Offres
API
Connexion
Documents similaires
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 092
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 248
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 392
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 133
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 094
unknown - Métropole - Aix-Marseille-Provence - 2021 CT2 347
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 097
unknown - Métropole - Aix-Marseille-Provence - 2021 CT2 189
unknown - Métropole - Aix-Marseille-Provence - 2019 CT2 079
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 261
unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 335
Document publié le Jeudi 10 décembre 2020
Lien du pdf (unknown - Métropole - Aix-Marseille-Provence - 2020 CT2 335)
Thèmes du document : Données personnelles, Consommateurs, Union Européenne,
Territoire Métropole Aix- |
du Pays d'Aix Marseille-Provence
EXTRAIT DU REGISTRE DES DELIBERATIONS
DU CONSEIL DE TERRITOIRE DU PAYS D'AIX
SEANCE DU 10 DECEMBRE 2020 :
PRESIDENCE DE MONSIEUR GERARD BRAMOULLÉ
2020 CT2 335
OBJET : Ressources — Technologies d'information et de communication — AVIS — Organisation de la
mutualisation de la fonction de délégué à la protection des données de la Métropole Aix-Marseille-
Provence avec les communes membres
Le 10 décembre 2020, le Conseil de Territoire du Pays d'Aix, s'est réuni en session ordinaire à la Salle des
Musiques Actuelles du Pays d'Aix (6MIC) à Aix-en-Provence, sur la convocation qui lui a été adressée par
Madame le Président du Territoire le 4 décembre 2020, conformément à l'article L.5211—-1 du Code Général
des Collectivités Territoriales.
Etaient Présents : AMAR Daniel — AMIEL Michel — ARDHUIN Philippe — BARRET Guy — BIANCO Kayané
— BONFILLON CHIAVASSA Béatrice —- BOULAN Michel - BRAMOULLÉ Gérard — CANAL Jean-Louis —
CESARI Martine — CHARRIN Philippe — CORNO Jean-François — CRISTIANI Georges — DELAVET
Christian — DESVIGNES Vincent — DI CARO Sylvaine —- FERNANDEZ Stéphanie — FREGEAC Olivier —
GACHON Loïc - GERARD Jacky - GOMEZ André — GOURNES Jean-Pascal - GRANIER Hervé — GRUVEL
Jean-Christophe — GUINIERI Frédéric —- HUBERT Claudie — JOISSAINS Sophie — KLEIN Philippe —
LANGUILLE Vincent — MALLIÉ Richard — MARTIN Régis —- MERCIER Arnaud — PELLENC Roger — PENA Marc — RAMOND Bernard —- ROVARINO Isabelle — RUIZ Michel — SICARD-DESNUELLE Marie-Pierre —
SLISSA Monique — TAULAN Francis —- VENTRON Amapola
Etai(en)t excusé(es) avec pouvoir donné conformément aux dispositions de l’article L. 2121-20 du
Code Général des Collectivités Territoriales : BENKACI Moussa donne pouvoir à TAULAN Francis —
BURLE Christian donne pouvoir à CRISTIANI Georges — CHAUVIN Pascal donne pouvoir à BOULAN Michel
— CIOT Jean-David donne pouvoir à GACHON Loïc —- CONTÉ Marie-Ange donne pouvoir à PELLENC Roger
— DAGORNE Robert donne pouvoir à MERCIER Arnaud — FILIPPI Claude donne pouvoir à BRAMOULLÉ
Gérard —- GARCIN Eric donne pouvoir à FREGEAC Olivier — JOISSAINS MASINI Maryse donne pouvoir à
SICARD-DESNUELLE Marie-Pierre - MORBELLI Pascale donne pouvoir à ROVARINO Isabelle — PAOLI
Stéphane donne pouvoir à FERNANDEZ Stéphanie —- PETEL Anne-Laurence donne pouvoir à KLEIN
Philippe — SERRUS Jean-Pierre donne pouvoir à CHARRIN Philippe — VINCENT Jean-Louis donne pouvoir
à GRUVEL Jean-Christophe —- ZERKANI-RAYNAL Karima donne pouvoir à JOISSAINS Sophie
Etai(en)t excusé(es) sans pouvoir : POUSSARDIN Fabrice — SANNA Valérie
Secrétaire de séance : BIANCO Kayané
Monsieur Régis MARTIN donne lecture du rapport ci-joint. Accusé de réception en préfecture 013-200054807-20201210-2020_CT2_335-DE Date de télétransmission : 21/12/2020 Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence
RAPPORT AU CONSEIL DE TERRITOIRE DU PAYS D’AIX
Ressources
Technologies d'information et de communication
H Séance du 10 décembre 2020
02 7 01
# Organisation de la mutualisation de la fonction de délégué à la protection des
données de la Métropole Aix-Marseille-Provence avec les communes membres
Madame le Président soumet pour information au Conseil de Territoire le rapport suivant :
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence 2
RAPPORT AU CONSEIL DE LA METROPOLE
Finances, Budget, patrimoine et administration générale
& Séance du 17 Décembre 2020
53
FBPA 053-17/12/20 CM
