Offres
API
Connexion
Documents similaires
unknown - Métropole - Aix-Marseille-Provence - D0D9Q
unknown - Métropole - Aix-Marseille-Provence - D0EOB
unknown - Métropole - Aix-Marseille-Provence - D0FGS
unknown - Métropole - Aix-Marseille-Provence - A0FGS
unknown - Métropole - Aix-Marseille-Provence - D0D78
unknown - Métropole - Aix-Marseille-Provence - D003I
unknown - Métropole - Aix-Marseille-Provence - D0ALO
unknown - Métropole - Aix-Marseille-Provence - D02AZ
unknown - Métropole - Aix-Marseille-Provence - A0AIG
unknown - Métropole - Aix-Marseille-Provence - C0ETA
unknown - Métropole - Aix-Marseille-Provence - A0D9Q
Document publié le Mercredi 1 janvier 2020
Lien du pdf (unknown - Métropole - Aix-Marseille-Provence - A0D9Q)
Thèmes du document : Données personnelles, Consommateurs, Éthique publique,
Reçu au Contrôle de légalité le 29 décembre 2020
CONVENTION DE PRESTATION DE SERVICE ENTRE LA MÉTROPOLE AIX- MARSEILLE-PROVENCE ET LA COMMUNE DE XXXXX RELATIVE A MUTUALISATION DE LA FONCTION DE DELEGUE A LA PROTECTION DES DONNEES
La MÉTROPOLE AIX-MARSEILLE-PROVENCE ,
Dont le siège est sis : Le Pharo, 58, boulevard Charles-Livon, 13007 Marseille,
Représentée par sa Présidente en exercice, dûment habilité à signer la présente convention conformément à la délibération n°……………………… du Conseil de la Métropole.
Désignée ci-après « La Métropole »,
D’une part,
La Commune de xxxxxxxxxxxxxxxxxxx
Dont le siège est sis : xxxxxxxxxxxxxxxxx,
Représentée par son Maire en exercice, dûment habilité à signer la présente convention conformément à la délibération/décision n°xxxxxxxxxxxxxxxx, et domiciliée en cette qualité audit siège ;
Désignée ci-après « La Commune »
D’autre part,
Ensemble dénommées « Les Parties ».
Préambule
Aux termes des dispositions de l’article 37-4-a) règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données, ci-après « le RGPD »), les autorités ou organismes publics, quelle que soit leur taille, doivent désigner un délégué à la protection des données (Data Protection Officer, ci-après « DPO »).
Conformément aux dispositions de l’article 37-6 du RGPD, le DPO peut être un membre du personnel de l’organisme responsable de traitement, ou exercer ses missions sur la base d’un contrat de service.
La fonction de DPO, qu’elle soit assurée en interne par un agent de la collectivité ou externalisée par un contrat de service, constitue dans tous les cas une charge financière.
Les missions socles et les conditions d’exercice de cette fonction étant identiques pour tous Reçu au Contrôle de légalité le 29 décembre 2020
les responsables de traitement, puisqu’elles sont fixées dans un règlement européen, une opportunité de mutualisation des moyens affectés entre plusieurs responsables de traitement existe.
Cette mutualisation est d’ailleurs expressément prévue entre organismes publics par l’article 37-4 du RGPD, compte tenu de leur structure organisationnelle et de leur taille.
La Métropole, établissement public de coopération intercommunale, est un échelon naturel de mutualisation pour ses communes membres, pour des compétences facultatives sur volontariat et après conventionnement.
En conséquence, il convient de conclure une convention de prestation de service entre la Commune et la Métropole relative à la mutualisation de la fonction de délégué à la protection des données sur le fondement des dispositions conjointes du I de l’article L. 5217-7 et de l’article L. 5215-27 du Code général des collectivités territoriales.
Article 1 - Objet de la convention
La présente convention définit les modalités de la mission de mutualisation de la fonction de délégué à la protection des données (DPO – Data Protection Officer) proposée par la Métropole.
Les conditions d’exercice des fonctions de DPO sont précisées à l’article 38 du RGPD :
1. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données soit associé, d'une manière appropriée et en temps utile, à toutes les questions relatives à la protection des données à caractère personnel. 2. Le responsable du traitement et le sous-traitant aident le délégué à la protection des données à exercer les missions visées à l'article 39 en fournissant les ressources nécessaires pour exercer ces missions, ainsi que l'accès aux données à caractère personnel et aux opérations de traitement, et lui permettant d'entretenir ses connaissances spécialisées.
3. Le responsable du traitement et le sous-traitant veillent à ce que le délégué à la protection des données ne reçoive aucune instruction en ce qui concerne l'exercice des missions. Le délégué à la protection des données ne peut être relevé de ses fonctions ou pénalisé par le responsable du traitement ou le sous-traitant pour l'exercice de ses missions. Le délégué à la protection des données fait directement rapport au niveau le plus élevé de la direction du responsable du traitement ou du sous-traitant.
