données à caractère personnel nécessaires à
l’exécution de la prestation suivante figurant au marché : Accord-cadre de Maîtrise d’Œuvre
pour des travaux de rénovation et de maintenance tout corps d’état du patrimoine immobilier
du Conseil Départemental des Bouches-du-Rhône, 2 lots géographiques et 1 lot marché
subséquent, corps d’état n°28.
La nature des opérations réalisées sur les données est décrite dans le CCTP.
La ou les finalité(s) du traitement sont décrites dans le CCTP.
Les données à caractère personnel traitées sont décrites dans le CCTP.
Les catégories de personnes concernées sont décrites dans le CCTP.
Pour l’exécution des prestations, le Département des Bouches-du-Rhône met à la disposition
du titulaire les informations nécessaires suivantes voir CCTP.
1/8
V012024
III. OBLIGATIONS DU TITULAIRE VIS-A-VIS DU Département des Bouches-du-
Rhône
1. Finalités
Le titulaire s'engage à traiter les données uniquement pour la ou les seule (s)finalité(s)qui
fait/font l’objet de la « sous-traitance » décrite au II. de la présente annexe.
2. Respect des instructions données par le Département des Bouches-du-Rhône
Le titulaire s'engage à traiter les données conformément aux instructions documentées du
Département des Bouches-du-Rhône. Si le titulaire considère qu’une instruction constitue une
violation du règlement européen sur la protection des données ou de toute autre disposition du
droit de l’Union ou du droit des Etats membres relative à la protection des données, il en informe
immédiatement le Département des Bouches-du-Rhône.
En outre, si le titulaire est tenu de procéder à un transfert de données vers un pays tiers ou à une
organisation internationale, en vertu du droit de l’Union ou du droit de l’Etat membre auquel il
est soumis, il doit informer le responsable du traitement de cette obligation juridique avant le
traitement, sauf si le droit concerné interdit une telle information pour des motifs importants
d'intérêt public.
3. Mesures de sécurité
Le titulaire prend toutes les mesures requises en matière de sécurité des données (notamment
s’agissant de leur disponibilité, de leur intégrité et de leur confidentialité) en vertu de l’article
32 du règlement général sur la protection des données et respecter les éléments de la politique
de sécurité des systèmes d’informations du Département des Bouches-du-Rhône qui lui auront
été communiquées.
Les mesures envisagées par le titulaire pour assurer la sécurité des données personnelles traitées
pour le compte du Département des Bouches-du-Rhône, sont préalablement présentées à la
validation du responsable de la sécurité des systèmes d’information du département. En tant
que de besoin, cette présentation fera l’objet d’une réunion dédiée.
Dans ce cadre, le titulaire s’engage à mettre en œuvre :
• les moyens permettant de garantir la confidentialité (pseudonymisation, chiffrement en
tant que de besoin) l'intégrité, la disponibilité et la résilience constantes des systèmes et
des services de traitement ;
2/8
V012024
• les moyens permettant de rétablir la disponibilité des données à caractère personnel et
l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique ;
et
• une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des
mesures techniques et organisationnelles pour assurer la sécurité du traitement.
4. Confidentialité des données personnelles
Le titulaire s'engage à garantir la confidentialité des données à caractère personnel traitées en
vertu des stipulations des clauses de la présente annexe.
Le titulaire veille, en particulier, à ce que les personnes autorisées à traiter les données à
caractère personnel en vertu des stipulations des clauses de la présente annexe :
• s’engagent contractuellement à respecter la confidentialité ou soient soumises
à une obligation légale appropriée de confidentialité.
• reçoivent la formation nécessaire en matière de protection des données à
caractère personnel.
5. Protection des données dès la conception et par défaut
Le titulaire prend en compte, s’agissant de ses outils, produits, applications ou services, les
principes de protection des données dès la conception et de protection des données par défaut
définies à l’article 25 du règlement général sur la protection des données.
6. Sous-traitance
Le titulaire peut faire appel à un sous-traitant (ci-après, «le sous-traitant ultérieur») pour mener
des activités de traitement spécifiques de données à caractère personnel. Dans ce cas, il
informe préalablement et par écrit le Département des Bouches-du-Rhône de tout changement
envisagé concernant l’ajout de sous-traitants ultérieurs ou leur remplacement.
Cette information qui doit être fournie dans la déclaration de sous-traitance, doit indiquer
clairement les activités de traitement sous-traitées, l’identité et les coordonnées du sous-
traitant et les dates du contrat de sous-traitance.
