DPO externe

Le titulaire est désigné délégué à la protection des données de l’ANCV et exerce notamment les missions prévues à l’article 39 du RGPD. La prestation couvre l’accompagnement continu de l’ANCV dans sa conformité en matière de protection des données personnelles, avec un intervenant principal et un suppléant.

Prestations forfaitaires

Le forfait comprend la collecte et l’analyse des documents et outils existants, l’accompagnement du responsable de traitement et de ses représentants, le contrôle du respect des exigences réglementaires, ainsi que la mise à jour des règles et politiques internes.

Il inclut également :

• La tenue à jour du registre des traitements, actuellement sous Word, avec reprise dans une éventuelle application spécialisée mise à disposition par l’ANCV ;
• L’accompagnement des projets métiers, marchés et contrats présentant des enjeux de protection des données, y compris la rédaction de mentions ou clauses RGPD ;
• La réalisation des analyses d’impact nécessaires au titre de l’article 35 du RGPD, dans la limite de deux par an ;
• Le traitement des demandes d’exercice des droits avec les directions métiers ;
• Les actions courantes d’information et de sensibilisation ;
• La veille réglementaire, la coopération avec la CNIL et l’accompagnement des violations de données non majeures.

Le titulaire établit un bilan semestriel d’activité et un rapport annuel de conformité. Les livrables comprennent les politiques mises à jour, le registre tenu à jour, les avis écrits sur les projets, les recommandations de clauses ou mentions RGPD, les analyses d’impact, les réponses aux demandes de droits, les bilans semestriels et le rapport annuel.

Les sollicitations ordinaires doivent recevoir une réponse sous 8 jours calendaires. Les urgences liées notamment à une violation de données ou à un contrôle de la CNIL doivent recevoir une réponse sous 4 heures ouvrées.

Prestations à bon de commande

Des prestations complémentaires peuvent être commandées pour les nouveaux projets sensibles ou fortement évolutifs, les missions d’expertise juridique ou contractuelle, les transferts internationaux de données, les analyses d’impact au-delà des deux incluses au forfait, les formations en présentiel ou en visioconférence, les audits RGPD ou de sous-traitants, les audits post-incident, les violations ou cyberattaques majeures et l’assistance lors d’un contrôle de la CNIL.

Les analyses d’impact et sessions de formation sont rémunérées selon les prix unitaires et les quantités commandées. Pour les autres interventions, le titulaire remet un devis précisant le délai de mise en œuvre et le nombre de journées de l’intervenant principal et, le cas échéant, de l’expert.

Organisation et sécurité

L’intervenant principal et son suppléant doivent disposer de compétences en réglementation des données personnelles, droit et sécurité informatique. Tout remplacement doit être validé par l’ANCV et présenter des compétences équivalentes. Les prestations forfaitaires comprennent au minimum 47 journées d’intervention dédiées par an, généralement regroupées sur un jour fixe convenu avec l’ANCV ; ces journées peuvent être réalisées à distance.

Un point de coordination est tenu avec le secrétaire général et le service juridique. Les intervenants utilisent une messagerie ANCV, l’adresse dpo@ancv.fr et des espaces de travail partagés, après signature de la charte informatique et installation du VPN et de la solution d’authentification fournis par l’ANCV. Le titulaire fournit les coordonnées de sollicitation urgente et équipe ses ordinateurs professionnels de protections adaptées, notamment un antivirus.

Le titulaire doit prévenir tout conflit d’intérêts et mettre en œuvre pendant toute la prestation une politique de sécurité garantissant la sécurité et la confidentialité des données de l’ANCV. La sous-traitance totale est interdite ; chaque sous-traitant doit être préalablement accepté et ses conditions de paiement agréées par l’ANCV.