Une commune prépare le remplacement de son application de gestion. Deux fournisseurs proposent des fonctions comparables, mais leurs offres répartissent différemment l’hébergement, l’assistance et l’accès aux données. La comparaison doit relier ces choix aux règles d’achat et aux responsabilités de la commune.
Le domicile du fournisseur et ses certifications apportent des informations utiles sans déterminer, à eux seuls, le cadre applicable. La commune commence par décrire sa mission, les traitements envisagés et la durée de l’engagement. Elle peut ensuite comparer les engagements contractuels et les contrôles attendus sur le périmètre soumis à l’achat.
Identifier la mission et le régime applicable
Dans l’exercice de ses tâches publiques, une commune vaudoise relève en principe de la législation cantonale sur la protection des données. La LPrD et les indications de l’autorité vaudoise constituent donc le point de départ. La LPD fédérale régit notamment les traitements des personnes privées et des organes fédéraux ; elle ne remplace pas automatiquement le cadre cantonal de la commune.
Le fournisseur peut avoir ses propres obligations pour ses activités privées. Le contrat doit cependant répondre aux exigences du traitement que la commune lui confie. Une déclaration générale de conformité au RGPD ne décrit ni la base légale de ce traitement ni les instructions qui encadrent son exécution.
Pour l’application de gestion de notre exemple, la commune identifie les catégories de données, les personnes concernées, les finalités et les agents autorisés. Elle précise les besoins d’échange avec les autres administrations et les durées de conservation. Ces éléments permettent de vérifier qu’une fonction proposée correspond à une tâche autorisée.
Calculer la valeur totale de l’engagement
La procédure de marché public dépend notamment de la valeur estimée du marché. La commune tient compte de la durée, des options, des renouvellements et des prestations liées selon les règles applicables. L’estimation doit couvrir l’ensemble de l’engagement et non la seule dépense de la première année.
Pour les services, l’aide-mémoire vaudois présente les seuils ci-dessous, hors TVA.
| Valeur du marché | Procédure ordinaire indiquée |
|---|---|
| Moins de CHF 150 000 | Gré à gré |
| Dès CHF 150 000 et moins de CHF 250 000 | Sur invitation |
| Dès CHF 250 000 | Ouverte ou sélective |
Un engagement ferme de trois ans à CHF 60 000 par an représente CHF 180 000 avant les autres éléments éventuellement à inclure. La commune examine donc normalement la procédure sur invitation sur ce périmètre. Elle ne peut pas diviser artificiellement les prestations pour rester sous un seuil.
Cette estimation sert aussi à comparer les offres. Une licence peu coûteuse peut s’accompagner de frais de reprise des données, d’interfaces ou d’exploitation. La commune demande les mêmes hypothèses aux candidats afin d’éviter de comparer un prix initial avec un coût de service sur plusieurs années.
Décrire les accès et les obligations dans le contrat
L’externalisation laisse à la commune la responsabilité du traitement qu’elle confie. Le contrat précise les instructions, les mesures de sécurité, les acteurs autorisés et les moyens de contrôle. Il ne crée pas la base légale d’une collecte ou d’une communication qui n’en dispose pas.
La liste de contrôle vaudoise du 6 août 2025 fournit un cadre pour examiner ces clauses. L’analyse porte sur les lieux de traitement et d’accès, les sous-traitants ultérieurs, la confidentialité, les incidents et la restitution des données.
Le contrat d’assistance et la configuration des accès identifient les personnes autorisées, les serveurs concernés et les opérations permises. La commune vérifie les comptes créés, les permissions, les logs disponibles et la procédure de retrait. Ces éléments précisent techniquement les conditions d’intervention prévues au contrat.
Lorsque les informations relèvent du secret de fonction, l’analyse précise également le statut et les obligations des personnes qui y accèdent. Le terme « auxiliaire » dans un contrat ne suffit pas à établir automatiquement toutes les conséquences pénales du mandat. La commune fait examiner les situations concernées par son conseil juridique.
Pour un fournisseur soumis à un droit étranger, l’examen couvre les possibilités d’accès des autorités, les clés et les protections effectivement applicables. La résidence des données en Suisse entre dans cette analyse, sans résoudre à elle seule la question. Le rapport fédéral sur le CLOUD Act décrit cette distinction.
Préparer la restitution et l’examen public du contrat
La sortie du service doit être possible dans les conditions prévues au contrat. La commune définit les formats, les délais, les métadonnées et l’assistance nécessaires à la passation. Un essai d’export sur des données représentatives permet de vérifier que le prochain prestataire pourra reprendre les dossiers, leurs pièces jointes et leur historique.
Le contrat précise aussi le sort des copies après la restitution, en tenant compte des obligations de conservation. L’organisation de la transition doit maintenir l’accès au service pendant la migration et attribuer clairement les responsabilités de chaque intervenant.
Un contrat détenu par une commune peut constituer un document officiel accessible en principe selon la législation vaudoise sur l’information. Les exceptions légales, notamment la protection de la sphère privée et de certains secrets d’affaires, demandent un examen précis. La commune ne peut donc pas présumer qu’une clause de confidentialité rend l’ensemble du document inaccessible.
Le dossier de décision réunit le périmètre de la prestation, sa valeur estimée, la procédure retenue, les conditions d’accès et les modalités de sortie. Cette continuité permet de choisir une offre sur des engagements comparables et de vérifier ensuite le service livré.
Sources et portée
- Canton de Vaud | protection des données
- Canton de Vaud | marchés publics
- Liste de contrôle des contrats de sous-traitance informatique
Ce cadre concerne le canton de Vaud. La qualification du marché, la procédure et la licéité des traitements dépendent du dossier ; le service juridique compétent valide les cas particuliers.