Le Département des Bouches-du-Rhône dispose d’un délai de 21 jours à compter de la date
de réception de ces éléments pour présenter ses objections. Cette sous-traitance ne peut être
effectuée que si le Département des Bouches-du-Rhône n'a pas émis d'objection pendant ce
délai.
Le sous-traitant ultérieur est tenu de respecter les obligations des clauses de la présente annexe
pour le compte et selon les instructions du Département des Bouches-du-Rhône. Il appartient
3/8
V012024
au titulaire de s’assurer que le sous-traitant ultérieur présente les mêmes garanties suffisantes
quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière
à ce que le traitement réponde aux exigences du règlement européen sur la protection des
données.
Lorsque le sous-traitant est présenté au moment du dépôt de l’offre, la notification du marché
public vaut non-opposition de l’acheteur à la sous-traitance des activités de traitement de
données indiquées dans la déclaration de sous-traitance.
Si le sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données,
le titulaire demeure pleinement responsable devant le Département des Bouches-du-Rhône de
l’exécution par le sous-traitant de ses obligations.
7. Droit d’information des personnes concernées
Il appartient au Département des Bouches-du-Rhône de fournir l’information aux personnes
concernées par les opérations de traitement au moment de la collecte des données.
8. Exercice des droits des personnes
Le titulaire doit aider le Département des Bouches-du-Rhône à s’acquitter de son obligation
de donner suite aux demandes d’exercice des droits des personnes concernées : droit d’accès,
de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la
portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée
(y compris le profilage).
Lorsque les personnes concernées exercent auprès du titulaire des demandes d’exercice de
leurs droits, le titulaire doit adresser ces demandes dès réception par courrier électronique à
Monsieur Franck DUPEYRON (franck.dupeyron@departement13.fr) Directeur de la
Maintenance et de l’Exploitation.
9. Notification des violations de données à caractère personnel
Le titulaire alerte sans délai le délégué à la protection des données du Département des Bouches-
du-Rhône, à l’adresse suivante : dpo13@departement13.fr , de toute violation de données à
caractère personnel visée au II. des clauses de la présente annexe (violation de la sécurité
entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation
non autorisée de données à caractère personnel gérées par le titulaire pour le compte du
Département des Bouches-du-Rhône ou l’accès non autorisé à de telles données). Cette alerte
4/8
V012024
est accompagnée de toute documentation utile afin de permettre au Département des Bouches-
du-Rhône, si nécessaire, de notifier cette violation à l’autorité de contrôle compétente.
Après accord du Département des Bouches-du-Rhône, le titulaire communique, au nom et pour
le compte du Département des Bouches-du-Rhône, la violation de données à caractère
personnel à la personne concernée dans les meilleurs délais, lorsque cette violation est
susceptible d'engendrer un risque élevé pour les droits et libertés d'une personne physique.
La communication à la personne concernée décrit, en des termes clairs et simples, la nature de
la violation de données à caractère personnel et contient au moins :
• la description de la nature de la violation de données à caractère personnel y
compris, si possible, les catégories et le nombre approximatif de personnes
concernées par la violation et les catégories et le nombre approximatif
d'enregistrements de données à caractère personnel concernés ;
• le nom et les coordonnées du délégué à la protection des données ou d'un autre point
de contact auprès duquel des informations supplémentaires peuvent être obtenues ;
• la description des conséquences probables de la violation de données à caractère
personnel ; et
• la description des mesures prises ou que le responsable du traitement propose de
prendre pour remédier à la violation de données à caractère personnel, y compris, le
cas échéant, les mesures pour en atténuer les éventuelles conséquences négatives.
10. Concours du sous-traitant au respect des obligations du Département des Bouches-
du-Rhône en tant que responsable de traitement
Le titulaire apporte son concours au Département des Bouches-du-Rhône pour la
réalisation, en tant que de besoin :
- d’analyses d’impact relatives à la protection des données ;
- des homologations de sécurité prévues par la réglementation ;
- pour la réalisation de la consultation préalable de l’autorité de contrôle ;
- et de toute documentation relative aux procédures d’exploitation de sécurité
telles que les procédures de reprise/continuité d’activité.
11. Discrétion professionnelle
Le titulaire garantit la complète discrétion professionnelle de ses équipes dans le cadre de
l’exécution du marché, concernant notamment la documentation remise ou échangée, les
réunions de travail et leurs comptes rendus.
5/8
V012024
Le titulaire s’engage, en particulier, à ne pas utiliser les documents et informations traités à
des fins autres que celles spécifiées par les clauses de la présente annexe.
