Données personnelles et Marchés Publics : les clauses indispensables pour vos prestataires
Dans le fonctionnement quotidien d’une commune ou d’une intercommunalité, la commande publique est le véritable moteur de l’action locale. Qu’il s’agisse de construire une nouvelle école, de déléguer la gestion de la cantine scolaire, de refondre le site internet de la municipalité ou de confier le ramassage des ordures ménagères à un acteur privé, le recours à des prestataires externes est incontournable. Historiquement, la passation d’un marché public se concentrait sur trois piliers : le prix, la qualité technique de l’offre et le respect strict du Code de la commande publique. Cependant, la transformation numérique de nos territoires a introduit un quatrième pilier, souvent ignoré ou traité avec légèreté : la protection des données à caractère personnel. Aujourd’hui, presque chaque prestation de service implique le transfert, le stockage ou la manipulation de données appartenant à vos administrés ou à vos agents. Le Règlement Général sur la Protection des Données (RGPD) est venu bouleverser les règles du jeu contractuel. Le Maire, en signant un marché public, n’achète plus seulement un service, il confie une partie du patrimoine numérique et de la vie privée de sa commune. Quelles sont les responsabilités de l’élu face à ses sous-traitants ? Comment intégrer le RGPD dès la rédaction du dossier de consultation ? Quelles clauses sont absolument vitales pour protéger la collectivité ? Cet article propose une plongée rigoureuse dans l’ingénierie contractuelle des marchés publics, afin de sécuriser vos achats tout en garantissant le respect indéfectible des données citoyennes.
Le changement de paradigme : de la prestation de service à la sous-traitance de données
Pour appréhender la mesure du risque, il est fondamental de comprendre la qualification juridique des acteurs en présence. Dans le vocabulaire du RGPD, la commune qui décide de mettre en place un service (par exemple, un portail famille pour les inscriptions périscolaires) et qui en définit les finalités est le “Responsable de Traitement”. L’entreprise privée qui remporte le marché public pour fournir le logiciel et l’héberger agit pour le compte et sur les instructions de la commune : elle est qualifiée de “Sous-traitant”.
L’article 28 du règlement européen a opéré une véritable révolution dans cette relation. Il stipule que le responsable de traitement ne peut faire appel qu’à des sous-traitants présentant des “garanties suffisantes” quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. En d’autres termes, le Maire a l’obligation légale de vérifier, avant même la signature du contrat, que l’entreprise candidate est capable de protéger les données qu’elle va manipuler. La confiance aveugle n’a plus sa place. Si une fuite de données survient parce que le prestataire de la cantine a mal sécurisé son fichier contenant les allergies alimentaires des enfants, c’est la commune qui sera tenue pour première responsable par la Commission Nationale de l’Informatique et des Libertés (CNIL). Ignorer la dimension RGPD dans la commande publique, c’est donc s’exposer à une responsabilité partagée aux conséquences financières et politiques désastreuses.
Intégrer le RGPD dès la phase de préparation : le Dossier de Consultation des Entreprises (DCE)
La conformité ne se colmate pas une fois le contrat signé ; elle s’anticipe dès la genèse du projet. Lors de la rédaction du Dossier de Consultation des Entreprises (DCE), la protection des données personnelles doit être traitée avec le même niveau d’exigence que les spécifications techniques ou les garanties financières. L’objectif est d’instaurer le principe de “Privacy by Design” (la protection des données dès la conception) au cœur de l’achat public.
Concrètement, le cahier des charges technique (CCTP) doit décrire précisément les flux de données attendus. Par exemple, si la commune lance un marché pour un système de vidéosurveillance, le CCTP doit exiger que le système propose nativement le floutage des zones privées et l’effacement automatique des images au bout de trente jours. Mieux encore, le respect des normes RGPD doit devenir un critère de sélection des offres à part entière, assorti d’une pondération dans le règlement de la consultation. Un candidat qui propose un tarif défiant toute concurrence mais qui héberge les données de vos administrés sur des serveurs non sécurisés situés en dehors de l’Union européenne doit pouvoir être légalement écarté au profit d’une offre techniquement plus sûre. L’accompagnement d’Etatys prend ici tout son sens : nous aidons les secrétariats de mairie, souvent démunis face au jargon informatique, à traduire leurs besoins fonctionnels en exigences juridiques opposables aux candidats.
Les clauses obligatoires du Cahier des Clauses Administratives Particulières (CCAP)
Le cœur de la protection juridique de la collectivité réside dans le Cahier des Clauses Administratives Particulières (CCAP), ou dans une annexe dédiée communément appelée “Accord de traitement des données” (Data Processing Agreement). Le RGPD impose un formalisme strict quant au contenu de ces clauses. Un simple paragraphe indiquant que “le prestataire s’engage à respecter le RGPD” est d’une nullité absolue sur le plan de la protection ; il faut entrer dans la granularité des opérations.
