Les exigences qu’une commune vaudoise doit imposer à son fournisseur informatique

Publié le 30 juin 2026 · mis à jour le 16 août 2026

Le domicile d’un fournisseur et son label de conformité ne disent rien de la loi applicable à une commune. Commencer par le RGPD, comme le font beaucoup de propositions, masque la loi cantonale qui gouverne les traitements de la commune elle-même.

La loi cantonale est le point de départ

Pour un organe public, la protection des données relève du droit cantonal. Dans le canton de Vaud, l’autorité cantonale surveille l’application de la LPrD. La LPD révisée, elle, encadre les traitements privés : elle couvre les activités propres du fournisseur, et non, en règle générale, celles de la commune dans l’exercice de sa mission publique. Le RGPD ne vise pas davantage la commune du seul fait que des données personnelles circulent, même s’il peut devenir applicable lorsque les conditions de son article 3 sont réunies. Un fournisseur qui se contente de répondre « nous sommes conformes au RGPD » n’a donc pas répondu à la question communale.

Attribuer le mandat : les seuils

Une commune n’achète pas librement : elle applique l’accord intercantonal sur les marchés publics (AIMP 2019) et sa loi cantonale d’exécution. Pour les prestations de services, les seuils vaudois sont, hors TVA : adjudication directe en dessous de CHF 150 000 ; procédure d’invitation dès CHF 150 000 et jusqu’à moins de CHF 250 000 ; procédure ouverte ou sélective dès CHF 250 000.

Découper artificiellement un marché pour rester sous un seuil est interdit. La commune additionne la durée, les options, les renouvellements, les lots et les prestations connexes selon les règles applicables. Un engagement de trois ans à CHF 60 000 par an vaut CHF 180 000, ce qui relève ordinairement d’une procédure d’invitation. Un contrat annuel d’assistance ne devient pas pour autant une adjudication directe séparée.

Le contrat n’est pas une formalité

Quand j’examine un contrat communal, je lis la clause de sortie avant tout le reste. Un contrat qui ne dit pas comment il prend fin engage la commune bien au-delà de sa durée.

L’art. 18 LPrD encadre le traitement confié à un prestataire, la commune restant responsable du traitement qu’elle confie. Le contrat consigne les instructions et les mesures de sécurité ; il ne rend licite ni une finalité, ni une collecte, ni un transfert auxquels la base légale fait défaut. La checklist actuelle de l’autorité vaudoise, datée du 6 août 2025 donne le cadre de travail. Voici ce que le contrat doit contenir :

traitement uniquement sur instruction de la commune, signalement immédiat des incidents pertinents, et contrôle de toute communication à un tiers
lieux de traitement et d’accès approuvés, sous-traitants ultérieurs compris, avec les mesures de sécurité qu’appellent les données et les risques
droits d’audit ou garanties équivalentes, et appui en temps utile pour l’exercice des droits des personnes concernées
à la fin du contrat : données restituées dans un format lisible, copies détruites, transition organisée vers un successeur
droit suisse et for suisse

La clause de sortie est celle que tout le monde néglige à la signature et regrette au départ : sans elle, changer de prestataire revient à négocier pour récupérer ses propres données.

Le secret de fonction suit les données

Lorsque les données confiées relèvent du secret de fonction, le contrat impose une confidentialité adaptée au rôle du personnel autorisé et restreint strictement l’accès. Qualifier chaque employé du fournisseur d’« auxiliaire » ne suffit pas à établir le statut pénal : le mandat, les instructions, le besoin d’accès et le droit cantonal entrent tous en compte. Faites confirmer le point par un juriste pour les données couvertes par une obligation légale de secret.

La position à écrire sur les données sensibles et le CLOUD Act

La checklist vaudoise recommande une vigilance particulière lorsqu’un partenaire soumis au CLOUD Act américain peut accéder à des données sensibles. Elle indique qu’à défaut de base légale suffisante, le chiffrement, avec la clé gardée en Suisse par la commune ou par un tiers indépendant, peut être déterminant. L’adhésion au cadre suisse-américain de protection des données, le Swiss–US Data Privacy Framework, ne supprime pas à elle seule le risque d’accès par les autorités. Demandez où résident les données, mais aussi qui peut les atteindre, depuis où, sous quel droit et avec quelles clés.

Les documents signés par la Municipalité sont publics

Selon la loi vaudoise sur la transparence, un contrat détenu par une commune peut être un document officiel, accessible en principe. Les exceptions légales gardent leur effet, en particulier la protection de la sphère privée et certains secrets d’affaires. Le contrat doit donc résister à un examen public, et toute demande de caviardage s’appuyer sur une base légale précise.

Six questions avant de signer

Le montant total, sur toute la durée, reste-t-il en dessous du seuil invoqué ?
Les lieux de traitement et d’accès sont-ils approuvés, sous-traitants ultérieurs compris ?
L’accès à des informations couvertes par le secret de fonction est-il nécessaire, nommé, restreint et validé juridiquement ?
Qui, dans la chaîne du fournisseur, dépend d’un droit étranger, et qui détient les clés ?
Sous quel format, et dans quel délai, la commune récupère-t-elle ses données à la fin ?
Quelles clauses sont communicables, et quel motif légal justifierait un caviardage ?

Les bases légales citées

Cet article décrit le cadre vaudois et ne constitue pas un conseil juridique. Chaque canton a ses propres règles, et la valeur du marché comme la licéité d’un traitement dépendent des faits. Faites valider le dossier par le service juridique de l’association des communes ou par un avocat spécialisé.

Textes consultés le 14 août 2026.