CCAG > CCAG-Travaux 2021 > CCAG-Travaux 2021 sur Legifrance

Chapitre 1er : Généralités (Articles 1 à 8)

Article 5 – Confidentialité – Protection des données personnelles – Mesures de sécurité

5.1. Obligation de confidentialité :

5.1.1. Le titulaire et le maître d’ouvrage qui, à l’occasion de l’exécution du marché, ont connaissance d’informations ou reçoivent communication de documents ou d’éléments de toute nature, présentant un caractère confidentiel, sont tenus de prendre toutes mesures nécessaires, afin d’éviter que ces informations, documents ou éléments ne soient divulgués à un tiers qui n’a pas à en connaître. Une partie ne peut demander la confidentialité d’informations, de documents ou d’éléments qu’elle a elle-même rendus publics.

5.1.2. Une information confidentielle désigne toute information de quelque nature (y inclus la méthodologie, la documentation, les informations ou le savoir-faire), sous quelque forme que ce soit (y inclus sous forme orale, écrite, magnétique ou électronique), sur tout support dont le maître d’ouvrage est propriétaire ou titulaire, et qui est communiquée au titulaire, ou obtenue de toute autre façon par ce dernier dans le cadre de ses relations avec le maître d’ouvrage. Le titulaire et son personnel, et le cas échéant ses sous-traitants, ne peuvent l’utiliser que pour l’accomplissement des prestations prévues au marché.

5.1.3. Le titulaire doit informer ses sous-traitants des obligations de confidentialité et des mesures de sécurité qui s’imposent à lui pour l’exécution du marché. Il doit s’assurer du respect de ces obligations par ses sous-traitants.

5.1.4. Ne sont pas couverts par cette obligation de confidentialité les informations, documents ou éléments :

– qui étaient dans le domaine public au moment de leur divulgation ou que le maître d’ouvrage aurait lui-même rendus publics pendant l’exécution du marché ;

– signalés comme présentant un caractère non confidentiel et relatifs aux prestations du marché ;

– qui ont été communiqués au titulaire par un tiers ayant légalement le droit de diffuser ces informations, documents ou éléments, comme le prouvent des documents existant antérieurement à leur divulgation.

5.2. Protection des données à caractère personnel :

5.2.1. Chaque partie au marché est tenue au respect des règles, européennes et françaises, applicables au traitement des données à caractère personnel éventuellement mis en œuvre aux fins de l’exécution du marché. A ce titre, toute transmission de données à des tiers, y compris au bénéfice d’entités établies hors de l’Union européenne, qui ne serait pas strictement conforme à la réglementation en vigueur est formellement prohibée.

5.2.2. En cas d’évolution de la réglementation sur la protection des données à caractère personnel en cours d’exécution du marché, les modifications éventuelles demandées par le maître d’ouvrage afin de se conformer aux règles nouvelles, donnent lieu à la signature d’un avenant par les parties au marché ou, en l’absence d’accord entre les parties, à une modification unilatérale par le maître d’ouvrage.

5.2.3. Lorsque le titulaire met en œuvre un traitement pour le compte du maître d’ouvrage, pour que le traitement des données réponde aux exigences de la réglementation et garantisse en particulier la protection des droits des personnes physiques identifiées ou identifiables qu’il concerne, les documents particuliers du marché précisent notamment :

– la finalité, la description et la durée du traitement dans le strict respect des instructions documentées du maître d’ouvrage ;

– les obligations du maître d’ouvrage et celles du titulaire vis-à-vis de ce dernier, en particulier l’obligation de l’informer de toute difficulté dans l’application de la réglementation, de tout projet de recours à un tiers pour la mise en œuvre du traitement, ou encore de toute demande de communication de données qui lui serait adressée, ainsi que, lorsque celle-ci serait contraire à la réglementation française et européenne, des mesures adoptées pour s’y opposer ;

– les modalités de prise en compte du droit à l’information et des autres droits des personnes concernées, dont l’exercice doit être garanti;

– les mesures de sécurité mises en œuvre pour garantir l’intégrité, la confidentialité et la disponibilité des données, ainsi que les conditions de notification des violations de données à caractère personnel ;

– la durée et les modalités de conservation des données et le sort de celles-ci au terme de l’exécution du marché.

Les documents particuliers du marché précisent également les pénalités applicables au titulaire en cas de méconnaissance de la réglementation.

En cas de manquement, par le titulaire ou son sous-traitant, à ses obligations légales et contractuelles relatives à la protection des données personnelles, le marché peut être résilié pour faute en application de l’article 50.

Commentaires : Le maître d’ouvrage est considéré comme le  » responsable du traitement  » au sens du Règlement général sur la protection des données (RGPD) en tant qu’autorité publique déterminant les finalités et les moyens du traitement des données. Le titulaire est généralement considéré comme le  » sous-traitant  » au sens du RGPD en tant que personne traitant des données à caractère personnel pour le compte du maître d’ouvrage. Le sous-traitant du marché est considéré comme le  » sous-traitant ultérieur  » au sens du RGPD en tant que personne à qui le titulaire peut faire appel pour mener des activités de traitement spécifiques. Les maîtres d’ouvrage sont invités, pour rédiger les documents particuliers du marché, à consulter le Guide du sous-traitant élaboré par la CNIL, disponible sur son site Internet : https://www.cnil.fr/

5.3. Mesures de sécurité :

Lorsque les prestations sont à exécuter dans un lieu où des mesures de sécurité s’appliquent, notamment dans les zones protégées en vertu des dispositions législatives ou réglementaires prises pour la protection du secret de la défense nationale, ces dispositions particulières sont indiquées par le maître d’ouvrage dans les documents particuliers du marché. Le titulaire est tenu de les respecter.

Le titulaire ne peut prétendre, de ce fait, ni à prolongation du délai d’exécution, ni à indemnité, ni à supplément de prix, à moins que les deux conditions suivantes soient remplies :

– les informations ne lui ont été communiquées que postérieurement au dépôt de son offre ;

– il peut établir que les obligations qui lui sont ainsi imposées nécessitent un délai supplémentaire pour l’exécution des prestations prévues par le marché ou rendent plus difficile ou plus onéreuse pour lui l’exécution de son contrat.

Commentaires : Une zone protégée est une zone créée par arrêté des ministres compétents et faisant l’objet d’une interdiction de pénétration sans autorisation, sanctionnée pénalement en cas d’infraction (articles 413-1 à 413-8 du code pénal).

5.4. Information des sous-traitants

Le titulaire informe ses sous-traitants de leur soumission aux obligations énoncées à l’article 5. Il reste responsable du respect de celles-ci.

Source : Légifrance 31 décembre 2022.