Accompagnement en matière de politique d’achats
Obligations au titre du RGPD et responsabilité des prestataires de services
En vertu de l'article 28 du RGPD, les entités privées et publiques sont responsables et doivent rendre des comptes en cas de violations du RGPD commises par leurs sous-traitants, sauf si ces derniers sont certifiés RGPD :
En conséquence, il leur incombe de vérifier que leurs sous-traitants présentent des garanties suffisantes quant au respect du RGPD. Ce même article prévoit qu'une certification RGPD agréée peut être utilisée pour démontrer l’existence de telles garanties.
Impact de la certification des sous-traitants sur le responsable du traitement
| Prestataire de services : | Si non certifié | Si certifié RGPD |
|---|---|---|
| Responsabilité et risques juridiques | Intégral | Réduit |
| Charge de travail liée au suivi de la conformité | Intégral | Réduit |
| Coûts liés à la diligence raisonnable | Intégral | Réduit |
| Risques financiers au titre de l'article 83 du RGPD | Intégral | Réduit |
Stratégie en matière de politique d'approvisionnement
Obtenir une certification attestant de votre conformité au RGPD constitue une première étape. Il est tout aussi important d’exiger que vos prestataires de services soient également certifiés. Cette démarche permet de réduire considérablement vos risques, vos coûts et votre charge de travail. La stratégie recommandée consiste à :
- Contacter votre équipe chargée des achats pour l'informer de cette opportunité de réduire les risques, les coûts et la charge de travail de votre organisation.
- Mettre à jour la politique d'approvisionnement en intégrant la certification RGPD comme nouveau critère de sélection des prestataires de services auxquels sont transmises des données à caractère personnel. Vous pouvez en faire un critère pondéré pendant une période transitoire de 24 mois, puis une exigence obligatoire à l'issue de cette période.
- Informez votre prestataire de services de votre nouvelle politique et l'inviter à demander une certification RGPD.
Programme d'accompagnement pour l'optimisation de la politique d'achats
L'ECCP met gratuitement à disposition des ressources en ligne pour toutes les organisations qui procèdent à la mise à jour de leurs politiques d'achats. De plus, un programme d'accompagnement spécifique est proposé aux entreprises comptant un grand nombre de sous-traitants. Toute entreprise disposant d’un programme d’achats comptant plus de 20 sous-traitants et d’un budget d’achats supérieur à 10 millions d’euros peut postuler à notre programme d’accompagnement pour l’optimisation de la politique d’achats. Les candidats sélectionnés bénéficient d’un accompagnement personnalisé en direct pour optimiser leur politique d’achats, ainsi que d’un kit de bienvenue gratuit. Postuler au programme d'accompagnement.
Clauses types
Message du délégué à la protection des données à l'équipe chargée des achats
« Chère équipe des achats,
En vertu du RGPD, notre organisation est exposée à des risques, des coûts et une charge de travail importants et inutiles lorsqu’elle fait appel à des prestataires de services non certifiés RGPD. Nous vous invitons à actualiser les critères de sélection appliqués à nos prestataires de services en incluant la certification RGPD parmi les exigences clés. Nous suggérons de mettre en place une phase de transition de 24 mois, durant laquelle ce critère sera pondéré, avant de le rendre obligatoire. Cette adaptation contribuera à réduire les risques, les coûts liés au contrôle de la conformité et la charge de travail pour notre organisation.
Nous restons à votre disposition pour vous fournir davantage d'explications et échanger sur ce sujet.
Cordialement,
« L'équipe du DPO »
Clause type relative aux marchés publics
« Afin de minimiser les risques de non-conformité au RGPD, les prestataires de services qui traitent les données à caractère personnel que nous leur communiquons sont invités à démontrer la conformité totale de leur offre de services au RGPD au moyen d’une certification RGPD. Une telle certification sera considérée comme un atout majeur et un avantage concurrentiel dans le cadre du processus de sélection. D’ici le [ajouter une date dans 24 mois ou plus], la certification RGPD devrait devenir une exigence obligatoire. »
Message à l'attention des prestataires de services
« Chers prestataires de services et sous-traitants,
Notre organisation accorde une grande importance à la protection des données à caractère personnel et prend très au sérieux ses obligations au titre du RGPD. Nous tenons à vous informer que nous avons décidé de mettre à jour notre politique d'approvisionnement.
En vertu de l'article 28 du RGPD, les responsables du traitement sont exposés à des risques et à une responsabilité en cas de non-conformité de la part de leurs sous-traitants. Afin de limiter nos risques, nous encourageons nos prestataires de services à démontrer la conformité totale de leur offre de services au RGPD au moyen d’une certification RGPD. Une telle certification sera considérée comme un atout concurrentiel majeur dans le cadre du processus de sélection de nos prestataires de services et sous-traitants.
À terme, d'ici 24 mois, la certification RGPD devrait devenir une exigence obligatoire dans le cadre de notre politique d'approvisionnement.
Même si cette certification RGPD est susceptible d'exiger un certain effort de la part de nos partenaires, nous sommes convaincus qu'elle constituera également pour eux un solide avantage concurrentiel face à d'autres partenaires et clients B2B, et qu'elle leur permettra peut-être de gagner de nouvelles parts de marché.
Vous trouverez davantage d'informations sur la certification RGPD en ligne, par exemple sur gdprcertification.com et europrivacy.com.
Cordialement,
« L'équipe des achats »