unknown - Métropole - Aix-Marseille-Provence - C0EOB

Documents similaires

unknown - Métropole - Aix-Marseille-Provence - C0ESQ

unknown - Métropole - Aix-Marseille-Provence - 34075 Convent

unknown - Métropole - Aix-Marseille-Provence - C09DE

unknown - Métropole - Aix-Marseille-Provence - C08QY

unknown - Métropole - Aix-Marseille-Provence - C00IW

unknown - Métropole - Aix-Marseille-Provence - D0CK0

unknown - Métropole - Aix-Marseille-Provence - C09DF

unknown - Métropole - Aix-Marseille-Provence - A0AIG

unknown - Métropole - Aix-Marseille-Provence - D0D9Q

unknown - Métropole - Aix-Marseille-Provence - C0ETA

unknown - Métropole - Aix-Marseille-Provence - C0EOB Document publié le Mercredi 1 janvier 2020 Lien du pdf (unknown - Métropole - Aix-Marseille-Provence - C0EOB)Thèmes du document : Données personnelles, Consommateurs, Industrie, METROPOLE AIX-MARSEILLE-PROVENCE

NOTE DE SYNTHESE RELATIVE AU RAPPORT AU CONSEIL

DE LA METROPOLE

ORGANISATION DE LA MUTUALISATION DE LA FONCTION DE DÉLÉGUÉ À LA PROTECTION DES DONNÉES DE LA MÉTROPOLE AIX-MARSEILLE-PROVENCE AVEC LES COMMUNES MEMBRES

Aux termes des dispositions de l’article 37-4-a) règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, ci-après « le RGPD »), les autorités ou organismes publics, quelle que soit leur taille, doivent désigner un délégué à la protection des données (Data Protection Officer, ci-après « DPO »).

Conformément aux dispositions de l’article 37-6 du RGPD, le DPO peut être un membre du personnel de l’organisme responsable de traitement, ou exercer ses missions sur la base d’un contrat de service.

Les conditions d’exercice des fonctions de DPO sont précisées à l’article 38 du RGPD :

1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées.

3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous- traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement.

5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20206. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.

Les missions du DPO sont quant à elles précisées à l’article 39 du RGPD :

1. Les missions du délégué à la protection des données sont au moins les suivantes a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données ;

b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ;

c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35 ; d) coopérer avec l'autorité de contrôle ;

e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet.

2. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Pour les communes qui en ont désigné un, le DPO accompagne le responsable de traitement dans la démarche de mise en conformité des activités de traitement de données à caractère personnel de la commune avec le RGPD.

Pour celles qui n’en ont pas encore désigné, l’obligation qui leur est faite d’en désigner un interroge sur les possibilités de mutualisation.

1. Mise en réseau des DPO du ressort de la Métropole.

Pour assurer l’indépendance fonctionnelle et la montée en compétence des DPO, garantes de la qualité de la protection des données pour les collectivités, les autorités de contrôle européennes – la commission nationale informatique et libertés (CNIL) pour la France – encouragent fortement leur mise en réseau professionnel.

Ce réseau doit permettre aux DPO de partager sur leurs missions et leurs outils, mais également sur des situations pratiques et réflexions communes sur la protection des données,

Cette mise en réseau peut s’organiser soit informellement, soit entre collectivités, soit autour d’associations professionnelles.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Dans ces conditions, la Métropole propose sur la base du volontariat la mise en réseau des DPO désignés de l’ensemble des communes membres, mais également des structures relevant des communes membres qui en sont dotées (par exemple, centre communal d’action sociale).

Les outils de ce réseau seront :

- un annuaire des DPO,

- un espace collaboratif permettant de communiquer et de partager entre DPO sur la documentation, de l’actualité réglementaire ou encore des modèles de documents (annexes de marchés publics, mentions d’information, chartes informatiques, etc.), - des rencontres trimestrielles sur le territoire de la Métropole, dans des locaux de la Métropole ou des communes membres volontaires, permettant des temps d’échange collectifs.

L’animation de ce réseau sera assurée au lancement par le DPO de la Métropole, mais pourra être assurée par la suite par un ou plusieurs DPO de communes membres.