La première clause indispensable concerne la définition de l’objet, de la durée, de la nature et de la finalité du traitement. Le contrat doit lister de manière exhaustive les catégories de données personnelles transférées et les catégories de personnes concernées (agents, élus, enfants, administrés).
La deuxième clause fondamentale encadre l’obligation de sécurité et de confidentialité. L’entreprise titulaire du marché doit s’engager formellement à ce que son personnel soit soumis à une obligation de confidentialité et à déployer des mesures de sécurité physiques et logiques proportionnées au risque. Cela implique le chiffrement des données, la gestion stricte des mots de passe et la pseudonymisation lorsque cela est possible. La mairie doit imposer que le prestataire n’agisse que sur son “instruction documentée”, lui interdisant ainsi formellement d’utiliser les fichiers de la commune pour son propre compte, par exemple pour faire du démarchage commercial auprès des habitants.
La gestion des incidents de sécurité et l’obligation d’alerte
Dans le domaine de la cybersécurité, le risque zéro n’existe pas. Même le prestataire le plus rigoureux peut être victime d’une cyberattaque. Ce qui différencie une gestion de crise maîtrisée d’une catastrophe administrative, c’est la chaîne d’alerte. Le RGPD impose au responsable de traitement de notifier les violations de données à la CNIL dans un délai extrêmement court de 72 heures.
Cependant, comment le Maire peut-il respecter ce délai si son prestataire tarde à l’informer d’une intrusion sur ses serveurs ? C’est pourquoi les clauses contractuelles doivent imposer au titulaire du marché une obligation d’alerte immédiate, souvent fixée à un maximum de 24 ou 48 heures après la découverte de l’incident. La clause doit également obliger le sous-traitant à fournir à la commune toutes les informations nécessaires pour qualifier la faille (nature des données compromises, volume des personnes impactées, mesures correctives prises). Sans ce verrouillage contractuel, la mairie se retrouve aveugle et dépendante de la bonne volonté de son fournisseur, s’exposant ainsi à de lourdes sanctions pour défaut de notification.
Le contrôle de la chaîne de sous-traitance : la transparence jusqu’au bout
L’un des défis majeurs de l’économie numérique réside dans la sous-traitance en cascade. Une commune attribue un marché à une agence de communication locale pour la gestion de son application mobile citoyenne. Cette agence fait appel à un développeur freelance, qui lui-même utilise les serveurs d’un hébergeur international. Dans cette chaîne, les données de vos administrés voyagent d’une entité à l’autre. Le RGPD prévoit que le titulaire initial du marché ne peut recruter un autre sous-traitant (un sous-traitant “ultérieur”) sans l’autorisation écrite préalable, spécifique ou générale, de la mairie.
Vos clauses de marchés publics doivent donc obliger votre cocontractant à vous déclarer l’intégralité de sa chaîne logistique numérique. Si l’agence locale décide de changer d’hébergeur pour transférer les données de la commune vers un pays hors de l’Union européenne, elle doit vous en informer, et le Maire a le droit de s’y opposer. De plus, le contrat doit stipuler que le même niveau d’exigence RGPD s’impose à l’ensemble de la chaîne de sous-traitants. La responsabilité redescend, mais la garantie de conformité doit remonter jusqu’à l’hôtel de ville. L’ingénierie contractuelle proposée par un Délégué à la Protection des Données (DPO) spécialisé permet de verrouiller ces failles, garantissant une souveraineté totale sur le cheminement des informations publiques.
La réversibilité et le sort des données en fin de marché
La vie d’un marché public a une fin. Que se passe-t-il lorsque le contrat de gestion du logiciel d’état civil arrive à son terme et que la commune décide de changer de prestataire ? C’est l’instant de vérité de la clause de “réversibilité” et du sort des données. Il est fréquent que des prestataires sortants, frustrés de perdre un marché, complexifient la récupération des bases de données ou exigent des sommes extravagantes pour l’extraction des fichiers, prenant ainsi l’administration en otage.
Le contrat doit organiser avec une clarté chirurgicale le rapatriement des informations. Le RGPD indique qu’au terme de la prestation, le sous-traitant doit, au choix de la mairie, supprimer toutes les données à caractère personnel ou les renvoyer, et détruire les copies existantes. La clause doit préciser le format de restitution des données, qui doit être structuré, couramment utilisé et lisible par machine, afin que le nouveau prestataire puisse les réintégrer sans perte. Elle doit également imposer au prestataire sortant de fournir une attestation formelle de destruction des données résiduelles. Anticiper la fin du marché dès sa signature est la marque d’une gestion publique mature et protectrice.
Le droit d’audit : la confiance n’exclut pas le contrôle
Les promesses n’engagent que ceux qui les croient. Si les clauses contractuelles sont bien rédigées, encore faut-il s’assurer que le prestataire les respecte dans la réalité de ses opérations. Le RGPD dote le responsable de traitement d’une arme juridique redoutable : le droit d’audit. Le marché public doit impérativement stipuler que la commune, ou un auditeur mandaté par elle, a le droit de procéder à des vérifications sur pièces ou sur place dans les locaux du prestataire.
