La protection des données et l'achat de services en lignes par les organismes de droit public

Tout bien ou service acheté par un organisme de droit public est soumis aux règles des «marchés publics» . La protection des données s'applique, quant à elle, à tout traitement de données à caractère personnel, et pose notamment des règles aux sujets de la sous-traitance de traitements de données à caractère personnel. L' achat de services pour le traitement de données à caractère personnel tombe ainsi dans le champ d' application des deux régimes.
Toutefois aucun des textes en vigueur ne prend explicitement en compte les règles du voisin.
Cette courte contribution a pour objectif de discuter de la problématique du ''xxx-as-a-Service" et de proposer des bonnes pratiques (principalement européennes et allemandes) pour une meilleure prise en compte des règles de protection des données lors de sélection et de contractualisation, et de l'implémentation par des entités publiques. Les bonnes pratiques répertoriées peuvent également être utilisées par les organisations régies par le droit privé malgré l'absence de contraintes réglementaires générales lors d'achat de biens et de services.
Chloë Lellinger, du Data Protection Office du LISER, nous en dit plus.