unknown - Communauté de communes - Yonne Nord - 2025.17a Annexe ConventionRGPD89

Documents similaires

unknown - Communauté de communes - Yonne Nord - 2023.109a An

unknown - Communauté de communes - Yonne Nord - 2025.97a Ann

unknown - Communauté de communes - Yonne Nord - 2025.17 Adhe

unknown - Communauté de communes - Yonne Nord - 2022.94a Ann

unknown - Communauté de communes - Yonne Nord - 2026.09a Ann

unknown - Communauté de communes - Yonne Nord - 2026.07b Ann

unknown - Communauté de communes - Yonne Nord - 2025.32a ann

unknown - Communauté de communes - Yonne Nord - 2023.50a Ann

unknown - Communauté de communes - Yonne Nord - 2024.83a Ann

unknown - Communauté de communes - Yonne Nord - 2023.50b Ann

unknown - Communauté de communes - Yonne Nord - 2025.17a Annexe ConventionRGPD89 Document publié le Mercredi 1 janvier 2025 Lien du pdf (unknown - Communauté de communes - Yonne Nord - 2025.17a Annexe ConventionRGPD89)Thèmes du document : Données personnelles, Assurance, Justice et droit, CONVENTION DE MISSION D’ACCOMPAGNEMENT

des collectivités hors département de Meurthe & Moselle

pour la mise en conformité des traitements

de données à caractère personnel

au règlement général sur la protection des données (RGPD)

PREAMBULE

Les centres de gestion sont des établissements publics locaux à caractère administratif qui regroupent les collectivités et établissements qui leur sont affiliés à titre obligatoire ou volontaire. Sont obligatoirement affiliés, les communes et leurs établissements publics qui emploient un nombre de fonctionnaires titulaires et stagiaires à temps complet inférieur au seuil défini à l’article L452-14 du Code général de la fonction publique, ou qui n’emploient que des fonctionnaires à temps non complet.

Les centres de gestion assurent dans leur ressort pour l’ensemble des fonctionnaires des collectivités territoriales et établissements publics affiliés, les missions obligatoires définies à l’article L452-38 du Code général de la fonction publique.

Les dépenses supportées par les Centres de Gestion pour l’exercice des missions obligatoires sont financées par une cotisation obligatoire versée par les collectivités et établissements affiliés assise sur la masse des rémunérations versées aux agents relevant de ces collectivités. Le taux de cette cotisation est fixé annuellement par délibération du Conseil d'Administration du Centre de Gestion dans la limite du taux maximum de 0,8 %.

Au-delà de ces missions institutionnelles et obligatoires, dans le cadre d’une coopération plus large avec les collectivités, le centre de gestion, à leur demande, assure des missions supplémentaires à caractère facultatif.

L’ensemble de ces prestations est assuré sous l’appellation Centre de gestion de la fonction publique territoriale de Meurthe-et-Moselle - Missions facultatives.

Le règlement européen 2016/679 dit « RGPD » est entré en application le 25 mai 2018. Il encadre le traitement des données personnelles sur le territoire de l’Union européenne et s’inscrit dans la continuité de la Loi Informatique et Liberté de 1978 en renforçant le contrôle par les citoyens de l’utilisation de leurs données. Il harmonise les règles en Europe en offrant un cadre unique aux professionnels et en permettant de développer leurs activités numériques en se basant sur la confiance des utilisateurs.

Le RGPD n’est ni un document de prescriptions, ni un document d’interdictions. C’est un règlement d’encadrement qui fixe des obligations et des principes, mais les solutions permettant son respect incombent au responsable de traitement.

Le centre de gestion de la fonction publique territoriale de Meurthe-et-Moselle propose en conséquence d’exercer une mission d’accompagnement à la conformité au RGPD, ci-après dénommée « mission RGPD mutualisée des CDG ». Le centre de gestion de la fonction publique territoriale de l’Yonne s’inscrit dans cette démarche par sa délibération en date du 20/06/2024 susvisée.

