RGPD et marchés publics : prouver votre conformité pour répondre & remporter les appels d'offres
Le volet « protection des données » est devenu un passage obligé des dossiers de consultation. Registre, mesures de sécurité, annexe RGPD au CCAP, sous-traitants, localisation des données : l'acheteur public attend des réponses précises et vérifiables. L'Agence RGPD France accompagne tous types d'entreprises, tous secteurs confondus, à élaborer et améliorer le dossier de preuve qui sécurise leur offre et à tenir leurs engagements une fois le marché attribué.
Ce que l'acheteur public attend concrètement de votre entreprise
Dans un marché public, vous êtes sous-traitant au sens du RGPD
L'acheteur public est responsable de traitement : c'est lui qui détermine les finalités et les moyens. Le titulaire du marché est, dans la grande majorité des cas, sous-traitant au sens de l'article 28 du RGPD — et votre propre sous-traitant devient « sous-traitant ultérieur ». Cette qualification commande l'ensemble de vos obligations contractuelles et de vos responsabilités.
L'article 5 des CCAG 2021 s'applique à votre marché
Les cahiers des clauses administratives générales approuvés par l'arrêté du 30 mars 2021 comportent tous un article 5 « Confidentialité — Protection des données à caractère personnel — Mesures de sécurité », qui impose de préciser les obligations des parties, la durée de conservation des données et leur sort au terme du marché.
Le registre des activités de sous-traitance (Art. 30.2)
Beaucoup d'entreprises tiennent un registre « responsable de traitement » et s'arrêtent là. Or l'article 30.2 impose au sous-traitant un registre distinct des traitements effectués pour le compte de chaque acheteur public — l'une des pièces les plus fréquemment absentes lors d'un contrôle.
Les mesures de sécurité que vous engagez (Art. 32)
Gestion des habilitations et revue à chaque arrivée, départ ou changement de poste ; MFA sur tout accès distant ; chiffrement des postes nomades et des sauvegardes ; journalisation des accès ; procédure documentée de gestion des incidents. Signer une annexe sans pouvoir démontrer ces mesures est un manquement contractuel.
Localisation des données et transferts hors Union européenne
Où sont hébergées les données que vous traiterez pour le compte de l'acheteur ? Vos outils métiers, votre messagerie, votre sauvegarde reposent-ils sur des prestataires hors UE ? Toute transmission non strictement conforme est prohibée par les CCAG ; les transferts relèvent des articles 44 à 49 du RGPD.
Notification des violations : des délais souvent plus courts que la loi
Le RGPD impose une notification à la CNIL sous 72 heures (Art. 33) et au sous-traitant d'alerter son donneur d'ordre « dans les meilleurs délais ». Les CCAP fixent fréquemment un délai contractuel plus strict — 24 ou 48 heures — qui suppose une procédure et un point de contact identifiés en interne.
Vos propres sous-traitants engagent votre responsabilité
Hébergeur, infogérant, éditeur de logiciel, centre d'appels : le recours à un sous-traitant ultérieur suppose l'autorisation préalable de l'acheteur et la répercussion contractuelle des mêmes obligations (Art. 28.2 et 28.4). Vous restez pleinement responsable devant l'acheteur de son exécution.
Réversibilité : le sort des données à la fin du marché
Restitution dans un format exploitable, destruction certifiée, délai d'exécution, preuve apportée à l'acheteur. Un marché qui s'achève sans réversibilité organisée laisse des données personnelles sur vos serveurs sans base légale.
Selon l'acheteur, des exigences renforcées
Un marché conclu avec un centre hospitalier, un EHPAD ou un CCAS peut vous conduire à traiter des données de santé ou sociales relevant de l'article 9 du RGPD, avec l'exigence d'un hébergement certifié HDS et, souvent, une AIPD (Art. 35). Vidéoprotection, contrôle d'accès ou géolocalisation de flotte déclenchent leurs propres cadres CNIL.
Usages non déclarés de l'IA générative (Shadow AI)
Reformuler un mémoire technique, résumer un compte rendu de chantier ou traiter un fichier d'usagers dans un outil d'IA grand public fait sortir des données du périmètre garanti à l'acheteur. Ces usages doivent être cadrés par une charte, inscrits au registre et, le cas échéant, soumis à une AIPD.
Ce que fait l'Agence RGPD pour vous
- Lecture du dossier de consultation avant remise de l'offre : identification du volet données personnelles (CCAP, annexe RGPD, règlement de consultation, cadre de mémoire technique) et de ce que vous vous apprêtez à signer
- Constitution du dossier de preuve : registre des activités de sous-traitance (Art. 30.2), politique de sécurité, matrice des habilitations, procédure de violation, engagements de confidentialité du personnel, liste des sous-traitants ultérieurs
- Sécurisation juridique de l'annexe RGPD du marché et des contrats avec vos propres prestataires (DPA conformes à l'Art. 28), y compris les points à négocier avant signature
- Relecture du volet conformité de votre mémoire technique, pour transformer une contrainte réglementaire en argument de valeur technique
- DPO externalisé désigné auprès de la CNIL (Art. 37), nommable dans votre offre et point de contact identifié pour l'acheteur pendant toute l'exécution du marché
- Formation de vos équipes par métier et par niveau — l'Agence RGPD France est certifiée Qualiopi, ses formations sont éligibles à une prise en charge par votre OPCO
- Label Engagement RGPD : une preuve lisible de votre démarche, valorisable dans vos candidatures
- Accompagnement pendant l'exécution du marché, y compris en cas d'audit de l'acheteur ou de contrôle de la CNIL
Un seul DPO externalisé, trois périmètres d'intervention
Désigné auprès de la CNIL (Art. 37), engagement initial de 36 mois — le périmètre pris en charge varie selon le niveau de délégation souhaité.
