Quelles clauses RGPD changent le service proposé ?

Dossier de départ

Examiner ensemble l’annexe émise et le service qu’elle engagerait

Partez du jeu complet de documents émis par l’acheteur. L’annexe peut incorporer une politique de sécurité, des règles applicables aux prestataires, un tableau de conservation et des dispositions du contrat principal. Relevez version, emplacement et ordre de priorité annoncé. Suivez les renvois jusque dans les pièces jointes et les clarifications. Si une pièce manque ou si deux obligations se contredisent, conservez cette incertitude. L’accord habituel du fournisseur ne remplace pas une pièce absente de sa propre initiative.

En regard, décrivez précisément l’offre : entité contractante, édition du produit, options, pays d’exécution, organisation du support, tâches confiées à des tiers et date de début. Un schéma d’une autre édition ne suffit pas. Distinguez fonction disponible, configuration possible, développement requis et changement soumis à l’accord d’un tiers. Les architectures et contrats protégés doivent rester accessibles par référence contrôlée, sans être recopiés dans un registre largement diffusé.

Pour une relation relevant de la sous-traitance au sens du RGPD, l’article 28 fixe le contenu et les obligations de l’accord. L’acheteur peut également imposer des précisions ou des contraintes d’exploitation supplémentaires. Indiquez leur origine. Une première notification sous six heures peut être une condition de cette annexe, sans constituer un délai général du RGPD. Une restriction contractuelle à certains pays reste applicable à l’offre même lorsqu’une analyse juridique identifie un mécanisme de transfert disponible.

Donnez un identifiant stable à chaque écart. Le registre doit conserver clause, obligation, opération, preuve de l’existant, différence, traitement, responsable, échéance, coût, décision, action interdite et motif de réouverture. Il doit permettre de décider du service à engager. Le pourcentage de clauses ressemblant à l’accord standard n’apporte pas cette réponse.

Rôles et instructions

Séparer les finalités avant de reprendre les qualifications du contrat

Complétez la description à partir de l’usage prévu par l’acheteur : objet, durée, opérations, finalités, types de données et catégories de personnes. Incluez les entrées inhabituelles, par exemple des informations de santé dans une pièce de support si le service les autorise. Une annexe vide ou la formule toutes les données du client masque le périmètre à examiner. Les faits d’usage manquants suivent le canal autorisé vers l’acheteur ; les bases légales et catégories particulières vont aux juristes. La signature de l’accord ne démontre pas, à elle seule, la licéité de la collecte proposée.

Une annexe qui désigne le fournisseur comme sous-traitant pour l’ensemble du service exige encore une vérification des faits. Séparez traitement métier, demandes au support, télémétrie, prévention des abus, facturation et réutilisations envisagées. Indiquez qui décide de chaque finalité et de ses paramètres essentiels. Les lignes directrices 07/2020 du CEPD retiennent une approche fonctionnelle, propre à chaque activité. L’étiquette contractuelle ne tranche pas une situation factuelle contradictoire.

Supposons qu’un service fictif d’inscription aux équipements municipaux propose une fonction facultative agrégeant des parcours d’usagers identifiables entre plusieurs clients. L’appel d’offres limite pourtant le traitement aux instructions de l’acheteur pour gérer les inscriptions. L’examen doit nommer cet écart. Désactiver la fonction pour cette offre, revoir sa conception ou soumettre la finalité distincte à une analyse juridique sont des traitements possibles. Parler de télémétrie ou remplacer les noms par des identifiants ne règle pas la qualification.

Organisez aussi la réception des instructions. Quelle personne de l’acheteur peut les donner, qui les reçoit, comment son pouvoir est-il vérifié et comment une demande urgente est-elle documentée ? Distinguez instruction de traitement et changement de périmètre commercial. Un désaccord sur le prix ne permet pas d’ignorer une obligation légale ; une instruction n’autorise pas automatiquement un développement ou une finalité nouvelle. Si sa licéité paraît douteuse, saisissez les responsables juridiques et de protection des données avant exécution. L’article 28, paragraphe 3, prévoit l’information du responsable lorsque le sous-traitant estime qu’une instruction enfreint les règles applicables.

Chaîne de traitement

Identifier l’entité destinataire et les accès effectifs

La chaîne doit pouvoir exécuter les promesses du titulaire. L’article 28, paragraphe 4, prévoit que les obligations pertinentes de protection des données soient imposées au sous-traitant ultérieur ; le premier sous-traitant demeure responsable envers le responsable du traitement de leur exécution. Comparez les contrats concernés à l’annexe proposée : confidentialité des personnes autorisées, assistance, sécurité, coopération aux audits et effacement. L’autorisation de recourir à un prestataire ne prouve pas que son contrat et son service permettent de tenir ces engagements.