2. Mutualisation de la fonction de DPO entre la Métropole et les communes membres.

La fonction de DPO, qu’elle soit assurée en interne par un agent de la collectivité ou externalisée par un contrat de service, constitue dans tous les cas une charge financière.

Les missions socles et les conditions d’exercice de cette fonction étant identiques pour tous les responsables de traitement, puisqu’elles sont fixées dans un règlement européen, une opportunité de mutualisation des moyens affectés entre plusieurs responsables de traitement existe.

Cette mutualisation est d’ailleurs expressément prévue entre organismes publics par l’article 37-4 du RGPD, compte tenu de leur structure organisationnelle et de leur taille.

La Métropole, établissement public de coopération intercommunale, est un échelon naturel de mutualisation pour ses communes membres, pour des compétences facultatives sur volontariat et après conventionnement.

Dans ces conditions, dix-huit communes membres ont déjà exprimé le souhait de mutualiser la fonction de DPO avec la Métropole.

La Métropole propose, en réponse à ces demandes, l’organisation de la mutualisation de la fonction de DPO avec ces communes, et le cas échéant avec d’autres communes membres qui en feraient la demande ultérieurement, sur la base d’un conventionnement dont le modèle est joint à la présente délibération.

La mutualisation de la fonction de DPO entraîne la mise à disposition de la commune de la solution informatisée de la Métropole retenue après mise en concurrence : MyDPO.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Cet outil édité par la société DPO CONSULTING SUD-EST, est accessible sur Internet en mode SaaS, sans besoin d’interconnexion avec le système d’information de la Métropole.

L’outil MyDPO comprend les modules suivants :

- outil de pilotage et de suivi de la démarche de mise en conformité,

- registres :

- des activités de traitement,

- des violations de données personnelles,

- de gestion des demandes des personnes concernées,

- des sous-traitants,

- gestion des pièces justificatives,

- réalisation des études d’impact sur la protection des données,

- formation à distance,

- veille réglementaire.

L’accompagnement dans la démarche de mise en conformité comprend :

- les missions réglementaires socles du DPO, prévues par l’article 39 du RGPD : - information et conseil du responsable de traitement sur les obligations en matière de protection des données ;

- contrôle du respect des dispositions du RGPD en matière de répartition des responsabilités sur les données personnelles avec les sous-traitants, de sensibilisation et d’information du personnel,

- conseil en matière d’analyse d’impact sur la protection des données, - coopération avec l’autorité de contrôle (CNIL),

- point de contact avec l’autorité de contrôle (CNIL) y compris pour les consultations préalables.

- avec l’assistance d’un cabinet de conseil extérieur, les étapes suivantes :

- en début de projet, une réunion de lancement mutualisée avec un maximum de 5 à 6 communes par réunion, sous réserve de proximités géographiques cohérentes, - l’accompagnement de chaque commune dans la cartographie de ses traitements, - la constitution du registre des traitements de chaque commune (sous l’application MyDPO),

- la constitution d’un plan d’actions de mise en conformité de chaque commune (sous l’application MyDPO).

- en fin de projet, une restitution sur site pour chaque commune.

3. Prérequis à la mutualisation de la fonction de DPO entre la Métropole et les communes membres

La mutualisation est soumise à la signature préalable d’une convention entre la Métropole et la commune membre concernée, conformément au modèle joint en annexe à la présente délibération.

Par ailleurs, le DPO de la Métropole doit bénéficier du soutien de la commune qui le désigne.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020La commune devra en particulier :

 s’assurer de son implication dans toutes les questions relatives à la protection

des données (par exemple : communication interne et externe sur sa désignation, association en amont des projets impliquant des données personnelles),  lui fournir les ressources nécessaires à la réalisation de ses tâches. A ce titre, la commune désigne obligatoirement en interne un ou plusieurs relais sur lesquels le DPO de la Métropole pourra s’appuyer, et fournira au DPO les accès nécessaires pour qu’il exerce ses missions et puisse accéder aux données à caractère personnel et aux opérations de traitement,

 lui permettre d’agir de manière indépendante : le DPO doit disposer d’une

autonomie d’action reconnue par tous au sein de la commune qui le désigne. Il exerce sa mission directement et uniquement auprès du responsable de traitement (Maire) ou toute autre personne que celui-ci aura habilitée. Cette personne sera nominativement désignée dans les conditions particulières.  lui faciliter l’accès aux données et aux opérations de traitement, en veillant à l’associer d’une manière appropriée et en temps utiles à toutes les questions relatives à la protection des données à caractère personnel,

 veiller à l’absence de conflit d’intérêts.