# Organisation de la mutualisation de la fonction de délégué à la protection des
données de la Métropole Aix-Marseille-Provence avec les communes membres
Madame la Présidente de la Métropole Aix-Marseille-Provence sur proposition du Commissaire
Rapporteur soumet au Conseil de la Métropole le rapport suivant :
Aux termes des dispositions de l’article 37-4-a) règlement (UE) 2016/679 du Parlement européen et du
Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des
données à caractère personnel et à la libre circulation de ces données (règlement général sur la
protection des données, ci-après « le RGPD »), les autorités ou organismes publics, quelle que soit leur
taille, doivent désigner un délégué à la protection des données (Data Protection Officer, ci-après
« DPO »).
Conformément aux dispositions de l’article 37-6 du RGPD, le DPO peut être un membre du personnel
de l'organisme responsable de traitement, ou exercer ses missions sur la base d’un contrat de service.
Les conditions d'exercice des fonctions de DPO sont précisées à l’article 38 du RGPD :
1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des
données soit associé, d'une manière appropriée et en temps utile, à toutes les questions
relatives à la protection des données à caractère personnel.
2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à
exercer les missions viséesà l'article 39 en fournissant les ressources nécessaires pour exercer
ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de
traitement, et lui permettant d'entretenir ses connaissances spécialisées.
3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des
données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à
la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable
du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des
données fait directement rapport au niveau le plus élevé de la direction du responsable du
traitement ou du sous-traitant.
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence 3
4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des
données au sujet de toutes les questions relatives au traitement de leurs données à caractère
personnel et à l'exercice des droits que leur confère le présent règlement.
5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation
de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de
l'Union ou au droit des États membres.
6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le
responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches
n'entraînent pas de conflit d'intérêts.
Les missions du DPO sont quant à elles précisées à l’article 39 du RGPD :
1. Les missions du délégué à la protection des données sont au moins les suivantes :
a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui
procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres
dispositions du droit de l'Union ou du droit des États membres en matière de protection des données ;
b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des
États membres en matière de protection des données et des règles internes du responsable du
traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en
ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel
participant aux opérations de traitement, et les audits s'y rapportant ;
c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection
des données et vérifier l'exécution de celle-ci en vertu de l'article 35 ;
d) coopérer avec l'autorité de contrôle ;
e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y
compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout
autre sujet.
2. Le délégué à la protection des données tient dûment compte, dans l'accomplissement de ses
missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée,
du contexte et des finalités du traitement.
Pour les communes qui en ont désigné un, le DPO accompagne le responsable de traitement dans la
démarche de mise en conformité des activités de traitement de données à caractère personnel de la
commune avec le RGPD.
Pour celles qui n'en ont pas encore désigné, l'obligation qui leur est faite d'en désigner un interroge sur
les possibilités de mutualisation.
Pour assurer l'indépendance fonctionnelle et la montée en compétence des DPO, garantes de la qualité
de la protection des données pour les collectivités, les autorités de contrôle européennes — la
commission nationale informatique et libertés (CNIL) pour la France — encouragent fortement leur mise
en réseau professionnel.