4. Les personnes concernées peuvent prendre contact avec le délégué à la protection des données au sujet de toutes les questions relatives au traitement de leurs données à caractère personnel et à l'exercice des droits que leur confère le présent règlement.
5. Le délégué à la protection des données est soumis au secret professionnel ou à une obligation de confidentialité en ce qui concerne l'exercice de ses missions, conformément au droit de l'Union ou au droit des États membres.
6. Le délégué à la protection des données peut exécuter d'autres missions et tâches. Le responsable du traitement ou le sous-traitant veillent à ce que ces missions et tâches n'entraînent pas de conflit d'intérêts.
Les missions du DPO sont quant à elles précisées à l’article 39 du RGPD :
1. Les missions du délégué à la protection des données sont au moins les suivantes : a) informer et conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui procèdent au traitement sur les obligations qui leur incombent en vertu du présent règlement et d'autres dispositions du droit de l'Union ou du droit des États membres Reçu au Contrôle de légalité le 29 décembre 2020
en matière de protection des données ;
b) contrôler le respect du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États membres en matière de protection des données et des règles internes du responsable du traitement ou du sous-traitant en matière de protection des données à caractère personnel, y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la formation du personnel participant aux opérations de traitement, et les audits s'y rapportant ;
c) dispenser des conseils, sur demande, en ce qui concerne l'analyse d'impact relative à la protection des données et vérifier l'exécution de celle-ci en vertu de l'article 35 ; d) coopérer avec l'autorité de contrôle ;
e) faire office de point de contact pour l'autorité de contrôle sur les questions relatives au traitement, y compris la consultation préalable visée à l'article 36, et mener des consultations, le cas échéant, sur tout autre sujet.
2. Le délégué à la protection des données tient dûment compte, dans
l'accomplissement de ses missions, du risque associé aux opérations de traitement compte tenu de la nature, de la portée, du contexte et des finalités du traitement.
Article 2 – Contenu des prestations
La mutualisation de la fonction de DPO entraîne la mise en place d’outil informatisé de la Métropole.
Cet outil est accessible sur Internet en mode SaaS, sans besoin d’interconnexion avec le système d’information de la Métropole.
L’outil comprend les modules suivants :
- outil de pilotage et de suivi de la démarche de mise en conformité,
- registres :
- des activités de traitement,
- des violations de données personnelles,
- de gestion des demandes des personnes concernées,
- des sous-traitants,
- gestion des pièces justificatives,
- réalisation des études d’impact sur la vie privée,
- formation à distance,
- veille réglementaire.
Les missions comprennent objet de la présente convention comprennent :
- Les missions réglementaires socles du DPO, prévues par l’article 39 du RGPD : - information et conseil du responsable de traitement sur les obligations en matière de protection des données ;
- contrôle du respect des dispositions du RGPD en matière de répartition des responsabilités sur les données personnelles avec les sous-traitants, de sensibilisation et d’information du personnel,
- conseil en matière d’analyse d’impact sur la protection des données, - coopération avec l’autorité de contrôle (CNIL),
- point de contact avec l’autorité de contrôle (CNIL) y compris pour les consultations préalables.
- L’accompagnement dans la démarche de mise en conformité comprenant les étapes suivantes :
- en début de projet, une réunion de lancement mutualisée avec un maximum de 5 à 6 communes par réunion, sous réserve de proximités géographiques cohérentes, Reçu au Contrôle de légalité le 29 décembre 2020
- l’accompagnement de la commune dans la cartographie de ses traitements, - la constitution du registre des traitements de la commune (sous l’application métropolitaine),
- la constitution d’un plan d’actions de mise en conformité de la commune (sous l’application métropolitaine).
- en fin de projet, une restitution de cette première phase sur site pour la commune.
Article 3 – Prérequis
Le DPO de la Métropole doit bénéficier du soutien de la commune qui le désigne.
La commune devra en particulier :
• s’assurer de son implication dans toutes les questions relatives à la protection des données (par exemple : communication interne et externe sur sa désignation, association en amont des projets impliquant des données personnelles), • lui fournir les ressources nécessaires à la réalisation de ses tâches. A ce titre, la commune désigne obligatoirement en interne un ou plusieurs relais sur lesquels le DPO de la Métropole pourra s’appuyer, et fournira au DPO les accès nécessaires pour qu’il exerce ses missions et puisse accéder aux données à caractère personnel et aux opérations de traitement,
• lui permettre d’agir de manière indépendante : le DPO doit disposer d’une autonomie d’action reconnue par tous au sein de la commune qui le désigne. Il exerce sa mission directement et uniquement auprès du responsable de traitement (Maire) ou toute autre personne que celui-ci aura habilitée. Cette personne sera nominativement désignée dans les conditions particulières.