S’il a recours à des sous-traitants, le titulaire les informe des obligations de confidentialité
et des mesures de sécurité qui s’imposent à lui pour l’exécution du contrat. Il s’assure du
respect de ces obligations par ses sous-traitants.
12. Sort des données
Au terme de la prestation de services relatifs au traitement de ces données, le titulaire
s’engage à : détruire toutes les données à caractère personnelLe renvoi doit s’accompagner
de la destruction de toutes les copies existantes dans les systèmes d’information du titulaire.
Une fois détruites, le titulaire doit justifier par écrit de la destruction.
13. Délégué à la protection des données
Le titulaire communique au Département des Bouches-du-Rhône le nom et les coordonnées
de son délégué à la protection des données désigné conformément à l’article 37 du
règlement européen sur la protection des données.
14. Registre des catégories d’activités de traitement
Le titulaire tient par écrit un registre de toutes les catégories d’activités de traitement
effectuées pour le compte du Département des Bouches-du-Rhône comprenant
conformément à l’article 30 (2) du règlement général sur la protection des données :
• le nom et les coordonnées du Département des Bouches-du-Rhône pour le compte
duquel il agit, des éventuels titulaires et, le cas échéant, du délégué à la protection
des données ;
• les catégories de traitements effectués pour le compte du responsable du traitement
;
• le cas échéant, les transferts de données à caractère personnel vers un pays tiers ou
à une organisation internationale, y compris l'identification de ce pays tiers ou de
cette organisation internationale et, dans le cas des transferts visés à l'article 49,
paragraphe 1, deuxième alinéa du règlement européen sur la protection des données,
les documents attestant de l'existence de garanties appropriées ; et
• dans la mesure du possible, une description générale des mesures de sécurité
techniques et organisationnelles, y compris entre autres, selon les besoins :
6/8
V012024
▪ la pseudonymisation et le chiffrement des données à caractère personnel;
▪ des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la
résilience constantes des systèmes et des services de traitement ;
▪ des moyens permettant de rétablir la disponibilité des données à caractère personnel
et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou
technique ; et
▪ une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des
mesures techniques et organisationnelles pour assurer la sécurité du traitement.
15. Localisation des données
A tout moment en cours d’exécution du marché, le Département des Bouches-du-Rhône
peut demander au titulaire de lui fournir, sans délai, la localisation géographique des
données dont le titulaire assure à son propre titre ou au travers d’un sous-traitant,
l’hébergement. Dans sa réponse, le titulaire détaille les moyens mis en œuvre par lui et/ou
ses sous-traitants pour gérer la localisation des données.
16. Documentation et audits
Le titulaire met à la disposition du Département des Bouches-du-Rhône la documentation
nécessaire pour démontrer le respect de ses obligations.
Le Département des Bouches-du-Rhône se réserve le droit de procéder, ou de faire procéder
par un tiers mandaté, à toute vérification ou audit qui lui paraîtrait utile pour constater le
respect effectif des clauses de la présente annexe.
L’audit pourra être effectué sur pièce ou sur place. L’audit n'a pas d'objet autre que de
s'assurer du respect par le titulaire des obligations qui lui incombent au titre du présent
document, et dans le strict respect de la réglementation sur les données personnelles.
IV. Obligations du Département des Bouches-du-Rhône vis-à-vis du titulaire
Le Département des Bouches-du-Rhône s’engage à :
• fournir au titulaire les données visées au II des présentes clauses et mettre à sa
disposition la documentation nécessaire au respect des clauses de la présente annexe
7/8
V012024
en particulier les éléments pertinents de la politique de sécurité des systèmes
d’information du Département des Bouches-du-Rhône ;
• documenter par écrit toute instruction concernant le traitement des données par le
titulaire ;
• veiller, au préalable et pendant toute la durée du traitement, au respect des obligations
prévues par le règlement européen sur la protection des données de la part du
titulaire ;
• superviser le traitement, y compris réaliser les audits et les inspections auprès du
sous- traitant. Les audits ou inspections peuvent être réalisés par le Département des
Bouches-du-Rhône et/ou un auditeur mandaté par celui-ci. Le titulaire pourrait être
amené à participer à ces audits.
V. Pénalités
En cas de non-accomplissement d’une obligation figurant dans la présente annexe ou d’un
retard dans l’accomplissement d’une de ces obligations, il sera appliqué des pénalités dans
les conditions définies à l’article 17 du CCAP et ce, sans préjudice de la mise en œuvre du
processus de résiliation du marché.
8/8
V012024
Texte extrait tel quel de la pièce officielle, qui seule fait foi. La mise en page du document d'origine peut différer.