CNIL et marchés publics

[Vivaelparaguay]

Mon interrogation concerne les cas où l'exécution d'un marché public implique la communication par le pouvoir adjudicateur au titulaire de données à caractère personnel au sens de la loi informatique et liberté.

Cela peut consister en fichier nominatif de salariés, d'administrés, des adresses de logements pour envoyer des titulaires faire des travaux, les cas de figure sont multiples.

Faut-il alors inclure dans les pièces du marché (CCAP, RC ?) des clauses concernant la protection de ces données, l'interdiction de toute utilisation à d'autres fins que celle qui découlent de l'exécution du contrat, ou l'obligation pour le détenteur de ne pas les conserver ensuite ?

On m'a conseillé de le faire mais je suis septique, je n'ai pas pour habitude d'écrire dans les contrats tout ce que la loi prévoit déjà...

[Lolila]

pour ma part je mets en général un petit paragraphe passe-partout dans le CCAP, c'est le genre de choses qui ne fait de mal à écrire et réécrire

[Virkiel]

En général j'indique une clause standard concernant la confidentialité des données dans le CCAP :

9.2 Confidentialité

Les informations et renseignements fournis par le PA, sont strictement couverts par le secret professionnel (article 226-13 du Code Pénal) et sont soumis à la loi n°78-17 du 6 janvier 1978 modifiée par la loi n°2004-801 du 6 août 2004, relative à l'informatique, aux fichiers et aux libertés.

En conséquence, le titulaire s'engage à respecter de façon absolue cette obligation et à la faire respecter par son personnel et ses sous-traitants éventuels.

L'obligation de confidentialité s'impose au titulaire et s'étend à tous les renseignements de quelque nature que ce soit dont le titulaire et ses sous-traitants éventuels auraient eu connaissance durant l'exécution du marché.

Le titulaire s'engage notamment à :
   ne conserver aucune copie des documents et des fichiers informatiques remis par le PA, à l'issue du marché ;
   ne pas utiliser les informations, documents et fichiers informatiques transmis par le PA à des fins autres que celles spécifiées dans le cadre du présent marché ;
   ne pas communiquer les livrables réalisés, documents, informations et fichiers transmis par le PA à d'autres personnes morales ou non, privées ou publiques, que celles qui ont qualité pour en connaître ;
   prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse des fichiers informatiques qui seraient utilisés dans le cadre du marché.

En outre, le titulaire s'engage à reconstituer les documents et fichiers qui lui seraient remis, qui viendraient à être perdus ou auraient été rendus inutilisables par sa faute, sous réserve que le PA lui fournisse les données nécessaires à leur reconstitution.

Le PA se réserve le droit, dans le cadre de l'exécution du marché, de procéder, à ses frais et risques, à toute vérification qui lui paraîtrait utile pour s'assurer du respect de ces obligations, tant par le titulaire que par ses sous-traitants éventuels.

En cas de non-respect par le titulaire de cette obligation, et indépendamment des sanctions encourues, le PA pourra décider de résilier le marché, sans mise en demeure préalable et sans ouvrir droit à indemnités, à quelque titre que ce soit, pour le titulaire.

[Ponta]

+1.
C'est toujours bien de le rappeler même s'il est concrètement difficile de vérifier que le titulaire ne fait pas une utilisation commerciale de ses données.

[Vivaelparaguay]

Merci ; donc je vais prévoir un petit quelque chose.

Cela dit, nous sommes d'accord, c'est prévu dans la loi, les contrats n'ont théoriquement pas à le mentionner de manière obligatoire ? La question derrière ça, c'est que je n'ai pas l'intention de m'amuser à passer des avenants sur tous mes marchés en cours dont l'exécution suppose du traitement de données à caractère personnel...