Enfin, l’application MyDPO étant accessible en mode SaaS, la commune doit s’assurer qu’elle dispose d’un accès à Internet de qualité suffisante pour répondre à ses besoins.

4. Conditions financières de la mutualisation de la fonction de DPO entre la Métropole et les communes membres

La mutualisation de la fonction de DPO avec les communes membres entraîne pour la Métropole, outre des dépenses de personnel, des dépenses spécifiques notamment liées à :

- l’utilisation de licences complémentaires dans l’application informatique dédiée MyDPO (marché existant),

- le recours à une assistance à maîtrise d’ouvrage externe en appui des ressources internes (marché à passer).

Pour répartir ces charges, la proposition de tarification par commune repose sur plusieurs strates démographiques :

Aussi le présent rapport propose-t-il l’adoption de l’organisation d’accompagnement dans la démarche de mise en conformité avec le RPGD entre la Métropole Aix- Marseille-Provence et les communes membres, par la mise en réseau des DPO déjà désignés, et l’organisation de la mutualisation de la fonction de DPO entre la Métropole et les communes membres qui en font la demande.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020M é t r o p o l e A i x - M a r s e i l l e - P r o v e n c e

RAPPORT AU CONSEIL DE LA METROPOLE

Finances, Budget, patrimoine et administration générale

 Séance du 17 Décembre 2020

17198

 Organisation de la mutualisation de la fonction de délégué à la protection des

données de la Métropole Aix-Marseille-Provence avec les communes membres

Madame la Présidente de la Métropole Aix-Marseille-Provence sur proposition du Commissaire Rapporteur soumet au Conseil de la Métropole le rapport suivant :

Aux termes des dispositions de l’article 37-4-a) règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, ci-après « le RGPD »), les autorités ou organismes publics, quelle que soit leur taille, doivent désigner un délégué à la protection des données (Data Protection Officer, ci-après « DPO »).

Conformément aux dispositions de l’article 37-6 du RGPD, le DPO peut être un membre du personnel de l’organisme responsable de traitement, ou exercer ses missions sur la base d’un contrat de service.

Les conditions d’exercice des fonctions de DPO sont précisées à l’article 38 du RGPD :

1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées. 3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Métropole Aix-Marseille-Provence 2

4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement. 5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres.

6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.

Les missions du DPO sont quant à elles précisées à l’article 39 du RGPD :

1. Les missions du délégué à la protection des données sont au moins les suivantes : a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données ; b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ; c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35 ; d) coopérer avec l'autorité de contrôle ;

e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet.

2. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Pour les communes qui en ont désigné un, le DPO accompagne le responsable de traitement dans la démarche de mise en conformité des activités de traitement de données à caractère personnel de la commune avec le RGPD.

Pour celles qui n’en ont pas encore désigné, l’obligation qui leur est faite d’en désigner un interroge sur les possibilités de mutualisation.

Pour assurer l’indépendance fonctionnelle et la montée en compétence des DPO, garantes de la qualité de la protection des données pour les collectivités, les autorités de contrôle européennes – la commission nationale informatique et libertés (CNIL) pour la France – encouragent fortement leur mise en réseau professionnel.

Ce réseau doit permettre aux DPO de partager sur leurs missions et leurs outils, mais également sur des situations pratiques et réflexions communes sur la protection des données,

Cette mise en réseau peut s’organiser soit informellement, soit entre collectivités, soit autour d’associations professionnelles.

Dans ces conditions, la Métropole propose sur la base du volontariat la mise en réseau des DPO désignés de l’ensemble des communes membres, mais également des structures relevant des communes membres qui en sont dotées (par exemple, centre communal d’action sociale).