Les termes de la présente convention sont régis par :

• le code général de la fonction publique ;

• le décret n° 85-643 du 26 juin 1985 relatif aux centres de gestion institués par la loi n°84-53 du 26 janvier 1984 modifiée ;

• la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés;

• le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, entrant en application le 25 mai 2018 (dit Règlement Général sur la Protection des données, soit « RGPD ») ;

• le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978relative à l'informatique, aux fichiers et aux libertés ;

• la délibération du conseil d'administration du centre de gestion de Meurthe-et Moselle n°17/65 du 29 novembre 2017: Organisation de la mutualisation de la mission relative au Délégué à la Protection des Données ;

• la délibération du conseil d'administration du centre de gestion de Meurthe-et-Moselle n°18/17 du 29 janvier 2018 – Mise en place effective de la mission DPD ; • la délibération du conseil d'administration du centre de gestion de Meurthe-et-Moselle n°18/30 du 22 mars 2018 – Poursuite de la mise en place de la mission RGPD – DPD ; • la délibération du conseil d’administration du centre de gestion de Meurthe-et-Moselle n°24/15 du 08/07/2024 – Nouvelle convention RGPD 2025-2026

Ceci exposé, il est convenu et arrêté ce qui suit :

Entre les soussignés :

Le centre de gestion de la fonction publique territoriale de Meurthe-et-Moselle, représenté par son Président en exercice, Monsieur Daniel MATERGIA, agissant en cette qualité et en vertu de la délibération n° 21/40 et des délibérations citées dans le préambule, ci-après désigné « Le centre de gestion »

d'une part,

ET

La collectivité, [type et dénomination omplète de la collectivité/établissement public], représentée par, [nom, prénom, maire/président], située [adresse postale], ayant pour n° de SIRET : XXXX ci- après désignée « La collectivité » d’autre part,

ET

Le centre de gestion de l’Yonne, représenté par Monsieur Jean-Pierre GÉRARDIN, président situé au 47, rue Théodore de Bèze à Auxerre.

Etant ensemble désignés « Les Parties » et individuellement « La Partie ».

ARTICLE 1 : OBJET

La présente convention a pour objet de définir la mission mutualisée d’accompagnement de la collectivité cosignataire, exercée par la « mission RGPD mutualisée des CDG » sous l’égide du centre de gestion de la fonction publique territoriale de l’Yonne dans la mise en conformité au RGPD de ses traitements de données à caractère personnel.

ARTICLE 2 : DEFINITIONS DES ACTEURS

Les présentes définitions s'entendent au sens des articles 4, pris en son 7°, ainsi que 37 à 39 de la règlementation européenne (Règlement européen 2016/679, susvisé).

Deux acteurs de la protection des données sont à définir clairement :

2.1 Le Responsable de traitement

Le RGPD définit le responsable d'un traitement de données à caractère personnel comme « la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ». En pratique, le responsable de traitement est incarné par le représentant légal de la collectivité, sauf désignation expresse contraire par des dispositions législatives ou réglementaires relatives à ce traitement.Le responsable de traitement est : [type et dénomination complète de la collectivité/établissement public]. Il est représenté légalement par : [nom - prénom - maire/président].

L’adresse électronique de contact est : [email à renseigner lisiblement]. La collectivité pourra à tout moment modifier l’adresse électronique de contact dans son ESPACE RGPD.

2.2 Le Délégué à la Protection des Données (dénommé ci-après le « DPD »)

Sa désignation est obligatoire pour toute collectivité ou organisme public.

Par la présente, la collectivité désigne auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL), le centre de gestion comme étant son Délégué à la protection des données personnelles en qualité de « personne morale ».

Le Délégué à la Protection des Données s’assure que ses agents intervenant au titre de la « mission RGPD mutualisée des CDG » disposent des qualités professionnelles et, en particulier, des connaissances spécialisées du droit et des pratiques en matière de protection des données, et de leur capacité à accomplir les missions visées à l'article 39 du RGPD.

