Un organisme privé collecte des données dans le cadre d’un marché public. Qui est responsable des obligations relatives à la protection des données personnelles dans ce cas ? L’organisme privé ou l’administration ? La réponse n’est pas si évidente que cela…
RGPD et commande publique : publication d’un guide pratique
Au regard de la réglementation générale sur la protection des données (RGPD), lorsqu’un organisme privé exécute une commande publique et qu’il collecte des données personnelles à cette occasion, il peut être :
- responsable de traitement ;
- co-responsable de traitement avec l’administration ;
- sous-traitant pour le compte de l’administration.
Quelle que soit l’hypothèse choisie, elle doit être contractualisée entre l’administration qui passe la commande publique et l’organisme privé.
Pour aiguiller les acteurs concernés sur la marche à suivre, la Cnil a publié un guide sur la responsabilité des acteurs dans le cadre de la commande publique.