Les outils de ce réseau seront :

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Métropole Aix-Marseille-Provence 3

- un annuaire des DPO,

- un espace collaboratif permettant de communiquer et de partager entre DPO sur la documentation, de l’actualité réglementaire ou encore des modèles de documents (annexes de marchés publics, mentions d’information, chartes informatiques, etc.),

- des rencontres trimestrielles sur le territoire de la Métropole, dans des locaux de la Métropole ou des communes membres volontaires, permettant des temps d’échange collectifs.

L’animation de ce réseau sera assurée au lancement par le DPO de la Métropole, mais pourra être assurée par la suite par un ou plusieurs DPO de communes membres.

La fonction de DPO, qu’elle soit assurée en interne par un agent de la collectivité ou externalisée par un contrat de service, constitue dans tous les cas une charge financière.

Les missions socles et les conditions d’exercice de cette fonction étant identiques pour tous les responsables de traitement, puisqu’elles sont fixées dans un règlement européen, une opportunité de mutualisation des moyens affectés entre plusieurs responsables de traitement existe.

Cette mutualisation est d’ailleurs expressément prévue entre organismes publics par l’article 37-4 du RGPD, compte tenu de leur structure organisationnelle et de leur taille.

La Métropole, établissement public de coopération intercommunale, est un échelon naturel de mutualisation pour ses communes membres, pour des compétences facultatives sur volontariat et après conventionnement.

Dans ces conditions, dix-huit communes membres ont déjà exprimé le souhait de mutualiser la fonction de DPO avec la Métropole.

La Métropole propose, en réponse à ces demandes, l’organisation de la mutualisation de la fonction de DPO avec ces communes, et le cas échéant avec d’autres communes membres qui en feraient la demande ultérieurement, sur la base d’un conventionnement dont le modèle est joint à la présente délibération.

La mutualisation de la fonction de DPO entraîne la mise à disposition de la commune de la solution informatisée de la Métropole retenue après mise en concurrence : MyDPO.

Cet outil édité par la société DPO CONSULTING SUD-EST, est accessible sur Internet en mode SaaS, sans besoin d’interconnexion avec le système d’information de la Métropole.

L’outil MyDPO comprend les modules suivants :

- outil de pilotage et de suivi de la démarche de mise en conformité, - registres :

- des activités de traitement,

- des violations de données personnelles,

- de gestion des demandes des personnes concernées,

- des sous-traitants,

- gestion des pièces justificatives,

- réalisation des études d’impact sur la protection des données,

- formation à distance,

- veille réglementaire.

L’accompagnement dans la démarche de mise en conformité comprend :

- les missions réglementaires socles du DPO, prévues par l’article 39 du RGPD :

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Métropole Aix-Marseille-Provence 4

- information et conseil du responsable de traitement sur les obligations en matière de protection des données ;

- contrôle du respect des dispositions du RGPD en matière de répartition des responsabilités sur les données personnelles avec les sous-traitants, de sensibilisation et d’information du personnel, - conseil en matière d’analyse d’impact sur la protection des données, - coopération avec l’autorité de contrôle (CNIL),

- point de contact avec l’autorité de contrôle (CNIL) y compris pour les consultations préalables.

- avec l’assistance d’un cabinet de conseil extérieur, les étapes suivantes :

- en début de projet, une réunion de lancement mutualisée avec un maximum de 5 à 6 communes par réunion, sous réserve de proximités géographiques cohérentes,

- l’accompagnement de chaque commune dans la cartographie de ses traitements, - la constitution du registre des traitements de chaque commune (sous l’application MyDPO), - la constitution d’un plan d’actions de mise en conformité de chaque commune (sous l’application MyDPO).

- en fin de projet, une restitution sur site pour chaque commune.

La mutualisation nécessite la signature préalable d’une convention entre la Métropole et la commune membre concernée, conformément au modèle joint en annexe à la présente délibération.

Par ailleurs, le DPO de la Métropole doit bénéficier du soutien de la commune qui le désigne.

