rgdp

[anneclaudie]

bonjour,
dans le cadre du rgpd, vous avez mis à jour vos documents ? notamment pour les sous-traitants ?

[mighty]

oui on a une clause type que l'on insère pour les marchés pour lesquels le RGPD s'applique.
Ensuite on travaille sur des avenants pour les marchés en cours
toute une œuvre quoi ! 

[anneclaudie]

oui on a une clause type que l'on insère pour les marchés pour lesquels le RGPD s'applique.
Ensuite on travaille sur des avenants pour les marchés en cours
toute une œuvre quoi ! 

et en abusant, je peux te demander la clause ?.....

[raffalli2]

nous serions interesse également

[Michel]

dans le cadre du rgpd

   Perso, il me semble urgent d'attendre de voir ce que font les copains !                 Wait & See

[Shmouck]

oui on a une clause type que l'on insère pour les marchés pour lesquels le RGPD s'applique.
Ensuite on travaille sur des avenants pour les marchés en cours
toute une œuvre quoi ! 

Preneur itou...

[Macaron vanille]

Bonjour,

Preneur itou + 

[ay_plb]

Bonjour,

Une clause "type" à insérer dans le CCAP du genre : "Dans le cadre de leur relations contractuelles, les parties s'engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, la règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018."

Ca vous parait bien ?

Sinon je suis preneuse d'une meilleure clause  

[Vivaelparaguay]

une telle clause me semble inutile. On ne va pas, pour chaque texte qui sort, écrire dans les contrats que la loi s'applique 

[hpchavaz]

Une clause "type" à insérer dans le CCAP du genre : "Dans le cadre de leur relations contractuelles, les parties s'engagent à respecter la réglementation en vigueur applicable au traitement de données à caractère personnel et, en particulier, la règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018."

Cela ne parait pas répondre à l'article 28 du RGPD.

Concernant le 3., quid notamment des point soulignés "l'objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement"

voir site CNIL : Règlement européen sur la protection des données personnelles GUIDE DU SOUS-TRAITANT EDITION SEPTEMBRE 2017 qui comporte des clauses type.

[iBrain System]

une telle clause me semble inutile. On ne va pas, pour chaque texte qui sort, écrire dans les contrats que la loi s'applique 

Bonjour,
Pour la partie sous-traitance, cette phrase est utile, mais insuffisante en cas de litige; elle précise que les deux parties ont connaissance du règlement - même si nul n'est censé ignorer la loi - et en complément, le texte doit préciser ou lister les responsabilités de chacune des parties. Par exemple : "Le responsable du traitement ne prend pas en charge la vérification de l'enregistrement des données, cette action est placée sous la responsabilité du sous-traitant".

[Michel]

Bonjour "nouvelle personne inscrite"       sur votre site vous dites :
"Vous êtes obligé d'appliquer le R.G.P.D. si :
Vous avez au moins 1 contact dans votre téléphone, ordinateur, carnet papier."  
[. . .]

Je vois bien ma grand-mère s'intéresser au RGPD avec son petit carnet papier d'adresses      
et tous les gamins avec leur smartphone et les "quelques" contacts qu'ils ont 

Restons sérieux !

[hpchavaz]

Article 2 Champ d'application matériel
...
2.   Le présent règlement ne s'applique pas au traitement de données à caractère personnel effectué:
...
c)  par une personne physique dans le cadre d'une activité strictement personnelle ou domestique;

[iBrain System]

Bonjour,

Je réponds à Michel et hpchavaz sur le même sujet.

Merci de vos remarques. Sachez que je suis toujours "sérieux" lorsque je communique sur le RGPD :-)

Vous avez raison, le RGPD ne s'applique pas aux particuliers, laissons nos grands-mères tranquille ;-)

La page que nous consacrons au RGPD s'adresse à des professionnels qui eux, sont concernés. Cela inclut les PME, TPE, indépendants, VDI, auto-entrepreneurs.
Souvent, les personnes en structure unipersonnelle comme les VDI, auto-entrepreneurs utilisent le papier plutôt qu'un ordinateur ou un smartphone pour noter des informations prospects ou clients; si ces informations sont des données personnelles (âge, poids, coordonnées, etc.) elles tombent sous le coup du RGPD.