Dans les faits, une petite commune va rarement envoyer sa secrétaire de mairie auditer les serveurs d’une entreprise informatique. Néanmoins, l’existence même de cette clause dans le CCAP est extrêmement dissuasive pour les candidats peu scrupuleux. De plus, elle permet à la mairie d’exiger à tout moment la communication des rapports d’audits de sécurité indépendants menés par le prestataire. C’est ici que l’intervention d’un cabinet comme Etatys est décisive : si un doute survient sur la fiabilité d’un fournisseur, nous avons la légitimité technique et juridique pour activer cette clause d’audit en votre nom, contrôlant point par point la réalité des mesures de sécurité de votre partenaire.
Le fardeau administratif et l’innovation technologique d’Etatys
Intégrer toutes ces exigences dans les dizaines de marchés publics, de contrats d’entretien ou de conventions de prestations qu’une mairie signe chaque année représente une charge administrative écrasante. Pour une secrétaire de mairie, qui doit déjà maîtriser le Code des marchés publics, le droit de l’urbanisme et la gestion des ressources humaines, exiger une expertise pointue en droit des données est irréaliste. Le risque de recourir à des modèles de clauses obsolètes trouvés sur internet est grand, laissant la collectivité dans l’illusion d’une sécurité juridique qui s’effondrera au premier contrôle de la CNIL.
C’est précisément pour lever ce fardeau que la méthode Etatys a été conçue. Nous connaissons la pression qui pèse sur vos services. C’est pourquoi nous avons investi dans une innovation technologique majeure pour nos mairies partenaires : l’automatisation de la création de tous les dossiers clients nécessaires lors d’une nouvelle mise en conformité. Qu’est-ce que cela signifie concrètement pour vos marchés publics ? Nos systèmes génèrent instantanément les annexes RGPD sur-mesure, prêtes à être intégrées à vos cahiers des clauses administratives. Nous ne vous laissons pas devant une page blanche ; nous vous fournissons l’arsenal juridique prêt à l’emploi.
Plus encore, le droit de la commande publique et le droit des données personnelles sont des matières extrêmement mouvantes. Pour garantir que vos marchés ne deviennent jamais obsolètes, Etatys a développé un outil de veille juridique exclusif. Cet outil scrute en permanence les décisions des juridictions administratives, les délibérations de la CNIL et les évolutions du droit européen. Dès qu’une nouvelle exigence apparaît, notre système identifie son impact sur vos modèles de contrats et nous mettons à jour votre documentation automatiquement. L’innovation d’Etatys vous offre une conformité dynamique, vous permettant de contractualiser avec vos prestataires dans une sérénité absolue.
Conclusion : Faire du marché public un pacte de souveraineté numérique
Les marchés publics sont les artères par lesquelles circulent l’argent de la commune et, de plus en plus, les données de ses citoyens. En imposant des clauses RGPD strictes et exhaustives à vos prestataires, vous transformez l’acte d’achat en un véritable pacte de souveraineté numérique. Le Maire qui intègre ces exigences refuse la fatalité de la fuite des données et s’érige en véritable protecteur de l’intimité de ses administrés. L’argent public ne doit pas seulement financer des services de qualité, il doit financer des services sûrs, éthiques et conformes aux plus hauts standards européens.
Maîtriser l’ingénierie contractuelle du RGPD est un défi technique qui nécessite une alliance entre l’expertise juridique et la connaissance des mécanismes de l’achat public. Sous-estimer ce volet, c’est confier les clés de la mairie à des partenaires dont vous ne maîtrisez ni les méthodes ni les intentions, exposant votre mandat à des crises réputationnelles majeures.
Etatys est le cabinet de mise en conformité qui réconcilie l’exigence juridique et la simplicité opérationnelle. Spécialisés exclusivement dans l’accompagnement des communes de petite taille et des intercommunalités, nous connaissons vos contraintes et vos délais. Notre solution de DPO externalisé, propulsée par nos outils d’automatisation des dossiers et notre veille juridique sans faille, vous permet de sécuriser l’intégralité de votre chaîne de sous-traitance sans ralentir votre administration. Que vous rédigiez un DCE pour la refonte de votre réseau informatique ou que vous renouveliez la délégation de vos services périscolaires, Etatys est votre allié pour imposer le respect de la vie privée à vos fournisseurs. Contactez-nous dès aujourd’hui pour auditer vos contrats en cours et faire de vos marchés publics une forteresse infranchissable pour les données de votre territoire.
Contactez-nous dès aujourd’hui et faisons ensemble du RGPD et de la cybersécurité des atouts pour votre collectivité.
Avec Etatys, soyez sûr d’être prêts.
Page mise à jour : Août/2026