ARTICLE 3 : DESIGNATION DU DELEGUE A LA PROTECTION DES DONNEES

La collectivité effectue les démarches de désignation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) du DPD défini à l’article 2 de la présente, au moyen du télé- service de déclaration de la CNIL (https://www.cnil.fr/fr/designation-dpo) sauf modalité contraire indiquée par la CNIL.

La « mission RGPD mutualisée des CDG » met à la disposition de la collectivité les ressources documentaires permettant à la collectivité d’y procéder.

La désignation du DPD prend effet un mois après la date de réception de la notification à la CNIL.

ARTICLE 4 : MODIFICATION DES ACTEURS

En cas de modifications dans la désignation des acteurs définis à l’article 2 de la présente (par exemple : changement d’identité du responsable légal, de coordonnées,), les Parties s'engagent à s'informer mutuellement de tout changement sous un délai de 30 jours maximum. La collectivité s’engage à notifier à la CNIL toute modification concernant les acteurs désignés.

ARTICLE 5 : FIN DE MISSION DU DPD

Au terme de la présente convention ou en cas de dénonciation de celle-ci, visée à l’article 13 ci-après, la collectivité notifie à la CNIL la fin de la mission du centre de gestion comme DPD « personne morale » de la collectivité.

En outre, le centre de gestion pourra informer la CNIL de la fin de sa mission comme DPD « personne morale » de la collectivité.

ARTICLE 6 : DOCUMENTS PRODUITS

Les documents produits dans le cadre de l’exécution de la mission comportent les logos respectifs des centres de gestion et CDG89 ainsi que celui de tous les CDG adhérents à la mission mutualisée.ARTICLE 7 : ACCOMPAGNEMENT DE LA COLLECTIVITE PAR LE CDG 89

Le CDG 89 peut proposer un accompagnement à la collectivité dans la mise en œuvre de la conformité de ses traitements de données à caractère personnel, sans préjudice des missions du DPD fixées dans la présente convention.

ARTICLE 8 : NATURE DES PRESTATIONS

La convention RGPD emporte deux natures complémentaires de services : 1. Un socle de base étendu de prestations de conformité au RGPD, auquel l’adhésion de la collectivité à la convention donne droit à un accès sécurisé à l’Espace RGPD contenant des fonctionnalités permettant de :

✓ Faciliter le pilotage et le suivi des actions de mise en conformité ; ✓ Créer/mettre à jour/imprimer le registre des traitements ;

✓ Accéder à un livrable de préconisations ;

✓ Centraliser les informations liées à vos violations de données, demandes d’exercice de droits, Analyse d’Impact relative à la Protection des Données (AIPD) ; ✓ Mettre à disposition divers outils utiles (logigramme de bases juridiques, rapport d’accountability) ;

✓ Disposer d’une base documentaire à jour et adaptée aux exigences ; ✓ Solliciter le DPD via le bouton « contacter votre DPD » sur l’Espace RGPD pour toutes demandes relatives à la mise en œuvre du RGPD.

2. Ainsi que, de manière facultative et à tout moment, à la demande de la collectivité, plusieurs types de prestations à l’acte, facturées spécifiquement sur la base d’un devis préalablement accepté :

✓ La réalisation d’un diagnostic de mise de conformité au RGPD au sein de la collectivité : ce diagnostic vise à produire, à la place de la collectivité, le registre de ses activités de traitements et à lui livrer un rapport constitué de préconisations d’amélioration de sa conformité au RGPD et d’un plan d’actions hiérarchisées sur 3 ans.

✓ La réalisation de la prestation « Se préparer à un contrôle CNIL » : former et préparer vos services à un contrôle de la CNIL par une description des contrôles, l’établissement d’une procédure personnalisée à suivre, par la réalisation d’ateliers participatifs sur des cas concrets, l’élaboration d’un plan d’actions et des préconisations ainsi qu’une simulation d’audit à postériori.