Votre conformité 100 % prise en charge. De A à Z : toute question RGPD traitée par le DPO externalisé, revue de conformité complète, registre, AIPD, DPA et introspection informatique incluse, sensibilisation des équipes incluse. Pour les entreprises dont la commande publique représente une part significative du chiffre d'affaires et qui souhaitent déléguer intégralement le sujet.
Nous sommes votre DPO, en appui de votre conformité. Mise à jour du registre, plan d'action semestriel, une vingtaine de documents types livrés au fil du contrat. Pour les entreprises qui répondent régulièrement à des consultations et souhaitent déléguer partiellement le sujet.
Désignation DPO, conseil et point de contact CNIL, une dizaine de documents types. Pour un appui DPO au périmètre plus restreint, le reste facturé à l'acte sur devis.
Voir le détail complet des trois offres sur la page Nos offres →
La commande publique en quelques chiffres
Vos questions sur le RGPD et les marchés publics
Le RGPD peut-il faire perdre un marché public ?
Pas directement au titre d'un critère intitulé « RGPD » : le volet protection des données est fréquemment intégré au mémoire technique noté au titre de la valeur technique, et une réponse vide ou générique fait perdre des points face à un concurrent qui documente sa démarche. Une candidature qui ne peut pas justifier des mesures de sécurité qu'elle s'engage à respecter expose aussi l'entreprise en cours d'exécution.
Suis-je responsable de traitement ou sous-traitant ?
Pour les données que l'acheteur vous confie ou que vous collectez pour son compte : sous-traitant au sens de l'article 28. Pour vos propres traitements — vos salariés, votre comptabilité, votre prospection — vous restez responsable de traitement. Cette double casquette est la norme, et c'est précisément ce que votre registre doit refléter.
Dois-je désigner un DPO pour répondre à un appel d'offres ?
La désignation n'est obligatoire que dans les cas de l'article 37 du RGPD. Mais un nombre croissant de consultations demandent l'identification d'un point de contact « protection des données ». Un DPO externalisé désigné auprès de la CNIL répond à cette attente et donne à l'acheteur un interlocuteur identifié pendant toute la durée du marché.
Qu'est-ce que le registre des activités de sous-traitance ?
C'est le registre prévu à l'article 30.2 du RGPD : il recense les traitements que vous effectuez pour le compte de chacun de vos clients, dont vos acheteurs publics. Il est distinct de votre registre de responsable de traitement. Son absence est l'un des manquements les plus simples à constater lors d'un audit.
Que se passe-t-il si je signe l'annexe RGPD du CCAP sans être en conformité ?
Vous prenez un engagement contractuel. Son inexécution peut entraîner l'application des pénalités prévues aux documents particuliers du marché, engager votre responsabilité en cas d'incident, et, indépendamment du marché, exposer l'entreprise à une sanction de la CNIL. La bonne séquence est de faire relire l'annexe avant la remise de l'offre.
Mes données doivent-elles obligatoirement être hébergées en France ?
Pas systématiquement, mais l'hébergement doit être connu, documenté et conforme. Les transferts hors Union européenne relèvent des articles 44 à 49 du RGPD et les CCAG prohibent toute transmission non strictement conforme. Certaines consultations imposent en outre une localisation dans l'Union, voire une certification HDS pour les données de santé.
Puis-je faire appel à mes propres sous-traitants sur un marché public ?
Oui, sous réserve de l'autorisation préalable de l'acheteur et de la conclusion d'un contrat imposant à ce sous-traitant ultérieur les mêmes obligations que celles qui vous incombent (Art. 28.2 et 28.4). Vous demeurez responsable devant l'acheteur de l'exécution par ce prestataire.
Combien de temps faut-il pour être prêt avant une consultation ?
Cela dépend du point de départ. Une entreprise qui dispose déjà d'un registre et de contrats à jour peut être en état de répondre en quelques jours. Une entreprise qui part de zéro doit compter plusieurs semaines pour constituer un dossier de preuve défendable. La véritable erreur est d'attendre la publication de l'avis de marché pour s'en préoccuper.
Le MFA est-il attendu dans un marché public ?
Oui, dès qu'il y a accès distant aux systèmes traitant les données de l'acheteur. L'article 32 du RGPD raisonne en sécurité adaptée au risque, et les lignes directrices de la CNIL font de l'authentification multifacteur une mesure attendue sur les accès distants. Son absence est systématiquement relevée en cas de contrôle ou de violation.
Nos équipes utilisent des outils d'IA comme ChatGPT, est-ce un problème ?
Pas en soi, mais cela doit être cadré : outils autorisés, ce qu'on peut y déposer ou non, charte d'usage et inscription au registre des traitements dès que des données personnelles sont concernées. Sur un marché public, y déposer des données confiées par l'acheteur constitue en outre un manquement à vos engagements contractuels de confidentialité.
Sommes-nous concernés si nous ne traitons aucune donnée de l'acheteur ?
Même un marché de travaux ou de fournitures emporte des traitements : badges d'accès au site, listes nominatives de personnel, plans de prévention, vidéoprotection de chantier, contacts de la maîtrise d'ouvrage. Le périmètre est plus restreint, jamais nul — et l'article 5 du CCAG s'applique.
Notre conformité peut-elle devenir un argument commercial ?
Oui, et c'est la façon la plus rentable d'aborder le sujet. À valeur technique comparable, l'entreprise qui présente un registre, des procédures écrites et un DPO identifié rassure l'acheteur, qui reste responsable de traitement et engage sa propre conformité en vous choisissant.
Faites vérifier votre dossier avant la remise de votre offre
Un premier échange avec un DPO certifié pour examiner le volet données personnelles de votre consultation en cours et identifier ce qui manque à votre dossier.