La commune devra en particulier :

 s’assurer de son implication dans toutes les questions relatives à la protection des données (par exemple : communication interne et externe sur sa désignation, association en amont des projets impliquant des données personnelles),

 lui fournir les ressources nécessaires à la réalisation de ses tâches. A ce titre, la commune désigne obligatoirement en interne un ou plusieurs relais sur lesquels le DPO de la Métropole pourra s’appuyer, et fournira au DPO les accès nécessaires pour qu’il exerce ses missions et puisse accéder aux données à caractère personnel et aux opérations de traitement,  lui permettre d’agir de manière indépendante : le DPO doit disposer d’une autonomie d’action reconnue par tous au sein de la commune qui le désigne. Il exerce sa mission directement et uniquement auprès du responsable de traitement (Maire) ou toute autre personne que celui-ci aura habilitée. Cette personne sera nominativement désignée dans les conditions particulières.  lui faciliter l’accès aux données et aux opérations de traitement, en veillant à l’associer d’une manière appropriée et en temps utiles à toutes les questions relatives à la protection des données à caractère personnel,

 veiller à l’absence de conflit d’intérêts.

Enfin, l’application MyDPO étant accessible en mode SaaS, la commune doit s’assurer qu’elle dispose d’un accès à Internet de qualité suffisante pour répondre à ses besoins.

La mutualisation de la fonction de DPO avec les communes membres entraîne pour la Métropole, outre des dépenses de personnel, des dépenses spécifiques notamment liées à : - l’utilisation de licences complémentaires dans l’application informatique dédiée MyDPO (marché existant),

- le recours à une assistance à maîtrise d’ouvrage externe en appui des ressources internes (marché à passer).

Pour répartir ces charges, la proposition de tarification par commune repose sur plusieurs strates démographiques :

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Métropole Aix-Marseille-Provence 5

Strate

Tarif proposé

l'année de

l'adhésion

Tarif proposé les années

suivantes

< 2 000 habitants 2 500 € 1 500 €

2 000 à 5 000 habitants 4 500 € 2 000 €

5 000 à 10 000 habitants 6 500 € 4 000 €

10 000 à 20 000 habitants 8 500 € 6 000 €

20 000 à 30 000 habitants 10 000 € 8 000 €

> à 30 000 Accord spécifique Accord spécifique

Aussi le présent rapport a pour objectif d’approuver l’organisation d’accompagnement dans la démarche de mise en conformité avec le RPGD entre la Métropole Aix-Marseille-Provence et les communes membres, par la mise en réseau des DPO déjà désignés, et l’organisation de la mutualisation de la fonction de DPO entre la Métropole et les communes membres qui en font la demande.

Telles sont les raisons qui nous incitent à proposer au Conseil de la Métropole de prendre la délibération ci-après :

Le Conseil de la Métropole Aix-Marseille-Provence,

Vu

 Le Code Général des Collectivités Territoriales ;

 • La loi n°2014-58 du 27 janvier 2014 de modernisation de l'action publique territoriale et d'affirmation des Métropoles ;

 • La loi n°2015-991 du 7 août 2015 portant nouvelle organisation territoriale de la République ;  • La loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires ;  • La loi n° 84-53 du 26 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique territoriale ;

 • Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, ci- après « le RGPD ») ;

 • La loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;  • Le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

 L’information des Conseils de Territoire.

Ouï le rapport ci-dessus,

Entendues les conclusions du Commissaire Rapporteur,

Considérant

 Que l’accompagnement mutualisé de la démarche réglementaire de mise en conformité au RGPD entre la Métropole et les communes membres est de l’intérêt commun ;

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020Métropole Aix-Marseille-Provence 6

 Que la mise en réseau des DPO désignés des communes membres et de la Métropole est de nature à favoriser leur indépendance fonctionnelle et leur montée en compétences, garantes de la qualité de la protection des données ;

 Que la mutualisation de la fonction de délégué à la protection des données (DPO – Data Protection Officer) de la Métropole avec les communes membres qui en font la demande, dans les conditions prévues dans la convention-type, est de l’intérêt commun ;

Délibère

Article 1 :

Sont approuvées les conditions de mise en place et d’animation d’un réseau des délégués à la protection des données désignés de la Métropole et des communes membres.