✓ La réalisation de la prestation « Accompagnement des référents RGPD » au sein de la collectivité : cet accompagnement vise à planifier un ou plusieurs entretien(s) à distance (nombre à définir avec la collectivité) avec un ou plusieurs agents défini(s) comme référent RGPD et à livrer à la collectivité un compte-rendu contenant un état des lieux de vos avancées, des solutions aux difficultés rencontrées ainsi que des conseils pour parfaire votre plan d’action.

✓ La réalisation de l’accompagnement « Cybersécurité » par le biais de trois prestations réalisées individuellement ou de façon complémentaire au sein de la collectivité : des ateliers de sensibilisation, une campagne de faux mails frauduleux et/ ou une analyse de vulnérabilités de votre site internet.

✓ L'exécution de prestations « sur mesure », définies avec la collectivité et dont l'objet serait de répondre de manière spécifique à des besoins particuliers qui ne seraient pas couverts par les autres services prévus dans la convention ou ferait l’objet d’une adaptation des autres services.

Dans le cadre de ces prestations à l’acte, il convient de fournir un organigramme, ou un tableau des effectifs, à jour avec les noms, prénoms et intitulés du poste des agents et des responsables.L’ensemble des flyers, décrivant le contenu de chaque prestation définie ci-dessus, est disponible sur la base documentaire de votre Espace RGPD ainsi que sur le site internet du CDG54.

ARTICLE 9 : TARIFICATIONS ET MODALITES DE REGLEMENT

Chacun des services de la présente convention fait l’objet d’une tarification et de modalités de règlements qui lui sont spécifiques.

9.1 – Tarification de règlements applicables au socle de base de la présente convention

Pour ce service, la participation de la collectivité est exprimée par un taux de cotisation fixé annuellement par délibération du conseil d'administration du CDG 54. Ce taux, est de 0,057% de la masse salariale pour la durée des conventions passées. L’assiette retenue correspond, à la masse au 31 décembre N-1 des rémunérations versées à leurs agents telles qu'elles apparaissent aux états liquidatifs mensuels ou trimestriels dressés pour le règlement des charges sociales dues aux organismes de sécurité sociale, au titre de l'assurance maladie.

Un montant minimal forfaitaire de 30€ annuel est applicable afin de compenser les frais liés à la mise en commun des ressources pour l’année considérée.

Toute modification du taux de cotisation annuel interviendra dans les conditions définies à l’article 10 de la présente convention.

En cas de première adhésion, la cotisation est due à partir du premier jour du mois suivant la date de signature de la présente convention.

9.2. Modalités de paiement de la cotisation applicable au socle de base de la présentation convention

Le CDG54 émet, chaque début d’année, une facture basée sur la base assiette N-1 de la collectivité.

La collectivité s’engage à déclarer, avant le 31 janvier de l’année en cours (N), sur son Espace RGPD rubrique « Ma convention/ Mes informations » sa base assiette de l’année N-1.

La collectivité s’engage à vérifier l’ensemble des informations la concernant sur son Espace RGPD rubrique « Ma convention/ Mes informations » tel que le numéro de SIRET, la mise en place éventuelle de codes CHORUS, etc…et à les corriger si nécessaire.

9.3. Tarification et modalités de règlement des prestations à l’acte de la présentation convention

Les services proposés en « prestation à l’acte » de la présente convention font l’objet d’un devis au tarif horaire fixé par l’assemblée délibérante du CDG 54. Le CDG54 adresse le devis pour commande à la collectivité. Il transmet à la collectivité une facture à l’issue de la réalisation de la prestation, sur la base du devis accepté par la collectivité.

