Clauses relatives à la gestion des données à caractère personnel

CONFIDENTIALITE – PROTECTION DES DONNEES A CARACTERE PERSONNEL

I. Objet
Les présentes clauses ont pour objet de définir les conditions dans lesquelles le sous-traitant s’engage
à effectuer pour le compte de la Personne Publique, les opérations de traitement de données à
caractère personnel.

Dans le cadre de leurs relations contractuelles, les parties s’engagent à respecter la réglementation en
vigueur applicable au traitement de données à caractère personnel et en particulier, le règlement (UE)
2016/679 du Parlement européen et du Conseil du 27 avril 2016 applicable à compter du 25 mai 2018
« le Règlement Général sur la Protection des Données ».

Définitions

- Titulaire, La société à laquelle le marché a été attribué.

- Personne Publique, LILLE METROPOLE HABITAT

II. Description du traitement faisant l’objet de la sous-traitance

Le sous-traitant est autorisé à traiter pour le compte de la Personne Publique, responsable de
traitement, les données à caractère personnel mis à sa disposition et nécessaires à la mission confiée.

III. Obligations du sous-traitant vis-à-vis du responsable de traitement

Les données à caractère personnel ne pourront donc faire l’objet d’aucune opération, autres que celles
prévues au présent marché de la part d’un sous-traitant ou d’une personne agissant sous l’autorité du
titulaire.
Le sous-traitant s'engage à :

1. traiter les données à caractère personnel uniquement pour la ou les seule(s) finalité(s) désignée(s),

2. traiter les données à caractère personnel conformément aux instructions du responsable de

traitement.
Si le sous-traitant considère qu’une instruction constitue une violation du règlement européen sur la
protection des données ou de toute autre disposition du droit de l’Union ou du droit des Etats
membres relative à la protection des données, il en informe immédiatement le responsable de
traitement. Le sous-traitant s’engage à héberger et traiter les données à caractère personnel
exclusivement sur le territoire d’un pays membre de l’Union européenne. Il s’assure qu’aucune
information à caractère personnel n’est transférée hors de l’Union européenne par ses propres sous-
traitants ou partenaires.

3. garantir la confidentialité des données à caractère personnel traitées dans le cadre du présent
marché.

4. veiller à ce que les personnes autorisées à traiter les données à caractère personnel en vertu du
présent marché :
  s’engagent à respecter la confidentialité ou soient soumises à une obligation légale
appropriée de confidentialité
 reçoivent les informations nécessaires en matière de protection des données à
caractère personnel

5. Prendre en compte, s’agissant de ses outils, produits, applications ou services, les principes de
protection des données dès la conception (Privacy by design) et de protection des données par défaut
(Privacy by default) tels définis dans le Règlement Général sur la Protection des données à caractère
personnel.

6. Le sous-traitant peut faire appel à un autre sous-traitant (ci-après, « le sous-traitant ultérieur ») pour
mener des activités de traitement spécifiques. Dans ce cas, il informe préalablement et par écrit le
responsable de traitement de tout changement envisagé concernant l’ajout ou le remplacement
d’autres sous-traitants. Cette information doit indiquer clairement les activités de traitement sous-
traitées, l’identité et les coordonnées du sous-traitant et les dates du contrat de sous-traitance. Le
responsable de traitement dispose d’un délai d’un mois à compter de la date de réception de cette
information pour présenter ses objections. Cette sous-traitance ne peut être effectuée que si le
responsable de traitement n'a pas émis d'objection pendant le délai convenu.

7. Droit d’information des personnes concernées

Il appartient au responsable de traitement de fournir l’information aux personnes concernées par les
opérations de traitement au moment de la collecte des données à caractère personnel.

