Vente de logiciels au secteur public et à la santé de l'UE

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2014/24/EU on public procurement
• Regulation (EU) 2022/2554 — DORA for financial supervisors
• Regulation (EU) 2023/2841 on cybersecurity in Union entities

Qui doit le désigner

Fournisseurs en dehors de l'Union vendant des logiciels ou des services à des autorités publiques, des hôpitaux ou des écoles dans l'UE. Le minimum légal est un représentant de l'article 27 ; l'exigence pratique imposée par les marchés publics est généralement bien plus, y compris la résidence des données dans l'UE, le support basé dans l'UE et des garanties contractuelles contre l'accès de pays tiers.

Seuils et exemptions

Pas de seuil légal. Les seuils de passation de marchés déterminent quelle procédure d'appel d'offres s'applique, mais les exigences en matière de données s'appliquent à toute taille de contrat.

Ce qui doit figurer sur l’étiquette

Non physique. Le représentant dans l'avis de confidentialité et dans la documentation de l'appel d'offres, ainsi que la liste des sous-traitants, la déclaration de localisation des données et l'analyse des transferts.

Champs des marketplaces

C'est ici que la conformité décide des revenus : plusieurs États membres ont exclu ou restreint les services cloud basés aux États-Unis dans la santé publique et l'éducation après des évaluations de transfert, et les questionnaires d'appel d'offres demandent désormais directement des informations sur l'accès des pays tiers aux données, y compris en vertu des lois étrangères sur la surveillance.

Documents à conserver

Registres de l'article 30, conditions de l'article 28 répondant aux clauses types que de nombreux acheteurs publics imposent, désignation de l'article 27, évaluation de l'impact des transferts abordant l'accès gouvernemental dans la juridiction d'origine du fournisseur, liste des sous-traitants avec notification de changement, droits d'audit, plans de sortie et de retour des données, et certifications de sécurité exigées par l'acheteur.

Normes et essais

Les audits de sécurité et les tests de pénétration sont des exigences contractuelles dans la plupart des appels d'offres publics, et certains États membres exigent des certifications nationales spécifiques.

Exigences linguistiques

Documentation et support dans la langue de l'autorité contractante, ce qui est une exigence stricte dans la plupart des appels d'offres publics.

À partir de quand

Avant de répondre à un appel d'offres, car la documentation est évaluée dans le cadre de l'offre plutôt qu'après l'attribution.

Durée de conservation

Conformément au contrat et aux règles de conservation de l'autorité, avec suppression vérifiée à la sortie, ce que les acheteurs exigent de plus en plus d'être démontrable.

En cas de manquement

Exclusion de la passation de marchés, résiliation de contrat et amendes RGPD. Sur le plan réputationnel, une autorité publique résiliant un contrat pour des raisons de protection des données est signalée et cela affecte chaque offre ultérieure.

Qui contrôle

Autorités de protection des données, autorités contractantes et organes de surveillance nationaux, et dans le secteur de la santé, les régulateurs sectoriels.

Où se situe la limite

Le représentant de l'article 27 est nécessaire mais loin d'être suffisant pour ce marché. Ce qui décide des appels d'offres, c'est la résidence des données, l'évaluation de l'impact des transferts et si le fournisseur est soumis à des lois de pays tiers obligeant à la divulgation. Les fournisseurs qui considèrent cela comme un exercice administratif perdent les contrats.

Les questions qu’on nous pose

Un représentant de l'UE suffit-il pour vendre à des acheteurs publics ?

Légalement, cela satisfait à l'article 27. Commercialement, les acheteurs publics exigent généralement également la résidence des données dans l'UE, un support de l'UE et une évaluation de l'impact des transferts défendable.

L'hébergement dans l'UE résout-il le problème des transferts ?

Cela aide mais ne le résout pas. Si la société mère est soumise à des lois obligeant à la divulgation des données auxquelles elle peut accéder, l'évaluation doit en tenir compte, et plusieurs autorités ont trouvé que l'hébergement dans l'UE seul était insuffisant.