20200218_NP_SGA-DAJ_Instruction RGPD du 31 janvier 2020.pdf — page 25

25 
 
6.2.1 Délégations de gestion.  
 
Deux entités du ministère liées par un acte juridique reconnu par le droit français appliquent les 
dispositions du RGPD relatives à la sous-traitance. C’est le cas notamment des entités liées par une 
convention de délégation de gestion.  
 
Le régime des délégations de gestion est défini par le décret n° 2004-1085 du 14 octobre 2004 relatif à 
la délégation de gestion dans les services de l’Etat. L’article 1er du décret définit la délégation de 
gestion comme étant « l'acte par lequel un ou plusieurs services de l'Etat confient à un autre service 
de l'Etat, pour une durée limitée éventuellement reconductible, la réalisation, pour leur compte, 
d'actes juridiques, de prestations ou d'activités déterminées concourant à l'accomplissement de leurs 
missions ». Ainsi, des clauses de confidentialité doivent être intégrées dans ces contrats. 
 
Le service délégataire apparaît dans le registre du responsable de traitement dans le champ dédié à la 
sous-traitance. De son côté, le délégataire recense le traitement qu’il effectue pour le compte du 
responsable de traitement dans un registre distinct, qu’il tient à jour sur un fichier bureautique séparé 
et qu’il transmet au DPD ministériel une fois par an. Figurent dans son registre : l’identification du 
responsable de traitement, le nom du traitement qu’il effectue pour son compte, les mesures de 
sécurité des données et le cas échéant, les transferts de données hors de l’Union européenne.  
 
6.2.2 Autres contrats.  
 
Il existe au sein du ministère de la défense d’autres moyens de contractualisation pouvant prendre la 
forme, par exemple, de contrats de service. Ceux-ci ne constituant pas des actes juridiques reconnus 
par le droit de l’Union européenne, la notion de sous-traitant au sens du RGPD ne trouve pas à 
s’appliquer. 
 
Les entités liées par un contrat de service peuvent recourir à l’insertion de clauses de confidentialité, à 
titre de bonne pratique, bien que le contrat de service ne soit pas considéré comme un acte juridique 
formalisant une relation de sous-traitance entre les deux parties.  
 
Les opérateurs internes qui assurent des prestations pour le compte du responsable de traitement (tel 
que l’hébergement) sont néanmoins tenus d’assurer le niveau de sécurité des données qui leur est 
demandé par le responsable de traitement. 
 
Le traitement reste recensé dans le registre du responsable de traitement. 
 
VII. LES TRANSFERTS DE DONNEES HORS DE L’UNION EUROPEENNE (art. 44 et suivants 
du RGPD). 
 
Le responsable de traitement ne peut transférer des données hors de l’Union européenne, sans 
s’assurer que l’Etat, l’organisme (public ou privé) ou l’organisation internationale destinataire est en 
conformité avec les dispositions du chapitre V du RGPD.  
 
Ainsi, le destinataire des données offre un niveau de protection adéquat des données : 
- 
s’il bénéficie d’une décision d’adéquation de la Commission européenne65 ; 
- 
s’il présente des garanties appropriées. Les garanties appropriées doivent conduire à un niveau 
de sécurisation des données suffisant et prévoir la prise en compte des droits des personnes 
(cf. V du chapitre III de l’instruction).  Les garanties appropriées peuvent prendre la forme de 
clauses-types à insérer dans les contrats de transferts, soumis à autorisation de la CNIL. 
L’adoption de règles d’entreprises contraignantes ou de codes de conduite par l’organisme 
                                                          
65 Bénéficient d’une décision d’adéquation de la Commission les Etats suivants : Andorre, Argentine, Canada, Iles Féroé, Ile 
de Man, de Guernesey, de Jersey, Israël, Uruguay et Suisse.