ARTICLE 10 : OBLIGATIONS, RESPONSABILITES ET ENGAGEMENTS DES PARTIES

10.1 – Obligations de la « mission RGPD mutualisée des CDG »

Les données contenues dans les supports et documents du CDG54, au titre de la « mission RGPD mutualisée des CDG », et de la collectivité sont strictement couvertes par le secret professionnel (article 226-13 du code pénal).

Il en va de même pour toutes les données dont la « mission RGPD mutualisée des CDG » prendra connaissance à l'occasion de l'exécution de la mission définie par la présente.La collectivité reste propriétaire de ses données et pourra à tout moment récupérer l’intégralité des données qui auront été éventuellement transmises à la « mission RGPD mutualisée des CDG ».

Conformément à l'article 121 de la loi n°78-17 du 6 janvier 1978 modifiée relative à informatique, aux fichiers et aux libertés, la « mission RGPD mutualisée des CDG » s'engage à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des personnes non autorisées.

De fait, elle s'engage à respecter les obligations suivantes :

• Ne prendre à titre personnel aucune copie des documents et supports d'informations qui lui sont confiés ;

• Ne pas utiliser les documents et informations traités à des fins autres que celles spécifiées à la présente convention ;

• Ne pas divulguer ces documents ou informations à d'autres personnes, qu'il s'agisse de personnes privées ou publiques, physiques ou morales ;

• Prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse des fichiers informatiques étudiés ;

• Prendre toutes mesures de sécurité, notamment matérielle, pour assurer la conservation et l'intégrité des documents et informations traités pendant la durée de la présente convention ;

La collectivité se réserve le droit de procéder à toutes vérifications qui lui paraîtraient utiles pour constater le respect des obligations précitées.

10.2 – Responsabilités de la collectivité

1. La collectivité effectue la désignation auprès de la CNIL du centre de gestion comme DPD « personne morale ».

2. La collectivité notifie à la CNIL tout changement relatif à la désignation du DPD et au responsable de traitement.

3. La collectivité notifie à la CNIL la fin de la mission du centre de gestion comme DPD « personne morale ».

4. L’article 24.1 du RGPD établit clairement que le responsable du traitement est tenu de s’assurer et d’être en mesure de démontrer que le traitement est effectué conformément à ses dispositions.

Par conséquent, la collectivité reconnaît par la présente que le CDG 54 , en tant que personne morale agissant au titre de DPD de la collectivité, n’est pas responsable en cas de violation des dispositions du RGPD et que la désignation d’un DPD n’a pas pour effet de transférer à celui-ci cette responsabilité.

10.3 – Engagements de la collectivité

La collectivité s’engage à :

• En vertu de l’article 38.1 du RGPD, associer d’une manière appropriée et en temps utile le CDG 54, en qualité de DPD personne morale de la collectivité, à toutes les questions relatives à la protection des données à caractère personnel en son sein.

• Tenir compte des analyses et conseils en matière de protection des données personnelles adressés par la « mission RGPD mutualisée des CDG » et, dans le cas où ses recommandations ne seraient pas retenues, à en documenter les raisons ;

• Prendre connaissance dans les plus brefs délais de la documentation CNIL/RGPD,diffusée par la « mission mutualisée RGPD des CDG »;

• Fournir aux intervenants de la « mission RGPD mutualisée des CDG » l'accès aux données et aux opérations de traitement ;

• Faciliter l'accès aux intervenants de la « mission RGPD mutualisée des CDG » aux données et informations manquantes détenues par d'éventuels sous-traitants.

ARTICLE 11 : DUREE

La présente convention prend effet à compter de sa signature et prendra fin le 31 décembre 2026.

ARTICLE 12 : MODIFICATION DE LA CONVENTION

La présente convention pourra être modifiée de manière unilatérale par le CDG 54 et sans indemnité, dans les cas suivants :

• modification des dispositions législatives et réglementaires régissant l’objet de la convention, ou le fonctionnement et les missions des centres de gestion et leurs relations avec les collectivités territoriales ;

• modification des conditions particulières d’utilisation de la mission, objet de la convention.