• lui faciliter l’accès aux données et aux opérations de traitement, en veillant à l’associer d’une manière appropriée et en temps utiles à toutes les questions relatives à la protection des données à caractère personnel,
• veiller à l’absence de conflit d’intérêts.
Par ailleurs, l’application métropolitaine étant accessible en mode SaaS, la commune doit s’assurer qu’elle dispose d’un accès à Internet de qualité suffisante pour répondre à ses besoins.
Article 4 – Désignation du délégué à la protection des données
La collectivité désigne la Métropole Aix-Marseille-Provence comme délégué à la protection des données auprès de la CNIL.
Il est préconisé que cette désignation soit auparavant portée à la connaissance du Comité technique de la commune.
La Métropole désigne une personne physique pour assurer la mission de DPO qui s’engage expressément à assurer sa mission avec impartialité, compétence et diligence.
Article 5 – Engagements réciproques des parties
• Engagements de la Métropole
La Métropole s’engage à désigner pour chaque commune adhérente au service une personne identifiée comme le pilote de la mission d’accompagnement.
La Métropole garantit que le DPO est joignable. Elle communique à la commune adhérente un numéro de téléphone et une adresse de courrier électronique spécifique.
La Métropole s’engage à mettre à disposition de la collectivité un DPO désigné sur la base de ses qualités professionnelles et en particulier, de ses connaissances spécialisés du droit Reçu au Contrôle de légalité le 29 décembre 2020
et des pratiques en matière de protection des données et de sa capacité à accomplir les missions visées à l’article 39 du RGPD.
Le DPO est soumis au secret professionnel et a une obligation de confidentialité en ce qui concerne l’exercice de ses missions.
• Engagements de la commune
La commune adhérente s’engage à publier les coordonnées du DPO et à communiquer celles-ci à l’autorité de contrôle compétente.
Elle s’engage à lui faciliter l’accès aux données et aux opérations de traitement.
Elle veille à ce que le DPO exerce ses missions en toute indépendance et ne reçoive aucune instruction en ce qui concerne l’exercice de ses missions.
Elle s’engage à participer aux temps collectifs prévus pour l’animation de la mission sur le territoire.
• Rôles des parties
Les rôles auxquels chacune des parties est engagée sont rappelés ci-après :
La Métropole La commune
Crée et tient à jour le registre des acti
traitement
Sensibilise les agents de la commune
Conseille la commune
Nomme un ou plusieurs relais en interne
Avertit la Métropole de tout nouveau traitem
données à caractère personnel
Se forme et se sensibilise
Article 6 – Responsabilité du DPO
Le délégué à la protection des données n’est pas responsable en cas de non-respect du RGPD.
Ce dernier établit clairement que le responsable du traitement (la commune) ou le sous- traitant (titulaire de marché public ou délégataire de service public de la commune) sont tenus de s’assurer et d'être en mesure de démontrer que le traitement est effectué conformément à ses dispositions (article 24.1 du RGPD).
La responsabilité du respect de la protection des données incombe donc au responsable du traitement ou au sous-traitant.
Il est impossible de transférer au DPO, par délégation de pouvoir, la responsabilité incombant au responsable de traitement ou les obligations propres du sous-traitant.
Article 7 – Fin de mission du DPO Reçu au Contrôle de légalité le 29 décembre 2020
Au terme de la convention, la commune adhérente devra obligatoirement notifier à la CNIL la fin de mission de DPO de la Métropole.
Article 8 – Dispositions financières
La mutualisation de la fonction de DPO avec les communes membres entraîne pour la Métropole des coûts de fonctionnement du service intégrant, outre des dépenses de personnel, des dépenses techniques spécifiques.
Compte tenu de la strate démographique de la commune, le cout forfaitaire annuel est fixé à ………………..€ pour la première année, puis…………………..€ les années suivantes.
La mission d’accompagnement est facturée annuellement en janvier de l’année n+1, pour les sommes dues au titre de l’exercice n (proratisées).
En cas de résiliation anticipée de la part de la commune, les frais afférents à la convention seront entièrement dus par la commune.
Les couts liés à la mission de DPO mutualisé ont été fixés par délibération du conseil de la Métropole et sont consultables sur www.ampmetropole.fr dans la rubrique « Conseil de la Métropole / Les séances ». Ils s’appliquent au 1er janvier de l’année concernée. Toute modalité spécifique éventuelle de facturation, en cas de missions complémentaires, y sera également mentionnée.
Article 9 – Date d’effet – Durée
La mission pourra débuter, après signature de la présente convention, à la date convenue entre la commune et la Métropole.
La présente convention prend effet à la date de sa signature pour une durée de trois ans.
Fait en deux exemplaires originaux
À ……………………………… Le …………………
Le Maire de La Présidente de la Métropole
Aix-Marseille-Provence,
Martine VASSAL