Que demande un appel d'offres sur la confidentialité ?

Les marchés publics demandent avant tout une conformité RGPD démontrable

Un marché public demande rarement un document juridique détaillé, mais plutôt une preuve qu'un soumissionnaire a mis ses affaires en ordre. En pratique, il s'agit de quelques sujets récurrents : s'il y a un contrat de traitement de données lorsque le marché traite des données à caractère personnel, quelles mesures de sécurité sont prises, si des sous-traitants sont engagés et où ils sont établis, et si le soumissionnaire peut démontrer qu'il connaît ses propres traitements et les documente.

De nombreuses entités adjudicatrices demandent en outre explicitement si un soumissionnaire a désigné un délégué à la protection des données, et parfois s'il a de l'expérience en matière d'analyse d'impact relative à la protection des données. L'obligation de désigner un tel délégué dépend de la situation du soumissionnaire lui-même et du pays où il est établi : aux Pays-Bas, l'obligation découle de l'article 37 du RGPD sans seuil d'effectif, alors qu'en Allemagne un seuil de vingt salariés s'applique en vertu de la loi nationale. Ce qui reste partout identique, c'est qu'un soumissionnaire doit pouvoir démontrer ce qu'il fait et pourquoi cela est conforme — non qu'il produise un document spécifique.

Cela découle du principe de responsabilité et des règles applicables aux sous-traitants

Le fait qu'un marché public demande une démonstration plutôt qu'une certification est conforme à l'article 5 du RGPD : le principe de responsabilité signifie qu'une organisation doit pouvoir démontrer qu'elle se conforme aux principes du règlement, sans que le règlement prescrive précisément via quel document cela se fait. Lorsque le marché entraîne que le soumissionnaire traite des données à caractère personnel pour le compte de l'entité adjudicatrice, l'article 28 du RGPD est la base de l'obligation qu'il existe un contrat de traitement de données, contenant notamment des dispositions relatives aux sous-traitants et aux mesures de sécurité. Pour la question de savoir quand un délégué à la protection des données est obligatoire et à qui signaler une violation de données, un soumissionnaire néerlandais se conforme à l'Autorité Néerlandaise pour les Données Personnelles et à la Loi de Mise en Œuvre du RGPD ; pour un soumissionnaire dans un autre pays, les autorités de surveillance nationales et la législation propre s'appliquent, même si le cœur du RGPD est partout le même.