20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 24

24 
 
rectification, de suppression, en fonction des traitements de données concernés, ainsi que les 
conditions de la notification de ces demandes à l’ensemble des destinataires identifiés pour les 
traitements concernés par une demande d’accès, de rectification ou de suppression. 
 
5.3.2 Sollicitation du DPD.  
 
Tous les ans, le responsable de traitement adresse à la DAJ un bilan des demandes d’exercice de leurs 
droits par les personnes concernées pour les traitements relevant de son périmètre. Ce bilan doit être 
transmis en janvier de l'année n+1. Il contribue à la mesure de la conformité des organismes du 
ministère aux dispositions de la loi « informatique et libertés » et du RGPD et peut être demandé par la 
CNIL en cas de contrôle. 
 
VI. LA SOUS-TRAITANCE (art. 28 à 30 du RGPD). 
 
Le sous-traitant au sens du RGPD est la personne physique ou morale, l'autorité publique, le service 
ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable de 
traitement61. Dès lors, le sous-traitant peut être un opérateur externe ou interne au ministère de la 
défense. L’opérateur interne est qualifié de sous-traitant si un acte juridique reconnu par le droit de 
l’Union ou par le droit d’un Etat membre62 lie les deux parties. 
 
Le RGPD prévoit la possibilité d’engager la responsabilité du sous-traitant en cas de non-conformité 
vis-à-vis des dispositions du RGPD.  
 
6.1 Les contrats de la commande publique. 
 
6.1.1 Clauses de confidentialité.  
 
Le responsable de traitement qui confie la mise en œuvre de traitements de données à caractère 
personnel pour son compte à un opérateur privé, en vertu d’un contrat de la commande publique, 
applique les dispositions du RGPD relatives à la sous-traitance. 
 
Dès lors, il est tenu d’insérer des clauses de confidentialité63 dans le contrat qui le lie à son sous-
traitant. Celles-ci permettent de garantir la mise en place, par le sous-traitant, des mesures de sécurité 
nécessaires, en fonction du traitement de données à caractère personnel qu’il effectue pour le compte 
du responsable de traitement. 
 
6.1.2 Registre.  
 
De son côté, le titulaire du marché est tenu de renseigner son propre registre des traitements. Il est 
conseillé au responsable de traitement de vérifier la conformité du registre du titulaire par rapport à 
son propre registre. Le responsable de traitement peut être sollicité par le sous-traitant pour lui 
apporter les informations nécessaires à la mise à jour de son registre.  
 
6.1.3 Prise en compte de la vie privée dès la conception (« Privacy by design »).  
 
Le RGPD encourage la prise en compte de la règlementation sur les données à caractère personnel dès 
la conception du système d’information64. Le responsable de traitement insère des clauses de « privacy 
by design » dans les documents du marché. Il consulte si nécessaire le DPD sur ce point. 
 
6.2 Les contrats signés entre différents services de l’administration. 
 
                                                          
61 Article 4 point 8 du RGPD. 
62 Article 28 point 3 du RGPD. 
63 Article 28 point 3 du RGPD. 
64 Article 25 du RGPD.