> Comptes rendus > Annexe convention RGPD

CONVENTION D’ADHÉSION À LA MISSION “RGPD: RÉGLEMENT GÉNÉRAL À LA PROTECTION DES DONNÉES” DU CDG DE LA MOSELLE

PRÉAMBULE :

Dans le contexte du développement de l’e-administration et dans le cadre de leur mission de service public, les collectivités territoriales assurent la gestion et le traitement de nombreuses données personnelles.

Le règlement général européen de protection des données (RGPD) est entré en vigueur le 25 mai 2018. Ce règlement apporte certaines modifications en matière de protection des données personnelles.
Il responsabilise notamment les collectivités territoriales sur la protection des données qu’elles collectent et la sécurité des systèmes d’information. Il renforce les obligations des collectivités territoriales en matière de respect des libertés et droits fondamentaux des personnes vis-à-vis de leurs données. Le pouvoir de sanction de la CNIL augmente considérablement et le non-respect de cette réglementation entraine des sanctions financières lourdes. La désignation d’un délégué à la protection des données (DPD) pour chaque collectivité territoriale devient obligatoire et il convient de se conformer à cette nouvelle réglementation.

Le Centre de gestion de la fonction publique territoriale de la Moselle (CDG 57), de par l’article 25 de la loi statutaire, est compétent pour assurer tout conseil en organisation et conseil juridique. Considérant le volume important de ces obligations et le niveau d’expertise demandé en matière de protection de données, et au regard des moyens dont les collectivités disposent pour répondre à ces obligations, le CDG 57 propose la mise à disposition d’un délégué à la protection des données (DPD) mutualisé pour accompagner la collectivité dans sa mise en conformité.

CECI EXPOSE, ENTRE:

Le Centre de gestion de la fonction publique territoriale de la Moselle, représenté par son Président en exercice, Monsieur Vincent MATELIC, agissant en cette qualité et en vertu de la délibération du 29 septembre 2021, ci-après désigné « Le CDG57 » d'une part,

ET

La collectivité, représentée par Joëlle HOFFMANN, Maire de Merten ci-après désignée «La collectivité» d’autre part, agissant en application de la délibération en date du 29.11.2021.

Vu le règlement européen n° 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD);

Vu la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ainsi que le décret n° 2018-687 du 1er août 2018 pris pour l’application de cette loi ;

Vu la loi n°83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires,

Vu la loi n° 84-53 du 26 janvier 1984 modifiée, portant dispositions statutaires relatives à la Fonction Publique Territoriale, et son article 25 instaurant la possibilité pour les Centres de Gestion de proposer des services communs à plusieurs collectivités ou établissements ;

Vu le décret n° 85-643 du 26 juin 1985 modifié, relatif aux Centres de Gestion qui précise, dans son article 33-3, que les ressources des Centres de Gestion sont notamment constituées par les redevances pour prestations de service prévues à l'article 25 de la loi du 26 janvier 1984 ;

Vu la délibération du Centre de gestion de la Moselle en date du 29 septembre 2021 approuvant les conditions d’adhésion au service « RGPD: règlement général à la protection des données» et les tarifs s’y rapportant ;

Vu l’avis du comité technique du CDG 57 en date du 1^er octobre 2021 portant création d’un service de mise en conformité au RGPD à destination des collectivités affiliées et non affiliées de Moselle ;

IL EST CONVENU CE QUI SUIT:

ARTICLE 1 : OBJET ET COMPOSITION DE LA MISSION

La présente convention a pour objet la mise à disposition de moyens humains et matériels au profit de la collectivité cosignataire ; avec pour finalité la maîtrise des risques liés au traitement des données personnelles, risques autant juridiques et financiers pour la collectivité et les sous-traitants, que risque de préjudice moral pour les individus.

La collectivité confie au CDG57 une mission d'accompagnement dans la mise en conformité des traitements à la loi Informatique et libertés n° 78-17 du 6 janvier 1978 et au RGPD.

Cette mission comprend les étapes suivantes (détail en annexe), dans lesquelles le Délégué à la protection des données (DPD) mis à disposition de la collectivité réalise les opérations suivantes :

1. Documentation et information.
2. Questionnaire audit et diagnostic.
3. Étude d'impact et mise en conformité des procédures.
4. Plan d’action.
5. Bilan annuel.
   1. Accompagnement de la collectivité sur des actions précises dans le domaine de compétences du RGPD.

Optionnel (tarif supplémentaire sur bon de commande).