Article 2 :

Est approuvée la mission de mutualisation de la fonction de délégué à la protection des données (DPO – Data Protection Officer) de la Métropole avec les communes membres qui en font la demande, sous réserve de conventionnement préalable.

Article 3 :

Est approuvée la convention-type de mutualisation de la fonction de délégué à la protection des données (DPO – Data Protection Officer) de la Métropole avec les communes membres qui en font la demande, ainsi que les conditions de tarification.

Article 4 :

Madame la Présidente de la Métropole ou son représentant, est autorisé à signer les conventions de mutualisation de la fonction de DPO avec les communes membres qui en font la demande ainsi que tout document y afférent.

Article 5 :

Les crédits nécessaires sont inscrits au budget 2021 : Fonction 020 - Nature 611 et 6182

Les recettes seront constatées au budget 2021 : Fonction 020. - Nature 70875

Pour enrôlement,

Le Vice-Président Délégué

Culture, Innovation numérique

Daniel GAGNON

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020METROPOLE AIX-MARSEILLE-PROVENCE

BP 48014 - 13567 MARSEILLE CEDEX 02

T : 04 91 99 99 00

Annexe 1 – Modèle de convention – Métropole-commune

1. Préambule

Aux termes des dispositions de l’article 37-4-a) règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, ci-après « le RGPD »), les autorités ou organismes publics, quelle que soit leur taille, doivent désigner un délégué à la protection des données (Data Protection Officer, ci- après « DPO »).

Conformément aux dispositions de l’article 37-6 du RGPD, le DPO peut être un membre du personnel de l’organisme responsable de traitement, ou exercer ses missions sur la base d’un contrat de service.

La fonction de DPO, qu’elle soit assurée en interne par un agent de la collectivité ou externalisée par un contrat de service, constitue dans tous les cas une charge financière.

Les missions socles et les conditions d’exercice de cette fonction étant identiques pour tous les responsables de traitement, puisqu’elles sont fixées dans un règlement européen, une opportunité de mutualisation des moyens affectés entre plusieurs responsables de traitement existe.

Cette mutualisation est d’ailleurs expressément prévue entre organismes publics par l’article 37-4 du RGPD, compte tenu de leur structure organisationnelle et de leur taille.

La Métropole, établissement public de coopération intercommunale, est un échelon naturel de mutualisation pour ses communes membres, pour des compétences facultatives sur volontariat et après conventionnement.

L’accès d’une commune membre à ce service de la Métropole Aix-Marseille- Provence est donc conditionné à la signature préalable de la présente convention.

Dans ce cadre, il est donc proposé la présente convention :

ENTRE

La Métropole d’Aix-Marseille-Provence, établissement public de coopération intercommunale dont le siège est situé au Pharo, 58 boulevard Charles Livon à 13007 MARSEILLE, représenté par sa Présidente Madame Martine VASSAL, ci- après dénommée « la Métropole »,

D’une part,

ET

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20202 2

La commune de ………………………………….……………….. sise à……….…………… représentée par son Maire, Monsieur/Madame …………………….…….. dûment habilité par délibération n°………………. en date du …………………….……, ci-après dénommée « la commune »,

D’autre part,

Ceci exposé, il est convenu et arrêté ce qui suit :

VU

• Le Code Général des Collectivités Territoriales ;

• La loi n°2014-58 du 27 janvier 2014 de modernisation de l'action publique territoriale et d'affirmation des Métropoles ;

• La loi n°2015-991 du 7 août 2015 portant nouvelle organisation territoriale de la République ;

• La loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires ;

• La loi n° 84-53 du 26 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique territoriale ;

• Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, ci-après « le RGPD ») ;

• La loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;

• Le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78- 17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; • La délibération du conseil de la Métropole Aix-Marseille-Provence n° ………………… du …………………….. 2020 :

Article 1 - Objet de la convention

La présente convention définit les modalités de la mission de mutualisation de la fonction de délégué à la protection des données (DPO – Data Protection Officer) proposée par la Métropole.

Les conditions d’exercice des fonctions de DPO sont précisées à l’article 38 du RGPD :

1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel.