Ce réseau doit permettre aux DPO de partager sur leurs missions et leurs outils, mais également sur
des situations pratiques et réflexions communes sur la protection des données,
Cette mise en réseau peut s'organiser soit informellement, soit entre collectivités, soit autour
d'associations professionnelles.
Dans ces conditions, la Métropole propose sur la base du volontariat la mise en réseau des DPO
désignés de l'ensemble des communes membres, mais également des structures relevant des
communes membres qui en sont dotées (par exemple, centre communal d'action sociale).
Les outils de ce réseau seront :
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence 4
- un annuaire des DPO),
- Un espace collaboratif permettant de communiquer et de partager entre DPO sur la documentation, de
l'actualité réglementaire ou encore des modèles de documents (annexes de marchés publics, mentions
d'information, chartes informatiques, etc.),
- des rencontres trimestrielles sur le territoire de la Métropole, dans des locaux de la Métropole ou des
communes membres volontaires, permettant des temps d'échange collectifs.
L'animation de ce réseau sera assurée au lancement par le DPO de la Métropole, mais pourra être
assurée par la suite par un ou plusieurs DPO de communes membres.
La fonction de DPO, qu'elle soit assurée en interne par un agent de la collectivité ou externalisée par un
contrat de service, constitue dans tous les cas une charge financière.
Les missions socles et les conditions d'exercice de cette fonction étant identiques pour tous les
responsables de traitement, puisqu'elles sont fixées dans un règlement européen, une opportunité de
mutualisation des moyens affectés entre plusieurs responsables de traitement existe.
Cette mutualisation est d’ailleurs expressément prévue entre organismes publics par l’article 37-4 du
RGPD, compte tenu de leur structure organisationnelle et de leur taille.
La Métropole, établissement public de coopération intercommunale, est un échelon naturel de
mutualisation pour ses communes membres, pour des compétences facultatives sur volontariat et après
conventionnement.
Dans ces conditions, dix-huit communes membres ont déjà exprimé le souhait de mutualiser la fonction
de DPO avec la Métropole.
La Métropole propose, en réponse à ces demandes, l'organisation de la mutualisation de la fonction de
DPO avec ces communes, et le cas échéant avec d’autres communes membres qui en feraient la
demande ultérieurement, sur la base d'un conventionnement dont le modèle est joint à la présente
délibération.
La mutualisation de la fonction de DPO entraîne la mise à disposition de la commune de la solution
informatisée de la Métropole retenue après mise en concurrence : MyDPO.
Cet outil édité par la société DPO CONSULTING SUD-EST, est accessible sur Internet en mode Saas,
Sans besoin d'interconnexion avec le système d’information de la Métropole.
L'outil MyDPO comprend les modules suivants :
- outil de pilotage et de suivi de la démarche de mise en conformité,
- registres :
- des activités de traitement,
- des violations de données personnelles,
- de gestion des demandes des personnes concernées,
- des sous-traitants,
- gestion des pièces justificatives,
- réalisation des études d'impact sur la protection des données,
- formation à distance,
- veille réglementaire.
L'accompagnement dans la démarche de mise en conformité comprend :
- les missions réglementaires socles du DPO, prévues par l’article 39 du RGPD :
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence 5
- information et conseil du responsable de traitement sur les obligations en matière de protection des
données ;
- contrôle du respect des dispositions du RGPD en matière de répartition des responsabilités sur les
données personnelles avec les sous-traitants, de sensibilisation et d’information du personnel,
- conseil en matière d'analyse d'impact sur la protection des données,
- coopération avec l'autorité de contrôle (CNIL),
- point de contact avec l'autorité de contrôle (CNIL) y compris pour les consultations préalables.
- avec l'assistance d’un cabinet de conseil extérieur, les étapes suivantes :
- en début de projet, une réunion de lancement mutualisée avec un maximum de 5 à 6 communes par
réunion, sous réserve de proximités géographiques cohérentes,
- l'accompagnement de chaque commune dans la cartographie de ses traitements,
- la constitution du registre des traitements de chaque commune (sous l'application MyDPO),
- la constitution d'un plan d'actions de mise en conformité de chaque commune (sous l'application
MyDPO).
- en fin de projet, une restitution sur site pour chaque commune.
