La direction des affaires juridiques des ministères de l’économie, des finances, de l’action et des comptes publics (DAJ) a mis à jour, le 11 septembre 2018, son formulaire DC4 relatif à la déclaration d’un sous-traitant, au regard du règlement général sur la protection des données (RGPD). Selon l’article 28.2 dudit texte, l’acheteur public doit donner au titulaire du marché son autorisation écrite préalable au recrutement d’un sous-traitant au contrat lorsque ce dernier est chargé de traitements de données à caractère personnel. Pour faciliter cette démarche, la DAJ a mis à jour le formulaire DC4 en y ajoutant une nouvelle rubrique.
Le formulaire intègre ainsi une rubrique « sous-traitance de traitement de données à caractère personnel ». Le titulaire d’un marché doit indiquer si le sous-traitant se voit confier le traitement de données à caractère personnel. Doivent être renseignés dans la rubrique l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées. De plus, la notice explicative du DC4 explique que « le soumissionnaire ou titulaire coche les deux cases déclaratives (de manière cumulative) qui ont pour but de lui rappeler qu’il lui appartient de s’assurer, d’une part, que son sous-traitant présente des garanties suffisantes pour la mise en œuvre de mesures techniques et organisationnelles propres à assurer la protection des données personnelles et d’autre part, que, le sous-traité intègre les clauses obligatoires prévues par l’article 28 du RGPD ».