Suivez les données dans la production, les pièces adressées au support, les diagnostics, les messages, les sauvegardes, la reprise après incident et les exports de sortie. Pour chaque flux, identifiez l’entité juridique destinataire, son activité, ses lieux de stockage et les lieux depuis lesquels un accès est possible. Notez les conditions de cet accès. Un prestataire de support peut être concerné même s’il consulte rarement des dossiers. La promesse d’hébergement régional ne doit couvrir que le périmètre effectivement démontré.

L’article 28 distingue autorisation écrite spécifique et autorisation écrite générale d’un autre sous-traitant. Dans le second cas, l’ajout ou le remplacement envisagé doit être annoncé avec une possibilité d’objection. Transformez le mécanisme émis en responsabilités et en dates. Comparez le préavis exigé par l’acheteur à celui que le fournisseur reçoit de son propre prestataire. Un préavis amont trop court exige un accord adapté, un autre chemin de service ou un traitement contractuel autorisé.

L’avis 22/2024 du CEPD traite de la visibilité sur la chaîne et de la vérification des garanties suffisantes. Il prévoit notamment que les identités des sous-traitants restent disponibles pour le responsable du traitement. Dans le registre de l’offre, séparez information et autorisation. Une entité figurant sur une page publique n’est pas, de ce seul fait, autorisée par cet acheteur pour cette activité. Les coordonnées protégées et les preuves contractuelles passent par le canal d’examen prévu.

Une analyse de transfert doit connaître les entités et les circonstances, pas seulement les pays. Les lignes directrices 05/2021 distinguent la mise à disposition à une autre entité responsable ou sous-traitante à l’étranger de l’accès par un salarié au sein de la même entité ; les obligations de sécurité restent pertinentes. Faites qualifier le flux réel par les juristes. Les clauses de la décision 2021/915 ne satisfont pas, à elles seules, aux obligations du chapitre V. Un mécanisme de transfert licite ne supprime pas non plus une restriction géographique plus stricte de l’appel d’offres.

Charge d’exploitation

Éprouver les délais et l’assistance dans des situations de travail

Les mesures de sécurité doivent correspondre au service offert. Si l’annexe exige des clés contrôlées par l’acheteur, une séparation de données, une fréquence de tests ou un objectif de restauration, identifiez composant, configuration, équipe et preuve. Vérifiez que l’édition et le prix comprennent la fonction. L’article 32 impose des mesures appropriées au risque. Un certificat ne démontre pas automatiquement une condition technique supplémentaire choisie par l’acheteur.

Pour les incidents, séparez événement déclencheur, destinataire et contenu de chaque étape. L’article 33, paragraphe 2, demande au sous-traitant d’informer le responsable dans les meilleurs délais après avoir pris connaissance d’une violation de données personnelles. La règle conditionnelle des soixante-douze heures vers l’autorité de contrôle concerne le responsable au paragraphe 1. Le marché peut imposer une information contractuelle plus rapide ou plus large. Testez l’envoi initial de nuit, le pouvoir de l’expéditeur, le canal, la présentation des faits encore inconnus et la suite des mises à jour.

L’assistance aux droits des personnes et aux analyses d’impact mobilise elle aussi du personnel. Faites parcourir à une demande la réception, la vérification de l’acheteur, la recherche, l’extraction, le contrôle et la remise sécurisée. L’acheteur conserve ses décisions ; les dossiers d’autres personnes doivent être protégés. Estimez un volume ordinaire et un pic borné. Si l’annexe prévoit une assistance sans supplément, le chiffrage doit couvrir cette charge au lieu de la traiter comme négligeable.

Examinez la coopération aux audits jusqu’au point nécessaire pour repérer un écart de service. Le fournisseur peut-il produire les informations et permettre les accès prévus par l’article 28, paragraphe 3, point h, et par l’annexe, sans exposer indûment d’autres clients ? Les accès refusés par un prestataire et les obligations de confidentialité incompatibles restent ouverts. Confiez le protocole d’inspection et les mesures correctives à l’examen détaillé des droits d’audit. Un rapport utile ne remplace pas silencieusement un droit d’inspection.

Copies et fin de service

Faire entrer les sauvegardes dans la promesse d’effacement

Inventoriez les ensembles visés par restitution et effacement : données actives, index de recherche, exports, pièces de support, répliques, sauvegardes et copies chez les sous-traitants ultérieurs. Distinguez les instructions de conservation pendant le service des obligations après sa fin. L’article 28, paragraphe 3, point g, prévoit le choix du responsable entre restitution et suppression, avec effacement des copies existantes, sous réserve de l’obligation légale de conservation qu’il précise. Il n’accorde pas d’exception générale pour une conception de sauvegarde difficile à modifier.