ARTICLE 2 : DEFINITIONS

Les présentes définitions s'entendent au sens des articles 4, pris en son 7°, ainsi que 37 à 39 de la réglementation européenne (Règlement européen 2016/679, susvisé).

Deux acteurs de la protection des données sont à définir clairement :

• Le Responsable de traitement

Le responsable d'un traitement de données à caractère personnel est le Maire de la commune/le Président de l'établissement public, sauf désignation expresse contraire par des dispositions législatives ou réglementaires relatives à ce traitement.

Pour la commune/l’établissement public, le responsable de traitement est : NOM Prénom maire/président.

• Le Délégué à la Protection des Données (dit ci-après le « DPD »)

Sa désignation est obligatoire pour toute collectivité ou organisme public.

Pour le CDG57, le Délégué à la Protection des Données est désigné par son Président.

Par la présente, la collectivité désigne le DPD mis à disposition par le CDG 57 comme étant son DPD. Le DPD prépare les documents permettant au Président de procéder à sa désignation effective auprès de la CNIL.

En cas de modifications dans la désignation des acteurs, les cocontractants s'engagent à s'informer mutuellement de tout changement sous un délai de deux mois maximum.

ARTICLE 3 : OBLIGATIONS DU DELEGUE A LA PROTECTION DES DONNEES

Les données contenues dans les supports et documents du CDG57 et de la collectivité sont strictement couvertes par le secret professionnel (article 226-13 du code pénal).

Il en va de même pour toutes les données dont le DPD (ou les autres experts du CDG l'assistant le cas échéant) prendra connaissance à l'occasion de l'exécution de sa mission.

Conformément à l'article 34 de la loi informatique et libertés modifiée, le DPD s'engage à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d'empêcher qu'elles ne soient déformées, endommagées ou communiquées à des personnes non autorisées.

De fait, il s'engage à respecter les obligations suivantes :

- ne prendre à titre personnel aucune copie des documents et supports d'informations qui lui sont confiés ;

- ne pas utiliser les documents et informations traités à des fins autres que celles spécifiées à la présente convention;

- ne pas divulguer ces documents ou informations à d'autres personnes, qu'il s'agisse de personnes privées ou publiques, physiques ou morales ;

- prendre toutes mesures permettant d'éviter toute utilisation détournée ou frauduleuse des fichiers informatiques étudiés ;

- prendre toutes mesures de sécurité, notamment matérielle, pour assurer la conservation et l'intégrité des documents et informations traités pendant la durée de la présente convention.

Le DPD :

- exerce sa mission directement et uniquement auprès du responsable de traitement ou de toute autre personne habilitée ;

- s’engage à exercer sa mission avec impartialité, en toute confidentialité, et dans le respect de la réglementation ;

- fait preuve de discrétion professionnelle et s’engage à ne pas divulguer les données, documents ou autre information dont il aura pris connaissance lors de sa mission.

La collectivité, dans le cadre de la mise à disposition, se réserve le droit de procéder à toutes vérifications qui lui paraîtraient utiles pour constater le respect des obligations précitées.

ARTICLE 4 : ENGAGEMENTS DE LA COLLECTIVITE

La collectivité :

- apporte son soutien au DPD et s’engage à mettre en œuvre les moyens nécessaires au bon déroulement de sa mission ;

- permet au DPD d’agir de manière indépendante et veille à l’absence de conflit d’intérêt ;

- facilite l’accès aux données et aux traitements.

ARTICLE 5: MODALITES D’EXERCICE DE LA MISSION

La collectivité déclare avoir sollicité son Comité technique (pour les collectivités disposant de leur propre Comité technique), puis avoir délibéré pour désigner le DPD du CDG57 comme DPD de la collectivité.

Le DPD prépare les documents permettant de procéder à sa désignation effective auprès de la CNIL.

Le calendrier d’intervention est fixé en accord avec la collectivité.

ARTICLE 6 : PROTOCOLES ANNEXES

La mise en œuvre de cette mission donnera lieu à la signature par la collectivité de la lettre de Mission du Délégué à la protection des données et, par ce dernier, à la signature d’une Charte d’engagement, respectivement en annexes 3 et 4 à la présente convention.

ARTICLE 7: RESPONSABILITES

Le DPD n’est pas responsable en cas de non-respect du RGPD.

En effet, le RGPD établit clairement que le responsable de traitement ou le sous-traitant est tenu de s’assurer et d’être en mesure de démontrer que le traitement est effectué conformément à ses dispositions.

Le respect de la réglementation relève donc de la responsabilité du responsable de traitement ou du sous-traitant. Il est impossible d’en transférer la responsabilité, de quelque manière que ce soit, au DPD.