2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées.

3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20203 3

relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.

4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement.

5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres. 6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.

Les missions du DPO sont quant à elles précisées à l’article 39 du RGPD :

1. Les missions du délégué à la protection des données sont au moins les suivantes :

a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données ;

b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ;

c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35 ;

d) coopérer avec l'autorité de contrôle ;

e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet.

2. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.

Article 2 – Contenu des prestations

La mutualisation de la fonction de DPO entraîne la mise à disposition de la commune de la solution informatisée de la Métropole retenue par marché public après mise en concurrence : MyDPO.

Cet outil édité par la société DPO CONSULTING SUD-EST, est accessible sur Internet en mode SaaS, sans besoin d’interconnexion avec le système d’information de la Métropole.

L’outil MyDPO comprend les modules suivants :

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20204 4

- outil de pilotage et de suivi de la démarche de mise en conformité,

- registres :

- des activités de traitement,

- des violations de données personnelles,

- de gestion des demandes des personnes concernées,

- des sous-traitants,

- gestion des pièces justificatives,

- réalisation des études d’impact sur la vie privée,

- formation à distance,

- veille réglementaire.

L’accompagnement dans la démarche de mise en conformité comprend :

- les missions réglementaires socles du DPO, prévues par l’article 39 du RGPD : - information et conseil du responsable de traitement sur les obligations en matière de protection des données ;

- contrôle du respect des dispositions du RGPD en matière de répartition des responsabilités sur les données personnelles avec les sous-traitants, de sensibilisation et d’information du personnel,

- conseil en matière d’analyse d’impact sur la protection des données, - coopération avec l’autorité de contrôle (CNIL),

- point de contact avec l’autorité de contrôle (CNIL) y compris pour les consultations préalables.

- avec l’assistance d’un cabinet de conseil extérieur, les étapes suivantes : - en début de projet, une réunion de lancement mutualisée avec un maximum de 5 à 6 communes par réunion, sous réserve de proximités géographiques cohérentes,

- l’accompagnement de la commune dans la cartographie de ses traitements, - la constitution du registre des traitements de la commune (sous l’application MyDPO),

- la constitution d’un plan d’actions de mise en conformité de la commune (sous l’application MyDPO).

- en fin de projet, une restitution sur site pour la commune.

Article 3 – Prérequis

Le DPO de la Métropole doit bénéficier du soutien de la commune qui le désigne.

La commune devra en particulier :

 s’assurer de son implication dans toutes les questions relatives à la protection

des données (par exemple : communication interne et externe sur sa désignation, association en amont des projets impliquant des données personnelles),

 lui fournir les ressources nécessaires à la réalisation de ses tâches. A ce titre,

la commune désigne obligatoirement en interne un ou plusieurs relais sur lesquels le DPO de la Métropole pourra s’appuyer, et fournira au DPO les

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20205 5

accès nécessaires pour qu’il exerce ses missions et puisse accéder aux données à caractère personnel et aux opérations de traitement,

 lui permettre d’agir de manière indépendante : le DPO doit disposer d’une

autonomie d’action reconnue par tous au sein de la commune qui le désigne. Il exerce sa mission directement et uniquement auprès du responsable de traitement (Maire) ou toute autre personne que celui-ci aura habilitée. Cette personne sera nominativement désignée dans les conditions particulières.  lui faciliter l’accès aux données et aux opérations de traitement, en veillant à l’associer d’une manière appropriée et en temps utiles à toutes les questions relatives à la protection des données à caractère personnel,

 veiller à l’absence de conflit d’intérêts.

Par ailleurs, l’application MyDPO étant accessible en mode SaaS, la commune doit s’assurer qu’elle dispose d’un accès à Internet de qualité suffisante pour répondre à ses besoins.

Article 4 – Désignation du délégué à la protection des données

La collectivité désigne la Métropole Aix-Marseille-Provence comme délégué à la protection des données auprès de la CNIL.

Il est préconisé que cette désignation soit auparavant portée à la connaissance du Comité technique de la commune.

