Fourniture de titres restaurant pour le personnel de la Ville et du CCAS de Limoges

Question n°1 Bonjour, Au vu de l'analyse des documents du marché par notre société, concernant le sujet RGPD, pourriez-vous nous confirmer si les prestataires peuvent répondre à votre appel d'offre en se positionnant comme responsable de traitement et non en tant que sous-traitant ? Vous trouverez ci-dessous les éléments déterminant notre analyse et positionnement en tant que Responsable de Traitement : Qualité de responsable de traitement du Titulaire émetteur de titres, dans le cadre de la fourniture de ses services Selon le RGPD et la loi du 6 janvier 1978, la qualité de responsable de traitement de données à caractère personnel est dévolue à la personne qui décide : • des finalités du traitement (pourquoi les données personnelles sont traitées ?) ; et • des moyens du traitement (comment les données personnelles sont traitées ?). Lorsque, pour la fourniture de ses services, le Titulaire est destinataire de données personnelles communiquées par ses clients, notamment les données relatives aux bénéficiaires de titres, l’Emetteur est responsable du traitement de ces données personnelles au sens du RGPD. Justifications de cette qualification : Plusieurs considérations juridiques et factuelles expliquent cette qualification : • Les autorités de protection des données ont confirmé que tous les prestataires de service traitant des données personnelles pour la fourniture du service ne sont pas nécessairement des sous-traitants au sens du RGPD ; • La qualité de responsable de traitement doit s’apprécier in concreto, en fonction de la manière dont les traitements de données concernés sont effectivement décidés et mis en oeuvre. Pour ce qui concerne les services fournis par le Titulaire : • Les traitements de données personnelles sont effectués à l’initiative du Titulaire et sous le contrôle du Titulaire, pour lui permettre de rendre ses services, peu important que les données personnelles soient fournies par le client ; • Le Titulaire est seule décisionnaire quant aux finalités et aux moyens des traitements de données personnelles qu’elle met en oeuvre pour fournir ses services ; • Les finalités de traitement répondent uniquement aux besoins du Titulaire de rendre ses services ; • Le Titulaire est seul à déterminer les données à traiter et leur durée de conservation ; • Le Titulaire ne reçoit aucune instruction de son client sur la manière dont il traite les données personnelles pour rendre ses services ; • Le Titulaire est seul à contrôler le traitement qu’il met en oeuvre pour rendre ses services ; • Le Titulaire a seul l’expertise sur le traitement des données personnelles nécessaire à la fourniture de ses services. Le Titulaire doit donc être considéré comme seul responsable du traitement mis en oeuvre, en raison de la liberté dont elle dispose dans la définition de ses objectifs et conditions de mise en oeuvre. Cette qualification s’impose aux parties au regard des circonstances de fait et ne peut être négociée. Indifférence de la qualité d’acheteur public : Cette qualité de responsable de traitement conférée au Titulaire est applicable en tout point à l’égard de clients acheteurs publics, dans le cadre de contrats de la commande publique. Le contrat entre le Titulaire et le client acheteur public n’a donc pas vocation à régir les traitements de données personnelles réalisés par le Titulaire en tant que responsable de traitement. Il ne peut pas prévoir des clauses relatives à la sous-traitance au sens de l’article 28 du RGPD faute pour le Titulaire d’être effectivement sous-traitant. Sources • Lignes directrices 7/2020 du CEPD du 7 juillet 2021 (version 2.0) concernant les notions de responsable du traitement et de sous-traitant dans le RGPD ; • Guide de la CNIL sur la responsabilité des acteurs dans de la cadre de la commande publique de juin 2022.

Question n°2 Bonjour, Concernant le critère "Prix", pouvez-vous nous confirmer que les remises de fin d'année ne sont pas autorisées ? Vous en remerciant par avance, Cordialement.