Bonjour Laurent,

Voici la réponse de Christian Viallon que j'ai relu.

Nous espérons qu'elle vous apportera assez d'éclairage. N'hésitez pas à revenir lui si nécessaire.

Bonne journée. 

• le correspondant est rédacteur d'un appel d'offre
• s'agissant d'une solution RH nous sommes bien en présence de traitement de données à caractère personnel
• la notion de sous-traitance RGPD diffère en effet de la notion de sous-traitance marchés publics (on peut imaginer qu'un sous-traitant marche public - concessionnaire - soit responsable de traitement). Rappel des définitions RT et ST au sens RGPD :
  "responsable du traitement", la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l'Union ou le droit d'un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l'Union ou par le droit d'un État membre;
  "sous-traitant", la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement;

• Objet et description du traitement :
  • préciser l’objet et la finalité du traitement que le sous-traitant est autorisé à traiter pour le compte du responsable du traitement
  • désigner les catégories de personnes concernées par le traitement.
• Obligations du sous-traitant vis-à-vis du responsable du traitement :
  • ne traiter les données à caractère personnel que sur instructions documentées du responsable du traitement
  • garantir la confidentialité et la sécurité des données (pseudonymisation, chiffrement…)
  • respecter les principes de protection des données dès la conception et par défaut
  • notifier sans délai les violations de données à caractère personnel au responsable du traitement
  • tenir par écrit un registre recensant les traitements effectués
  • solliciter l’autorisation du responsable du traitement avant de recruter un sous-traitant de second rang
  • répondre des éventuelles fautes commises par le sous-traitant de second rang à l’égard du responsable du traitement
  • apporter l’assistance au responsable du traitement pour l’instruction des demandes d’exercice du droit des personnes concernées : rectification, effacement, etc.
  • mettre à la disposition du responsable du traitement la documentation nécessaire pour démontrer le respect de toutes les obligations imposées par le RGPD.
• pour les CCAG l'Art. 5.2 des CCAG «Travaux », « Fournitures courantes et Services » et « Prestations intellectuelles » dispose "  Chaque partie au  marché est tenue au respect des règles relatives à la protection des données à caractère personnel, auxquelles elle a accès pour les besoins de l’exécution du marché. En cas d’évolution de la législation sur la protection des données à caractère personnel en cours d’exécution du marché, les modifications éventuelles demandées par le pouvoir adjudicateur afin de se conformer aux règles nouvelles donnent lieu à la signature d’un avenant par les parties au marché. Pour assurer cette protection, il incombe au pouvoir adjudicateur d’effectuer les déclarations et d’obtenir les autorisations administratives nécessaires à l’exécution des prestations prévues par les documents particuliers du marché " c'est cette clause qui n'est plus à jour c'est pourquoi il convient d'introduire les Clauses contractuelles type ci-dessus et/ou en s'inspirant des clauses de la CNIL https://www.cnil.fr/fr/sous-traitance-exemple-de-clauses 
• au sens RGPD le Responsable de traitement est l'acheteur et le sous-traitant celui qui remporte l'AO. Ils sont solidairement responsables c'est ce que l'AO doit établir.