La Métropole désigne une personne physique pour assurer la mission de DPO qui s’engage expressément à assurer sa mission avec impartialité, compétence et diligence.

Article 5 – Engagements réciproques des parties

 Engagements de la Métropole

La Métropole s’engage à désigner pour chaque commune adhérente au service une personne identifiée comme le pilote de la mission d’accompagnement.

La Métropole garantit que le DPO est joignable. Elle communique à la commune adhérente un numéro de téléphone et une adresse de courrier électronique spécifique.

La Métropole s’engage à mettre à disposition de la collectivité un DPO désigné sur la base de ses qualités professionnelles et en particulier, de ses connaissances spécialisés du droit et des pratiques en matière de protection des données et de sa capacité à accomplir les missions visées à l’article 39 du RGPD.

Le DPO est soumis au secret professionnel et a une obligation de confidentialité en ce qui concerne l’exercice de ses missions.

 Engagements de la commune

La commune adhérente s’engage à publier les coordonnées du DPO et à communiquer celles-ci à l’autorité de contrôle compétente.

Elle s’engage à lui faciliter l’accès aux données et aux opérations de traitement.

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20206 6

Elle veille à ce que le DPO exerce ses missions en toute indépendance et ne reçoive aucune instruction en ce qui concerne l’exercice de ses missions.

Elle s’engage à participer aux temps collectifs prévus pour l’animation de la mission sur le territoire.

 Rôles des parties

Les rôles auxquels chacune des parties est engagée sont rappelés ci-après :

La Métropole La commune

Crée et tient à jour le registre des activités de

traitement

Sensibilise les agents de la commune

Conseille la commune

Nomme un ou plusieurs relais en interne

Avertit la Métropole de tout nouveau traitement de

données à caractère personnel

Se forme et se sensibilise

Article 6 – Responsabilité du DPO

Le délégué à la protection des données n’est pas responsable en cas de non-respect du RGPD.

Ce dernier établit clairement que le responsable du traitement (la commune) ou le sous-traitant (titulaire de marché public ou délégataire de service public de la commune) sont tenus de s’assurer et d'être en mesure de démontrer que le traitement est effectué conformément à ses dispositions (article 24.1 du RGPD).

La responsabilité du respect de la protection des données incombe donc au responsable du traitement ou au sous-traitant.

Il est impossible de transférer au DPO, par délégation de pouvoir, la responsabilité incombant au responsable de traitement ou les obligations propres du sous-traitant.

Article 7 – Fin de mission du DPO

Au terme de la convention, la commune adhérente devra obligatoirement notifier à la CNIL la fin de mission de DPO de la Métropole.

Article 8 – Dispositions financières

Compte tenu de la strate démographique de la commune, le tarif forfaitaire annuel est fixé à ………………..€ pour l’année d’adhésion, puis…………………..€ les années suivantes.

La mission d’accompagnement est facturée annuellement au mois de décembre, le premier versement ayant lieu au mois de décembre suivant l’adhésion, au prorata

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 20207 7

des mois d’utilisation de la mission dans l’année.

En cas de résiliation anticipée de la part de la commune, compte tenu du caractère forfaitaire de la tarification, l’année entamée sera entièrement due.

Les tarifs et modalités de paiement de la mission de DPO mutualisé ont été fixés par délibération du conseil de la Métropole et sont consultables sur www.ampmetropole.fr dans la rubrique « Conseil de la Métropole / Les séances ». Ils s’appliquent au 1er janvier de l’année concernée.

Les tarifs de l’année en cours sont consultables dans les conditions particulières de la prestation.

Toute modalité spécifique éventuelle de facturation, en cas de missions complémentaires, y sera également mentionnée.

Article 9 – Date d’effet – Durée

La mission pourra débuter, après signature de la présente convention, à la date convenue entre la commune et la Métropole.

La présente convention prend effet à la date de sa signature pour une durée de trois ans.

Fait en deux exemplaires originaux

À ……………………………… Le …………………

Le Maire de La Présidente de la Métropole Aix-Marseille-

Provence,

Martine VASSAL

Reçu au Contrôle de légalité le 18 décembre 2020 Reçu au Contrôle de légalité le 18 décembre 2020