La mutualisation nécessite la signature préalable d’une convention entre la Métropole et la commune
membre concernée, conformément au modèle joint en annexe à la présente délibération.
Par ailleurs, le DPO de la Métropole doit bénéficier du soutien de la commune qui le désigne.
La commune devra en particulier :
+ S'assurer de son implication dans toutes les questions relatives à la protection des données (par
exemple : communication interne et externe sur sa désignation, association en amont des
projets impliquant des données personnelles),
+ lui fournir les ressources nécessaires à la réalisation de ses tâches. A ce titre, la commune
désigne obligatoirement en interne un ou plusieurs relais sur lesquels le DPO de la Métropole
pourra S’appuyer, et fournira au DPO les accès nécessaires pour qu'il exerce ses missions et
puisse accéder aux données à caractère personnel et aux opérations de traitement,
° lui permettre d'agir de manière indépendante : le DPO doit disposer d’une autonomie d'action
reconnue par tous au sein de la commune qui le désigne. Il exerce sa mission directement et
uniquement auprès du responsable de traitement (Maire) ou toute autre personne que celui-ci
aura habilitée. Cette personne sera nominativement désignée dans les conditions particulières.
e lui faciliter l'accès aux données et aux opérations de traitement, en veillant à l’associer d'une
manière appropriée et en temps utiles à toutes les questions relatives à la protection des
données à caractère personnel,
e veiller à l'absence de conflit d'intérêts.
Enfin, l'application MyDPO étant accessible en mode Saas, la commune doit s'assurer qu'elle dispose
d'un accès à Internet de qualité suffisante pour répondre à ses besoins.
La mutualisation de la fonction de DPO avec les communes membres entraîne pour la Métropole, outre
des dépenses de personnel, des dépenses spécifiques notamment liées à :
- l'utilisation de licences complémentaires dans l’application informatique dédiée MyDPO (marché
existant),
- le recours à une assistance à maîtrise d'ouvrage externe en appui des ressources internes (marché à
passer).
Pour répartir ces charges, la proposition de tarification par commune repose sur plusieurs strates
démographiques :
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence 6
Tarif roposé : ; £
Strate l'année Poe de Len A ss les annees l'adhésion
< 2 000 habitants 2 500 € 1 500 €
2 000 à 5 000 habitants |4 500 € 2 000 €
5 000 à 10 000 habitants |6 500 € 4 000 €
10 000 à 20 000 habitants | 8 500 € 6 000 €
20 000 à 30 000 habitants | 10 000 € 8 000 €
> à 30 000 Accord spécifique | Accord spécifique
Aussi le présent rapport a pour objectif d'approuver l'organisation d'accompagnement dans la démarche
de mise en conformité avec le RPGD entre la Métropole Aix-Marseille-Provence et les communes
membres, par la mise en réseau des DPO déjà désignés, et l’organisation de la mutualisation de la
fonction de DPO entre la Métropole et les communes membres qui en font la demande.
Telles sont les raisons qui nous incitent à proposer au Conseil de la Métropole de prendre la délibération
ci-après :
Le Conseil de la Métropole Aix-Marseille-Provence,
Vu
e Le Code Général des Collectivités Territoriales ;
e + La loi n°2014-58 du 27 janvier 2014 de modernisation de l'action publique territoriale et
d'affirmation des Métropoles ;
° + La loin°2015-991 du 7 août 2015 portant nouvelle organisation territoriale de la République ;
+ +Laloin° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires :
e + La loi n° 84-53 du 26 janvier 1984 modifiée portant dispositions statutaires relatives à la
fonction publique territoriale ;
e + Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel
et à la libre circulation de ces données (règlement général sur la protection des données, ci-
après « le RGPD ») ;
e +Laloin° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
e + Le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6
janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Ouï le rapport ci-dessus,
Entendues les conclusions du Commissaire Rapporteur,
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Métropole Aix-Marseille-Provence 7
Considérant
+ Que l'accompagnement mutualisé de la démarche réglementaire de mise en conformité au
RGPD entre la Métropole et les communes membres est de l'intérêt commun ;
° Que la mise en réseau des DPO désignés des communes membres et de la Métropole est de
nature à favoriser leur indépendance fonctionnelle et leur montée en compétences, garantes de
la qualité de la protection des données ;
° Que la mutualisation de la fonction de délégué à la protection des données (DPO - Data
Protection Officer) de la Métropole avec les communes membres qui en font la demande, dans
les conditions prévues dans la convention-type, est de l'intérêt commun :
Délibère
Article 1 :
Sont approuvées les conditions de mise en place et d'animation d'un réseau des délégués à la
protection des données désignés de la Métropole et des communes membres.