ARTICLE 8: TARIFS ET FACTURATION

Le montant de chaque prestation et les tarifs appliqués, pouvant être révisés chaque année, sont fournis en annexe 2. Tout engagement de la collectivité en cours d’année, conduisant à la signature de la convention, donnera lieu au règlement du forfait complet de mise en place et de suivi annuel.
Le forfait de mise en place est unique. Le forfait de suivi annuel sera réglé chaque année par la collectivité.

Tout accompagnement sur des questions ponctuelles donnera lieu à la constitution d’un bon de commande par la mission RGPD.

En cas de déplacement en collectivité, un forfait frais de déplacement de 110 € sera appliqué, ainsi qu’un forfait repas de 17,50 € en cas d’intervention sur une journée.

La prestation de service donnera lieu au versement auprès de la:

TRÉSORERIE DE METZ-MUNICIPALE 6-8, place St Jacques BP44002 57040 METZ CEDEX1

au profit du compte du Centre de Gestion de la Fonction Publique Territoriale de la Moselle :

BANQUE DE FRANCE
RC PARIS B 572104891
TITULAIRE	TRESORERIE METZ MUNICIPALE
DOMICILIATION	BDF DE METZ
RIB
Code Banque	Code Guichet	N° Compte	Clé RIB
30001	00529	C570 0000000	16
IBAN
FR27 3000 1005 29C5 7000 0000 016
Identifiant SWIFT (BIC)		BDFEFRPPCCT

ARTICLE 9: DUREE

La mission pourra débuter, après signature de la présente convention, à la date convenue entre la collectivité et le CDG 57.

La présente convention est applicable jusqu'au 31 décembre 2026.

ARTICLE 10 : RESILIATION DE LA CONVENTION

La présente convention peut être dénoncée à tout moment, par chacune des parties, à échéance du 31 décembre de chaque année, sous réserve d’un préavis de 3 mois.

ARTICLE 11 : CONTENTIEUX

En cas de litige sur l'interprétation ou sur l'application de la convention, les parties s'engagent à rechercher toute voie amiable de règlement. A défaut, le Tribunal administratif de STRASBOURG est compétent.

Fait à Fait à Montigny-Lès-Metz

Le Le

Le Maire ou Le Président Le Président

du Centre de Gestion de la Moselle

Nom/Prénom du représentantde la collectivité: Vincent MATELIC

(Signature, Cachet de la collectivité) Maire de ROSSELANGE

ANNEXE 1: DEROULEMENT DE LA MISSION DE MISE EN CONFORMITE AU RGPD

ANNEXE 2 : TARIFS

Masse salariale annuelle	Mise en place (1) (forfait)		Suivi annuel (2): 1èreannée et chaque année suivante		Accompagnement sur des questions ponctuelles (3)
	Collectivités affiliées	Collectivités non affiliées	Collectivités affiliées (forfait)	Collectivités non affiliées (coût horaire sur bon de commande)	Collectivités affiliées (coût à la journée ou coût horaire sur bons de commande)	Collectivités non affiliées (coût horaire sur bon de commande)
< 100000 €	560 €	840 €	200 €	85 €/h	250 € 55 €/h	85 €/h
> 100000 € et < 300000 €	750 €	1 125 €	250 €	85 €/h	250 € 55 €/h	85 €/h
> 300000 € et < 500000 €	850 €	1 275 €	300 €	85 €/h	250 € 55 €/h	85 €/h
> 500000 € et < 1 000000 €	1 000 €	1 500 €	350 €	85 €/h	250 € 55 €/h	85 €/h
> 1 000000 €	1 250 €	1 875 €	400 €	85 €/h	250 € 55 €/h	85 €/h

Forfait frais de déplacement: 110 €; Forfait repas en cas d’intervention sur une journée: 17, 50€.

⁽¹⁾ Forfait de mise en place: audit de la collectivité, cartographie des traitements, analyse des risques et plan d’action,

⁽²⁾ Suivi annuel: sensibilisation des agents et diffusion d’une culture «Informatique et libertés», visite annuelle et entretien avec le référent informatique et libertés (RIL) pour lister les points à améliorer et à revoir; suivi de l’application des préconisations; veille juridique,

⁽³⁾ Accompagnement de la collectivité sur des questions ponctuelles dans le domaine de compétences du DPD: besoin spécifique de la collectivité, non couvert dans le cadre de la mise en place (notamment en cas d’acquisition de nouveaux logiciels, vérification de la conformité en matière de traitement des données).