RGPD : qui est responsable dans une commande publique ?

RGPD et commande publique : publication d’un guide pratique

Au regard de la réglementation générale sur la protection des données (RGPD), lorsqu’un organisme privé exécute une commande publique et qu’il collecte des données personnelles à cette occasion, il peut être :

• responsable de traitement ;
• co-responsable de traitement avec l’administration ;
• sous-traitant pour le compte de l’administration.

Quelle que soit l’hypothèse choisie, elle doit être contractualisée entre l’administration qui passe la commande publique et l’organisme privé.

Pour aiguiller les acteurs concernés sur la marche à suivre, la Cnil a publié un guide sur la responsabilité des acteurs dans le cadre de la commande publique.