Article 2 :
Est approuvée la mission de mutualisation de la fonction de délégué à la protection des données (DPO
— Data Protection Officer) de la Métropole avec les communes membres qui en font la demande, sous
réserve de conventionnement préalable.
Article 3 :
Est approuvée la convention-type de mutualisation de la fonction de délégué à la protection des
données (DPO -— Data Protection Officer) de la Métropole avec les communes membres qui en font la
demande, ainsi que les conditions de tarification.
Article 4 :
Madame la Présidente de la Métropole ou son représentant, est autorisé à signer les conventions de
mutualisation de la fonction de DPO avec les communes membres qui en font la demande ainsi que tout
document y afférent.
Article 5 :
Les crédits nécessaires sont inscrits au budget 2021 : Fonction 020 - Nature 611 et 6182
Les recettes seront constatées au budget 2021 : Fonction 020. - Nature 70875
Pour enrôlement,
Le Vice-Président Délégué
Culture, Innovation numérique
Daniel GAGNON
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 : AÏZ<
: MARSEILLE
: PROVENCE
O mm an
Annexe 1 —- Modèle de convention — Métropole-commune
LÀ Préambule
Aux termes des dispositions de l’article 37-4-a) règlement (UE) 2016/679 du
Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des
personnes physiques à l'égard du traitement des données à caractère personnel et à
la libre circulation de ces données (règlement général sur la protection des données,
ci-après « le RGPD »), les autorités ou organismes publics, quelle que soit leur taille,
doivent désigner un délégué à la protection des données (Data Protection Officer, ci-
après « DPO »).
Conformément aux dispositions de l’article 37-6 du RGPD, le DPO peut être un
membre du personnel de l'organisme responsable de traitement, ou exercer ses
missions sur la base d’un contrat de service.
La fonction de DPO, qu'elle soit assurée en interne par un agent de la collectivité ou
externalisée par un contrat de service, constitue dans tous les cas une charge
financière.
Les missions socles et les conditions d'exercice de cette fonction étant identiques
pour tous les responsables de traitement, puisqu'elles sont fixées dans un règlement
européen, une opportunité de mutualisation des moyens affectés entre plusieurs
responsables de traitement existe.
Cette mutualisation est d’ailleurs expressément prévue entre organismes publics par
l'article 37-4 du RGPD, compte tenu de leur structure organisationnelle et de leur
taille.
La Métropole, établissement public de coopération intercommunale, est un échelon
naturel de mutualisation pour ses communes membres, pour des compétences
facultatives sur volontariat et après conventionnement.
L'accès d'une commune membre à ce service de la Métropole Aix-Marseille-
Provence est donc conditionné à la signature préalable de la présente convention.