8. Exercice des droits des personnes

Dans la mesure du possible, le sous-traitant doit aider le responsable de traitement à s’acquitter de
son obligation de donner suite aux demandes d’exercice des droits des personnes concernées : droit
d’accès, de rectification, d’effacement et d’opposition, droit à la limitation du traitement, droit à la
portabilité des données, droit de ne pas faire l’objet d’une décision individuelle automatisée (y compris
le profilage).
Lorsque les personnes concernées exercent auprès du sous-traitant des demandes d’exercice de leurs
droits, le sous-traitant doit adresser ces demandes dès réception par voie postale ou courrier
électronique au

Délégué à la Protection des Données de Lille Métropole Habitat

CS 40 453 59 338 Tourcoing Cedex,
dpo@lmh.fr

9. Notification des violations de données à caractère personnel

Le sous-traitant notifie au plus vite au responsable de traitement toute violation de données à
caractère personnel dont il aurait connaissance et ce par courrier électronique :
dpo@lmh.fr

La notification contient au moins :

 la description de la nature de la violation de données à caractère personnel y compris,
si possible, les catégories et le nombre approximatif de personnes concernées par la
violation et les catégories et le nombre approximatif d'enregistrements de données à
caractère personnel concernés ;
 le nom et les coordonnées du délégué à la protection des données du sous-traitant ou
d'un autre point de contact auprès duquel des informations supplémentaires peuvent
être obtenues ;
  la description des conséquences probables de la violation de données à caractère
personnel ;
 la description des mesures prises pour remédier à la violation de données à caractère
personnel, y compris, le cas échéant, les mesures pour en atténuer les éventuelles
conséquences négatives.

Si, et dans la mesure où il n’est pas possible de fournir toutes ces informations en même temps,
les informations peuvent être communiquées de manière échelonnée sans retard indu.

10. Aide du sous-traitant

Dans le cadre du respect par le responsable de traitement de ses obligations, le sous-traitant aide le
responsable de traitement pour la réalisation d’analyses d’impact relative à la protection des données.
Le sous-traitant aide le responsable de traitement pour la réalisation de la consultation préalable de
l’autorité de contrôle.