Comparez le délai exact à la technique documentée. Des sauvegardes immuables conservées soixante jours et une clause exigeant toutes les copies effacées sous vingt jours créent un écart de quarante jours. L’impossibilité d’accès par les usagers ordinaires ne prouve pas l’effacement. Demandez au responsable technique les changements possibles et leurs effets sur la reprise ; faites examiner le traitement contractuel par les juristes. Une conservation résiduelle à accès restreint reste une proposition tant que sa base juridique et contractuelle n’est pas établie.

La restauration peut réintroduire des données supprimées du service actif. Le registre doit donc préciser le traitement des instructions d’effacement après reprise, le moment où le traitement ordinaire peut redémarrer et la preuve de fin d’opération. Une conservation légalement imposée exige base applicable, données concernées, durée, restriction d’accès et approbateur. La seule mention conformité ne suffit pas. Rapprochez format de restitution, transport sécurisé, vérification d’effacement et confirmation des prestataires avant de chiffrer l’assistance de sortie.

Cas chiffré

L’offre de Montval doit financer ses engagements de données

Dans un marché fictif, le Syndicat des équipements de Montval achète un service d’inscription aux activités sportives. L’annexe R, version 5, limite les accès aux données personnelles à l’EEE, impose une autorisation préalable des sous-traitants ultérieurs, exige une première notification d’un incident visé sous six heures et l’effacement de toutes les copies sous vingt jours après la fin du service de traitement. Ces seuils sont des hypothèses contractuelles du cas. L’offre initiale prévoit un support nocturne par une filiale hors EEE et des sauvegardes immuables de soixante jours.

Le registre comporte quatre écarts. Le responsable du support propose une permanence dans l’EEE qui retire l’accès de la filiale de cette offre. Le prestataire d’envoi des confirmations doit encore fournir les preuves exigées pour son autorisation. L’équipe incidents teste l’astreinte, mais le texte de la notification initiale attend validation. L’équipe sauvegardes propose un dispositif propre au service avec conservation de vingt jours ; ses essais d’effacement et de reprise ne sont pas encore terminés. Aucune proposition n’est déclarée déjà en production.

Le changement de support est estimé à 9 000 euros, l’adaptation des sauvegardes à 17 000 euros et la préparation des notifications à 6 000 euros, soit 32 000 euros de dépenses initiales. La permanence supplémentaire coûte 21 000 euros par an. Sur trois ans de durée ferme, les postes identifiés atteignent 95 000 euros hors taxes. Les éventuelles adaptations du prestataire de confirmation et les prolongations sont exclues à ce stade. Le total reste une estimation partielle, pas un supplément forfaitaire approuvé ni le coût complet de la protection des données. Les délais de réalisation doivent respecter les jalons du marché.

Le décideur maintient un blocage sur l’acceptation sans réserve de l’annexe. Il attend les preuves et le circuit d’autorisation du prestataire, les essais de sauvegarde concluants, l’approbation de la description du service et de la notification, puis la décision commerciale sur les coûts. Si la procédure interdit une dérogation nécessaire, le candidat doit satisfaire l’obligation émise ou réexaminer sa participation. Une réserve perdue dans une annexe technique ne corrige pas une déclaration contractuelle contraire.

Validation et transmission

Produire une décision que l’équipe d’exécution pourra appliquer

Utilisez des états explicites : adéquation démontrée, changement approuvé mais inachevé, clarification requise, dérogation requise, qualification juridique ouverte, preuve de prestataire manquante ou offre non acceptable en l’état. Une réalisation après attribution n’est envisageable que si le calendrier de la procédure le permet et si les décideurs compétents en approuvent la faisabilité. Fixez jalon et preuve attendue. Une mesure future ne doit pas être présentée comme un contrôle déjà effectif.

Rapprochez cette décision du contrat principal, des limitations de responsabilité, des hypothèses d’assurance, de la solution, du questionnaire sécurité, des niveaux de service et du prix. Une sanction ou un régime de responsabilité particulier est transmis au responsable de cette analyse contractuelle. Les juristes qualifient, les responsables sécurité et service répondent de la faisabilité, et l’autorité commerciale prend l’engagement correspondant. Une seule signature ne couvre pas nécessairement toutes les délégations.

Un agent peut extraire des clauses publiques, comparer des versions autorisées, préparer les lignes d’écart et vérifier les calculs publiés. Il doit s’arrêter avant l’accès à un corpus confidentiel non autorisé, l’envoi de preuves à un outil externe, la qualification juridique des rôles, l’acceptation d’une clause, le contact avec un prestataire ou l’acheteur et le dépôt sans pouvoir spécifique. Sa transmission indique la question ouverte, la preuve attendue, le responsable et l’action suivante permise. Un nouveau sous-traitant, pays d’accès, délai de conservation, produit ou rectificatif rouvre les décisions concernées.