Dans ce cadre, il est donc proposé la présente convention :
ENTRE
La Métropole d’Aix-Marseille-Provence, établissement public de coopération
intercommunale dont le siège est situé au Pharo, 58 boulevard Charles Livon à
13007 MARSEILLE, représenté par sa Présidente Madame Martine VASSAL. ci-
après dénommée « la Métropole »,
D'une par,
\._7 ä: METROPOLE AIX-MARSEILLE-PROVENCE
- NN VV BP 48014 - 13567 MARSEILLE CEDEX
02 HEYR © !accbook.com/ampmetropole T : 04 91 99 99 00
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 La commune dE iii eeuueeuceececr sise
en LS HEURES 25 stone représentée par son Maire, Monsieur/Madame
NUS DADERENRNRE ENS LA dûment habilité par délibération n°................... en date du
Lesvesaueenseneee eee , Ci-après dénommée « la commune »,
D'autre part,
Ceci exposé, il est convenu et arrêté ce qui suit :
VU
+ Le Code Général des Collectivités Territoriales ;
* La loi n°2014-58 du 27 janvier 2014 de modernisation de l'action publique
territoriale et d'affirmation des Métropoles :
* La loi n°2015-991 du 7 août 2015 portant nouvelle organisation territoriale de la
République ;
* La loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des
fonctionnaires ;
* La loi n° 84-53 du 26 janvier 1984 modifiée portant dispositions statutaires relatives
à la fonction publique territoriale ;
* Le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
relatif à la protection des personnes physiques à l'égard du traitement des données à
caractère personnel et à la libre circulation de ces données (règlement général sur la
protection des données, ci-après « le RGPD ») ;
* La loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et
aux libertés ;
* Le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-
17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
* La délibération du conseil de la Métropole Aix-Marseille-Provence n°
Lereesees cesser Ones em DPD
Article 1 - Objet de la convention
La présente convention définit les modalités de la mission de mutualisation de la
fonction de délégué à la protection des données (DPO — Data Protection Officer)
proposée par la Métropole.
Les conditions d'exercice des fonctions de DPO sont précisées à l’article 38 du
RGPD :
1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à
la protection des données soit associé, d'une manière appropriée et en temps
utile, à toutes les questions relatives à la protection des données à caractère
personnel.
2. Le responsable du traitement et le sous-traitant aident le délégué à la
protection des données à exercer les missions visées à l'article 39 en
fournissant les ressources nécessaires pour exercer ces missions, ainsi que
l'accès aux données à caractère personnel et aux opérations de traitement, et
lui permettant d'entretenir ses connaissances spécialisées.
3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à
la protection des données ne reçoive aucune instruction-ence-ani-conceme
l'exercice des missions. Le délégué à la protection desAccusé de réception en préfecture 013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 relevé de ses fonctions ou pénalisé par le responsable du traitement ou le
sous-traitant pour l'exercice de ses missions. Le délégué à la protection des
données fait directement rapport au niveau le plus élevé de la direction du
responsable du traitement ou du sous-traitant.
4. Les personnes concernées peuvent prendre contact avec le délégué à la
protection des données au sujet de toutes les questions relatives au
traitement de leurs données à caractère personnel et à l'exercice des droits
que leur confère le présent règlement.
5. Le délégué à la protection des données est soumis au secret professionnel ou
à une obligation de confidentialité en ce qui concerne l'exercice de ses
missions, conformément au droit de l'Union ou au droit des États membres.
6. Le délégué à la protection des données peut exécuter d'autres missions et
tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces
missions et tâches n'entraînent pas de conflit d'intérêts.
Les missions du DPO sont quant à elles précisées à l'article 39 du RGPD :
1. Les missions du délégué à la protection des données sont au moins les
suivantes :
a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les
employés qui procèdent au traitement sur les obligations qui leur incombent en vertu
du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États
membres en matière de protection des données ;
b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union
ou du droit des États membres en matière de protection des données et des règles
internes du responsable du traitement ou du sous-traitant en matière de protection
des données à caractère personnel, y compris en ce qui concerne la répartition des
responsabilités, la sensibilisation et la formation du personnel participant aux
opérations de traitement, et les audits s'y rapportant ;
c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact
relative à la protection des données et vérifier l'exécution de celle-ci en vertu de
l'article 35 ;
d) coopérer avec l'autorité de contrôle ;
e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives
au traitement, y compris la consultation préalable visée à l'article 36, et mener des
consultations, le cas échéant, sur tout autre sujet.
2. Le délégué à la protection des données tient dûment compte, dans
l'accomplissement de ses missions, du risque associé aux opérations de
traitement compte tenu de la nature, de la portée, du contexte et des finalités
du traitement.
Article 2 —- Contenu des prestations
La mutualisation de la fonction de DPO entraîne la mise à disposition de la commune
de la solution informatisée de la Métropole retenue par marché public après mise en
concurrence : MyDPO.
Cet outil édité par la société DPO CONSULTING SUD-EST est accessible sur
Internet en mode SaasS, sans besoin d’interconnexion avec le système d’information
de la Métropole.
