Appels d'offres · Piloter et prouver
Souveraineté et RGPD : ce qu'il faut pouvoir prouver dans une réponse
« Hébergement et sauvegardes dans l'Union européenne : exigence non négociable. » Les acheteurs ne demandent plus si vos données sont protégées, ils demandent où elles sont, qui y accède, et le contrat qui le garantit. La liste des questions, et les pièces qui y répondent.
Par Christophe Fruytier, fondateur de Teasio, le .
Les questions des acheteurs, et les pièces qui y répondent
| Question de l'acheteur | Pièce ou engagement à fournir | Qui |
|---|---|---|
| Où sont hébergées les données, y compris les sauvegardes, les journaux et les traitements d'IA ? Chez quels prestataires, dans quels pays ? | Liste nominative des hébergeurs et sous-traitants ultérieurs, pays, rôle, certification | Éditeur |
| Qui est responsable de traitement, qui est sous-traitant ? | Schéma des rôles ; contrat de sous-traitance article 28 (clauses types de la Commission ou canevas de l'acheteur) signé avant le démarrage | Vous + éditeur |
| Les outils tiers hors Union européenne peuvent-ils être désactivés ? | Liste des outils optionnels et procédure de désactivation | Éditeur |
| Chiffrement en transit et au repos, authentification renforcée, journalisation des accès ? | Description technique, politique de sécurité, piste d'audit | Éditeur |
| Notification des violations de données ? | Procédure et délai contractuel (24 ou 72 heures selon l'exigence), modèle de notification | Éditeur, puis vous vers l'autorité |
| Droits des personnes, durée de conservation, suppression en fin de contrat ? | Procédure et délai de réponse, durées par catégorie, attestation de suppression | Vous + éditeur |
| Réversibilité : export complet dans un format standard, sans frais disproportionnés ? | Formats d'export, délai, assistance à la migration, engagement écrit | Éditeur |
| Aucune réutilisation des données par l'éditeur, ni pour son compte, ni pour entraîner des modèles d'IA ; aucun message de l'éditeur aux bénéficiaires ? | Clause contractuelle et charte vie privée | Éditeur |
| Certifications ou audits de sécurité ? | Ce qui existe : certification de l'hébergeur, audits internes, mesures techniques ; et ce qui n'existe pas, écrit | Éditeur |
| Données de santé ? | Hébergement certifié HDS si les quatre conditions de la certification sont réunies ; sinon, périmètre des données collectées limité et justifié | Vous + éditeur |
Le cadre 2026 en quatre textes
- Circulaire du 5 février 2026 sur la commande publique numérique : priorité aux solutions mutualisées, puis françaises, puis européennes ; la souveraineté devient un critère d'achat ; les données sensibles vont en SecNumCloud au titre de l'article 31 de la loi SREN ; les besoins se définissent en performance, coût complet et réversibilité.
- Doctrine « cloud au centre » : clauses de réversibilité et de portabilité, localisation des données, immunité contre les demandes d'autorités d'États tiers ; les collectivités doivent vérifier l'hébergement de leurs éditeurs SaaS pour les données sensibles.
- Référentiel HDS (arrêté du 26 avril 2024, conformité des certifiés au plus tard le 16 mai 2026) : hébergement physique dans l'Espace économique européen, information sur les accès depuis des pays tiers ; requis quand un sous-traitant héberge des données de santé pour le suivi médico-social.
- Règlement IA après l'omnibus numérique : transparence depuis le 2 août 2026, haut risque (emploi, gestion RH) reporté au 2 décembre 2027 ; France Travail achète déjà des analyses d'impact sur les droits fondamentaux pour ses systèmes d'IA.
Au Québec, la Loi 25 ajoute l'évaluation des facteurs relatifs à la vie privée avant tout transfert hors Québec, la confidentialité par défaut et la destruction des données après leur finalité. En Belgique, la Wallonie fournit un canevas de contrat de sous-traitance RGPD pour ses marchés.
Comment l'écrire dans le mémoire
- Une page « données » avec le schéma des rôles, la localisation (production, sauvegardes, copies, journaux, IA), les sous-traitants ultérieurs et le contrat article 28 en annexe.
- Une page « sécurité et continuité » : chiffrement, authentification, journalisation, sauvegardes, délai de remise en service, plan de continuité, notification des violations.
- Une page « fin de contrat » : exports, formats, assistance à la migration, suppression attestée, durées de conservation.
- Les certifications telles qu'elles sont : celle de l'hébergeur, les audits, et l'absence de certification propre dite en clair avec les mesures qui la compensent. Une certification affirmée à tort est une cause d'exclusion.
Questions fréquentes
Un marché d'accompagnement traite-t-il des données de santé ?
Parfois : un dispositif « santé et emploi » ou un accompagnement de personnes en situation de handicap peut collecter des données de santé ; les avis concernés réservent leur traitement aux intervenants autorisés (article 9.2 h du RGPD). La certification HDS s'impose quand un sous-traitant héberge ces données pour le suivi médico-social. Le plus sûr est de limiter la collecte au strict nécessaire et de le justifier dans la réponse.
L'acheteur exige SecNumCloud : que faire ?
Vérifier d'abord si l'exigence vise les données du dispositif ou seulement les données sensibles au sens des textes (santé, missions essentielles). Si elle s'applique à l'ensemble, il faut un hébergement qualifié, ce que tous les éditeurs ne proposent pas ; une réponse honnête décrit l'hébergement réel et ses garanties, et laisse l'acheteur juger. Ne répondez jamais « conforme » sans la qualification.
Peut-on utiliser une IA pour préparer les séances ou résumer des notes ?
Oui, si trois conditions sont écrites : les données ne quittent pas l'Union européenne, elles ne servent pas à entraîner un modèle, et l'usage est transparent pour les bénéficiaires. Les obligations de transparence du règlement IA s'appliquent depuis le 2 août 2026 ; l'emploi et la gestion RH sont des domaines à haut risque dont les obligations spécifiques s'appliqueront à partir du 2 décembre 2027. Voir Teasio et l'IA.
À lire aussi
Christophe Fruytier · Fondateur de Teasio.
Dix-sept ans d'innovation RH, ex-directeur de l'innovation au comité exécutif de BPI Group. Il lit les dossiers de consultation avec les clients de Teasio et construit leurs réponses avec eux.
Sources
Sources
- CNIL, clauses contractuelles types responsable de traitement et sous-traitant (décision d'exécution (UE) 2021/915) — cnil.fr ; Wallonie, canevas de contrat de sous-traitance RGPD (29 janvier 2025) — marchespublics.wallonie.be
- Circulaire du Premier ministre du 5 février 2026 sur la commande publique numérique — banquedesterritoires.fr ; weka.fr ; doctrine « cloud au centre » et données sensibles — banquedesterritoires.fr
- Référentiel de certification HDS (arrêté du 26 avril 2024) — cms.law ; esante.gouv.fr ; France Travail, « Défi Santé Emploi » (article 9.2 h du RGPD) — boamp.fr
- Règlement IA et omnibus numérique (report du haut risque au 2 décembre 2027) — freshfields.com ; France Travail, achat d'analyses d'impact sur les droits fondamentaux — boamp.fr
- Gouvernement du Québec, Loi 25 — quebec.ca
- Grilles d'exigences de consultations privées et publiques de 2025-2026 (hébergement UE non négociable, localisation des sauvegardes et des traitements d'IA, sous-traitants ultérieurs, notification sous 24 heures, aucune réutilisation des données, réversibilité) : documents lus par Teasio, cités sans nom de client. Engagements Teasio : teasio.com/securite.