Prix de mémoire du CRDT
M. Théo Simon, étudiant du Master 2 Droit public des affaires en 2024-2026 a obtenu le prix du meilleur mémoire décerné par le CRDT et le fonds Goutal et Alibert. Son mémoire porte sur "RGPD et commande publique". Félicitations également aux autres candidats dont les excellents mémoires ont retenu l'attention du jury composé de Arnaud Coutant, Anne Jussiaume, Julien Mouchette, Laurent Derboulles, Caroline Chaux, Yvon Goutal et Marine Fleury.
Résumé du mémoire:
La dématérialisation de la commande publique a engendré une prolifération des traitements de données à caractère personnel. Or, l’intégration des exigences du RGPD dans le droit de la commande publique reste assez largement embryonnaire.
La problématique interroge ainsi la compatibilité entre ces deux régimes juridiques : « la commande publique constitue-t-elle un cadre adapté à l’application du RGPD, ou bien les tensions persistantes entre logique contractuelle et impératifs de protection des données traduisent-elles l’existence de limites structurelles à cette conciliation normative ? ».
Il résulte de cette étude plusieurs constats.
I./ Bien qu’effective, l’application du RGPD aux contrats de la commande publique reste perfectible. L'étude révèle l'omniprésence des traitements de données à caractère personnel, conséquence directe des définitions extensives retenues par le RGPD. Toutefois, l'application des qualifications du RGPD aux acteurs de la commande publique reste délicate et implique une analyse casuistique. Cette situation est source de complexité, laquelle est aggravée par la coexistence de deux régimes de sous-traitance distincts qui ne se recoupent pas nécessairement, générant ainsi une confusion sémantique et terminologique. Malgré une volonté d’intégration visible, notamment via la réforme des cahiers des clauses administratives générales[1] (CCAG) en 2021, le respect du RGPD dépend encore largement de la vigilance et de la compétence des acheteurs publics.
II./ L'articulation entre les deux régimes demeure inachevée en raison de tensions structurelles persistantes. Le droit de la commande publique repose historiquement sur des considérations économiques, tandis que le RGPD impose une logique de compliance centrée sur la responsabilisation (accountability) des acteurs concernés. Cette confrontation se manifeste avec une acuité particulière dans le déséquilibre structurel entre transparence et confidentialité, où l'étude révèle une hiérarchie implicite entre secret des affaires et secret de la vie privée. Le sort des données au terme du contrat est un enjeu complexe (et souvent négligé) qui illustre parfaitement ces difficultés. L'absence de droit de propriété sur les données, conjuguée à la reconnaissance de droits de propriété intellectuelle sur les bases de données, crée un cadre juridique complexe que le droit de la commande publique peine à appréhender pleinement.
III./ Bien qu’ouvrant des perspectives inédites d'optimisation, l’IA renouvelle et amplifie ces problématiques. L'adoption du Règlement sur l'IA[2] (RIA) impose une approche intégrée (RGPD-RIA). La double conformité nécessite une gouvernance renouvelée des données passant par la désignation d’un référent et par une traduction contractuelle rigoureuse des obligations réglementaires. Le contrat s'affirme comme l'outil privilégié de cette gouvernance, permettant de transformer les exigences abstraites du RGPD et du RIA en obligations concrètes, mesurables et sanctionnables.
[1] Voir les articles 5.2 et suivants des CCAG
[2] Règlement UE 2024/1689 du 13 juin 2024