Par ailleurs, les cartes de fidélité, bulletins d'abonnement, jeux-concours, flyers, sont très souvent imprimés sur papier et visés également par le RGPD.

J'espère vous avoir apporté une réponse utile,

Bonne journée à tous

[Marchepublix-le-gaulois]

Bonjour,

Je suis peut-être naïf mais à quoi ça sert de rappeler dans un document qu'un décret existe et qu'il faut le respecter, à part faire de la pédagogie ?

Je pense très honnêtement que toutes les tentatives de mise en conformité que je lis dans ce fil de discussion sont prématurées et inutiles...il me semble qu'il faut être plus méthodique que ça.

La finalité du RGPD, une fois tout déblayé, c'est de tenir des registres sur les différents traitements de données à caractère personnel opérés par la collectivité. "C'est tout" si j'ose dire (pas taper s'il-vous-plaît XD).

Ainsi, c'est un travail qui ne concerne pas particulièrement les marchés publics et, pour la partie qui les concerne, je pense que l'insertion de clauses-types via les futurs CCAG devraient suffire. Pour le moment, personnellement je suggère de suivre les recommandations de la CNIL (ou de ne rien faire du tout, mais mentionner le décret est inutile et un poil paresseux XD), résumées par exemple ici (http://www.acheteurs-publics.com/actualite-des-acheteurs-publics/preparerlesmarchespublicsalargpd - résumé du document : https://www.cnil.fr/sites/default/files/atoms/files/rgpd-guide_sous-traitant-cnil.pdf) :

Je cite : "Dans ses futurs contrats, ou par le biais d'avenant pour les contrats existants, l'acheteur public devra instaurer des clauses relatives à :

    - La description du traitement des données que le fournisseur aura à traiter dans le cadre du marché (objet et durée du traitement, nature et finalité, types de données) ;
    - Les obligations du fournisseur dans l'usage des données :
        Ne traiter les données que sur instruction de l'acheteur public ;
        Faire intervenir des personnes soumises à une obligation légale et appropriée de confidentialité et ayant reçu une formation adaptée ;
        Prendre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ;
        Détruire ou renvoyer sans copie toutes les données personnelles soumises au traitement ;
        L'obligation de conseil et d'assistance (techniques et/ou opérationnels) du fournisseur dans le cadre d'une demande d'exercice des droits des personnes concernées (droit d'information, droit d'accès, de rectification, d'effacement, d'opposition, etc...) ;
    - La notification des violations de données à caractère personnel auprès de l'acheteur public et/ou de la CNIL ;
    - L'établissement des éléments de preuves de conformité au règlement européen (notamment par le biais de code de conduite ou de mécanisme de certification adopté par le fournisseur) ;
    - L'encadrement de la sous-traitance des activités de traitement par le fournisseur titulaire du marché ;
    - Les sanctions en cas de non respect des dispositions liées à la protection des données personnelles.

Autre chose : je tiens aussi à préciser - j'ai l'impression que c'est utile - que le terme "sous-traitant" est un terme générique qui indique juste le fait qu'un de nos cocontractants effectue en quelque sorte un "sous-traitement" de données à caractère personnel, sous notre responsabilité. Il faut donc en premier lieu identifier dans quels contrats de telles données sont traitées par le fournisseur/prestataire/entreprise.

Bref, mon post est peut-être inutile mais plutôt que de tous nous noyer dans un verre d'eau, il serait peut-être judicieux de commencer par un inventaire des traitements de données à caractère personnel opérés dans la commune. S'agiter et mettre une clause type vide de substance ne sert à rien - pas même à rassurer.

Et puis franchement, c'est pas demain la veille (on doit bien avoir entre 6 mois et 2 ans) qu'on va être sanctionné dans ce cadre. Du coup je suggère de passer en mode projet avec le sourire, et de bosser tout ça entre chefs de services autour d'un café, après avoir nommé un délégué.

Bon courage à tous en tout cas !