L'outil MyDPO comprend les modules suivants :
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 - outil de pilotage et de suivi de la démarche de mise en conformité,
- registres :
- des activités de traitement,
- des violations de données personnelles,
- de gestion des demandes des personnes concernées,
- des sous-traitants,
- gestion des pièces justificatives,
- réalisation des études d'impact sur la vie privée,
- formation à distance,
- veille réglementaire.
L'accompagnement dans la démarche de mise en conformité comprend :
- les missions réglementaires socles du DPO, prévues par l’article 39 du RGPD :
- information et conseil du responsable de traitement sur les obligations en
matière de protection des données ;
- contrôle du respect des dispositions du RGPD en matière de répartition des
responsabilités sur les données personnelles avec les sous-traitants, de
sensibilisation et d’information du personnel,
- conseil en matière d'analyse d'impact sur la protection des données,
- coopération avec l'autorité de contrôle (CNIL),
- point de contact avec l'autorité de contrôle (CNIL) y compris pour les
consultations préalables.
- avec l'assistance d’un cabinet de conseil extérieur, les étapes suivantes :
- en début de projet, une réunion de lancement mutualisée avec un maximum
de 5 à 6 communes par réunion, sous réserve de proximités géographiques
cohérentes,
- l'accompagnement de la commune dans la cartographie de ses traitements,
- la constitution du registre des traitements de la commune (sous l'application
MyDPO),
- la constitution d'un plan d'actions de mise en conformité de la commune
(sous l'application MyDPO).
- en fin de projet, une restitution sur site pour la commune.
Article 3 —- Prérequis
Le DPO de la Métropole doit bénéficier du soutien de la commune qui le désigne.
La commune devra en particulier :
° _ S'assurer de son implication dans toutes les questions relatives à la protection
des données (par exemple: communication interne et externe sur sa
désignation, association en amont des projets impliquant des données
personnelles),
° lui fournir les ressources nécessaires à la réalisation de ses tâches. A ce titre,
la commune désigne obligatoirement en interne un et-pitsieturs—retais-sur
lesquels le DPO de la Métropole pourra s'appuyer, &Accusé de réception en préfecture 013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 accès nécessaires pour qu'il exerce ses missions et puisse accéder aux
données à caractère personnel et aux opérations de traitement,
+ lui permettre d'agir de manière indépendante : le DPO doit disposer d’une
autonomie d'action reconnue par tous au sein de la commune qui le désigne.
Il exerce sa mission directement et uniquement auprès du responsable de
traitement (Maire) ou toute autre personne que celui-ci aura habilitée. Cette
personne sera nominativement désignée dans les conditions particulières.
° lui faciliter l'accès aux données et aux opérations de traitement, en veillant à
l'associer d'une manière appropriée et en temps utiles à toutes les questions
relatives à la protection des données à caractère personnel,
. veiller à l'absence de conflit d'intérêts.
Par ailleurs, l'application MyDPO étant accessible en mode SaasS, la commune doit
s'assurer qu'elle dispose d’un accès à Internet de qualité suffisante pour répondre à
ses besoins.
Article 4 — Désignation du délégué à la protection des données
La collectivité désigne la Métropole Aix-Marseille-Provence comme délégué à la
protection des données auprès de la CNIL.
Il est préconisé que cette désignation soit auparavant portée à la connaissance du
Comité technique de la commune.
La Métropole désigne une personne physique pour assurer la mission de DPO qui
s'engage expressément à assurer sa mission avec impartialité, compétence et
diligence.
Article 5 - Engagements réciproques des parties
o Engagements de la Métropole
La Métropole s'engage à désigner pour chaque commune adhérente au service une
personne identifiée comme le pilote de la mission d'accompagnement.
La Métropole garantit que le DPO est joignable. Elle communique à la commune
adhérente un numéro de téléphone et une adresse de courrier électronique
spécifique.
La Métropole s'engage à mettre à disposition de la collectivité un DPO désigné sur la
base de ses qualités professionnelles et en particulier, de ses connaissances
spécialisés du droit et des pratiques en matière de protection des données et de sa
capacité à accomplir les missions visées à l’article 39 du RGPD.