11. Mesures de sécurité

La Personne Publique, en qualité de responsable de traitement, et le titulaire, en qualité de sous-
traitant, prennent toutes les précautions utiles au regard des risques présentés par le traitement pour
préserver la sécurité des données à caractère personnel. Ils s’engagent à empêcher que les données
soient déformées, endommagées ou que des tiers non autorisés y aient accès.
En sa qualité de sous-traitant, le titulaire s'assure :
 que toute transmission d'information via un canal de communication non sécurisé, par
exemple Internet, s'accompagne de mesures de sécurité appropriée permettant de
garantir la confidentialité des données échangées, telles qu'un chiffrement des données
ou l’utilisation d’une plate-forme sécurisée. Les moyens utilisés doivent être conformes à
l'état de l'art et, le cas échéant, respecter les recommandations de la Commission
Nationale de l’Informatique et des Libertés.
 que les personnes habilitées disposant d'un accès aux données doivent s'authentifier avant
tout accès à des données à caractère personnel, au moyen d'un identifiant et d'un mot de
passe personnels respectant les recommandations de la CNIL, et en particulier la
délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation
relative aux mots de passe, ou par tout autre moyen d'authentification apportant au moins
le même niveau de sécurité.
 qu'un mécanisme de gestion des habilitations est mis en œuvre et régulièrement mis à
jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données
effectivement nécessaires à la réalisation de leurs missions, en raison de leurs fonctions et
qualité, dans la stricte limite de ce qui leur est nécessaire à l’accomplissement de leurs
fonctions et à communiquer à La Personne Publique la liste des personnes ainsi habilitée
à première demande. Le prestataire doit définir et formaliser une procédure permettant
de garantir la bonne mise à jour des habilitations.
 que des mécanismes de traitements automatisés garantissent que les données à caractère
personnel seront automatiquement supprimées de manière définitive, une fois la finalité
atteinte. Un PV de destruction des données sera transmis au commanditaire.
  que les accès aux applications et matériels hébergeant les données à caractère personnel
confiées par le responsable de traitement font l'objet d'une traçabilité. Les données de
journalisation doivent être conservées pendant une durée de six mois glissants et devront
faire l’objet d’une exploitation documentée afin de permettre la détection d'éventuelles
tentatives d'accès frauduleux ou illégitimes. Le titulaire s’engage à mettre à disposition de
la Personne Publique à savoir le responsable de traitement, le descriptif détaillé du
dispositif technique et organisationnel mis en œuvre pour assurer le respect de l’exécution
de l’obligation de sécurité.
 à respecter, de façon absolue, les obligations suivantes et à les faire respecter par leurs
personnels respectifs, leurs éventuels sous-traitants et toutes personnes qu’elles
autorisent à avoir accès aux données à caractère personnel;
 ne pas utiliser les documents et informations traités à des fins autres que celles spécifiées
et s’abstenir de toute utilisation ou traitement des données non conformes aux
instructions écrites de la Personne Publique et notamment de toute utilisation
personnelle, y compris à des fins statistiques ou d’études ;
 ne prendre aucune copie des documents et supports d'informations qui lui sont confiés, à
l’exception de celles nécessaires à l’exécution de sa mission, et seulement après avoir
recueilli l’accord préalable de la Personne Publique; les garder strictement confidentielles
et ne pas les divulguer à d’autres personnes, qu’il s’agisse de personnes privées ou
publiques, physiques ou morales, sauf aux fins strictement nécessaires à la bonne
exécution de la prestation confiée.
 prendre toutes mesures permettant d’éviter toute utilisation détournée ou frauduleuse
des données à caractère personnel traitées dans le cadre du marché, notamment
concernant les fichiers informatiques ;
 à mettre en place les mesures techniques et organisationnelles permettant d’assurer,
compte tenu de l’état des règles de l’art et des standards de sécurité applicables, un niveau
de sécurité et de confidentialité approprié au regard des risques présentés par le
traitement et la nature des données à caractère personnel traitées.
 prendre toutes mesures de sécurité, toutes précautions utiles, techniques et
organisationnelles, afin de préserver la sécurité des informations et notamment
d’empêcher qu’elles ne soient déformées, endommagées ou communiquées à des
personnes non autorisées, tout au long de la durée du présent marché ;
 des moyens permettant de rétablir la disponibilité des données à caractère personnel et
l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique;
 d’une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des
mesures techniques et organisationnelles pour assurer la sécurité du traitement.

12. Sort des données

Au terme de la prestation de services relatifs au traitement de ces données à caractère personnel, le
sous-traitant s’engage à :
 détruire toutes les données à caractère personnel mises à disposition par le
responsable de traitement,
  à faire parvenir au responsable de traitement une attestation écrite et signée justifiant
l’acte de destruction,

13. Délégué à la protection des données

Le sous-traitant communique au responsable de traitement le nom et les coordonnées de son délégué
à la protection des données, s’il en a désigné un conformément à l’article 37 du règlement européen
sur la protection des données.

14. Documentation
Le sous-traitant met à la disposition du responsable de traitement la documentation nécessaire pour
démontrer le respect de toutes ses obligations et pour permettre la réalisation d'audits, y compris des
inspections, par le responsable du traitement ou un autre auditeur mandaté par ce dernier.

V. Obligations du responsable de traitement vis-à-vis du sous-traitant

Le responsable de traitement s’engage à :

1. fournir au sous-traitant les données visées au II des présentes clauses,

2. documenter par écrit toute instruction concernant le traitement des données par le sous-traitant,

3. veiller, au préalable et pendant toute la durée du traitement, au respect des obligations prévues par
le règlement européen sur la protection des données de la part du sous-traitant,

4. superviser le traitement, y compris réaliser les audits et les inspections auprès du sous-traitant,