Mission de délégué à la protection des données externe

Le prestataire reprend la mission du DPO externe en place et poursuit les travaux engagés depuis 2019, sans remettre à plat la démarche de conformité. Il est désigné DPO de l’organisme et déclaré auprès de la CNIL pendant la durée du marché. Le périmètre couvre les traitements liés à la gestion locative et du patrimoine, à la production et réhabilitation de logements sociaux, aux opérations d’aménagement urbain, au syndic de copropriété, à la vente de logements, aux ressources humaines et aux relations avec les fournisseurs et partenaires.

Reprise et suivi de la conformité

La reprise comprend une passation avec le DPO sortant et l’appropriation des documents et outils existants : registre et cartographie des traitements, AIPD, plan d’actions, procédures et supports de sensibilisation. Le prestataire évalue l’avancement, recense les AIPD à finaliser ou engager et établit une feuille de route actualisée.

Il assure ensuite le maintien continu de la conformité, notamment :

• mise à jour du registre au fil des nouveaux traitements, outils et sous-traitants ;
• poursuite et actualisation des AIPD nécessaires ;
• suivi des actions de conformité restantes, avec priorisation ;
• veille juridique et réglementaire, et mise à jour de la documentation et des procédures.

Accompagnement des personnes et pilotage

Le DPO accompagne le traitement des demandes d’exercice des droits des personnes concernées et sert d’interlocuteur auprès de la CNIL et des personnes concernées. En cas de violation de données, il contribue à l’analyse et, le cas échéant, à la notification à la CNIL et aux personnes concernées. Il poursuit les actions de sensibilisation et de formation des collaborateurs et présente un bilan annuel d’activité à la direction.

La mission peut être réalisée en présentiel et/ou à distance. Une réunion de passation avec le DPO sortant est prévue dans le mois suivant la notification ; un point d’avancement avec le relais Informatique et Libertés est assuré au minimum chaque trimestre.

Livrables et exigences

Les livrables attendus comprennent le compte rendu de passation, le registre actualisé, les AIPD finalisées ou actualisées, le plan d’actions actualisé avec suivi d’avancement, les procédures d’exercice des droits et modèles de mentions d’information, les supports de sensibilisation et de formation, une procédure de gestion des violations et le bilan annuel du DPO. Le prestataire est tenu à une stricte confidentialité ; les livrables produits ou mis à jour appartiennent à l’organisme, sous réserve des droits attachés aux méthodologies et outils propres au prestataire.