Dans ces situations, le CDG 54 informera la collectivité de l’usage de cette clause préalablement à sa mise en œuvre et dans des délais permettant la résiliation de la convention. • à des fins d’équilibre financier.

La tarification visée à l’article 9.1 peut être révisée annuellement par le Conseil d'Administration du CDG 54. Le CDG 54 notifie à la collectivité toute modification de cette tarification au plus tard le 31 juillet N avec application au 1er janvier N+1.

Toute modification dans les conditions de mise en œuvre de la présente convention se fera par avenant.

ARTICLE 13 : DENONCIATION DE LA CONVENTION

➢ Par le CDG 54

La présente convention peut être résiliée par le CDG 54 dans les situations suivantes : 1. Inexécution par la collectivité de ses obligations prévues, notamment par le non-paiement des prestations

2. Suppression de la mission par le conseil d'administration du centre de gestion.

Dans ces situations, le CDG 54 devra, par lettre recommandée avec accusé de réception aviser la collectivité de l’usage de cette clause.

Dans les cas visés au 1°, la résiliation ne sera effective qu’après mise en demeure restée sans effet pendant un mois.

Dans les cas visés au 2°, le CDG 54 s’engage à aviser la collectivité par lettre recommandée avec accusé de réception dans les meilleurs délais.

Le paiement de l’ensemble des interventions ou actes effectués sera dû jusqu’à la date de résiliation. Dans l’hypothèse d’une suppression de la mission découlant d’une modification législative et réglementaire, la résiliation sera effective à la date d’application des nouvelles dispositions et une fois la collectivité informée.

La résiliation ne donnera lieu à aucune indemnisation du CDG 54 au profit de l’autre partie.➢ Par la collectivité

La demande de résiliation doit être formalisée par une demande express transmise par lettre recommandé au CDG 54, au plus tard le 30 novembre de l’année N pour une date d’effet de la résiliation au 1er janvier de l’année N+1.

Le paiement de l’ensemble des interventions ou actes effectués sera dû jusqu’à la date de résiliation.

➢ Par votre CDG

Dans le cas où votre CDG prend la décision de ne plus faire partie de la mission RGPD mutualisée, votre collectivité sera, de ce fait, résilié. Le CDG54 s’engage à vous en avertir au maximum un mois après la décision explicite de votre CDG et à vous donner accès à la récupération de vos données concernant votre état d’avancement pendant un mois.

ARTICLE 14 : CONCILIATION

Les parties s’engagent mutuellement à se rencontrer dans le cadre d’une procédure de conciliation préalable en cas de difficultés dans l’exécution de la présente convention. Pour ce faire, elles élisent domicile au Centre de Gestion de la Fonction Publique Territoriale de Meurthe-et-Moselle, 2 allée Pelletier Doisy à VILLERS-LES-NANCY.

ARTICLE 15 : LITIGES

Tout litige n’ayant pas donné lieu à conciliation relatif à la présente convention relève de la compétence du Tribunal Administratif de NANCY, qui peut être saisi dans le respect des délais de recours en vigueur à l’adresse suivante : 5 place de la Carrière, 54000 NANCY ou par le biais de l’application informatique accessible par le lien suivant : http://www.telerecours.fr.

Fait à ……..,

le ……..,

Fait à Villers-lès-Nancy,

Le 08/07/2024,

Fait à Auxerre,

Le 09/09/2024

(cachet et signature)

PRENOM NOM

[Maire/Président]

[Dénomination collectivité]

(cachet et signature)

#signature#

Daniel MATERGIA

Président du centre de gestion

de Meurthe et Moselle

(cachet et signature)

Jean-Pierre GÉRARDIN

Président du centre de gestion

de l’Yonne

Accusé de réception en préfecture

054-285400032-20240708-2415-CC

Date de télétransmission : 15/07/2024

Date de réception préfecture : 15/07/2024