Le DPO est soumis au secret professionnel et a une obligation de confidentialité en
ce qui concerne l'exercice de ses missions.
° Engagements de la commune
La commune adhérente s'engage à publier les coordonnées du DPO et à
communiquer celles-ci à l'autorité de contrôle compétente.
[®) Elle s'engage à lui faciliter l'accès aux données et aux opérati
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 Elle veille à ce que le DPO exerce ses missions en toute indépendance et ne reçoive
aucune instruction en ce qui concerne l'exercice de ses missions.
Elle s'engage à participer aux temps collectifs prévus pour l'animation de la mission
sur le territoire.
e Rôles des parties
Les rôles auxquels chacune des parties est engagée sont rappelés ci-après :
La Métropole La commune
Crée et tient à jour le registre des actil Nomme un ou plusieurs relais en interne
traitement
Avertit la Métropole de tout nouveau traiter
Sensibilise les agents de la commune données à caractère personnel
Conseille la commune Se forme et se sensibilise
Article 6 —- Responsabilité du DPO
Le délégué à la protection des données n’est pas responsable en cas de non-respect
du RGPD.
Ce dernier établit clairement que le responsable du traitement (la commune) ou le
sous-traitant (titulaire de marché public ou délégataire de service public de la
commune) sont tenus de s'assurer et d'être en mesure de démontrer que le
traitement est effectué conformément à ses dispositions (article 24.1 du RGPD).
La responsabilité du respect de la protection des données incombe donc au
responsable du traitement ou au sous-traitant.
Il est impossible de transférer au DPO, par délégation de pouvoir, la responsabilité
incombant au responsable de traitement ou les obligations propres du sous-traitant.
Article 7 — Fin de mission du DPO
Au terme de la convention, la commune adhérente devra obligatoirement notifier à la
CNIL la fin de mission de DPO de la Métropole.
Article 8 — Dispositions financières
Compte tenu de la strate démographique de la commune, le tarif forfaitaire annuel
est TXÉ À vis on caecoes € pour l'année d'adhésion, puis....................... € les
années suivantes.
La mission d'accompagnement est facturée annuellement au mois de décembre le
premier versement ayant lieu au mois de décembre suivant Accusé de réception en préfecture 013-200054807-20201210-2020_CT2_335-DE Date de télétransmission : 21/12/2020 Date de réception préfecture : 21/12/2020 des mois d'utilisation de la mission dans l’année.
En cas de résiliation anticipée de la part de la commune, compte tenu du caractère
forfaitaire de la tarification, l’année entamée sera entièrement due.
Les tarifs et modalités de paiement de la mission de DPO mutualisé ont été fixés par
délibération du conseil de la Métropole et sont consultables sur
www.ampmetropole.fr dans la rubrique « Conseil de la Métropole / Les séances ». Ils
s'appliquent au 1er janvier de l’année concernée.
Les tarifs de l’année en cours sont consultables dans les conditions particulières de
la prestation.
Toute modalité spécifique éventuelle de facturation, en cas de missions
complémentaires, y sera également mentionnée.
Article 9 — Date d’effet —- Durée
La mission pourra débuter, après signature de la présente convention, à la date
convenue entre la commune et la Métropole.
La présente convention prend effet à la date de sa signature pour une durée de trois
ans.
Fait en deux exemplaires originaux
À scans des HS cad enaaine Le .....................
Le Maire de La Présidente de la
Métropole Aix-Marseille-
Provence,
Martine VASSAL
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020 2020 CT2 335
OBJET : Ressources -— Technologies d'information et de communication — AVIS — Organisation de la
mutualisation de la fonction de délégué à la protection des données de la Métropole Aix-Marseille-
Provence avec les communes membres
Après en avoir pris connaissance du rapport, le Conseil de Territoire prend acte et le transforme en
délibération.
Ont signé le Président et lesmémbres du Conseil de Territoire présents
Maryse JOISSAINS MASINI
Signé, le {5 DEC. 2020
Accusé de réception en préfecture
013-200054807-20201210-2020_CT2_335-DE
Date de télétransmission : 21/12/2020
Date de réception préfecture : 21/12/2020