Accord de consortium (RGPD art. 26) — BROUILLON

Ce que cet accord vise à couvrir

Lorsque plusieurs organisations exécutent un même projet en consortium et partagent, via le Hub Futuh, des données à caractère personnel communes (bénéficiaires, personnel, fournisseurs), le RGPD art. 26 leur impose de convenir, de façon transparente, de la répartition de leurs obligations en tant que responsables conjoints du traitement. Cet accord en recueillera l’essence.

Parties

Les organisations membres du consortium qui acceptent de partager l’exécution d’un projet précis (l’organisation chef de file et ses partenaires), en tant que responsables conjoints.
Asamblea de Cooperación Por la Paz, en tant qu’entité exploitant le Hub Futuh et traitant les données pour le compte des parties selon les termes que fixera l’accord.

Répartition des obligations (dans les grandes lignes)

Chaque membre est responsable de la licéité des données qu’il révèle au consortium. La révélation de données personnelles en clair est décidée et effectuée toujours au sein de l’organisation d’origine, imputation par imputation et avec une finalité déclarée (justification au bailleur ou audit) ; par défaut, l’exécution circule pseudonymisée.
Quiconque accède à des données révélées ne peut les utiliser que pour la finalité déclarée ; tout usage secondaire est exclu. Le texte définitif restreindra en outre l’audience de la révélation à qui en a besoin pour cette finalité (l’organisation cheffe de file qui justifie auprès du bailleur et, le cas échéant, l’audit) ; dans la version actuelle de la plateforme, la donnée révélée est visible par tous les membres ayant accepté l’accord, et cette restriction d’audience est déclarée comme une évolution engagée.
Le Hub applique des mesures techniques communes : pseudonymisation par défaut, un journal des accès avec les événements de divulgation (publications d’exécution, téléchargements, acceptations, purges), consultable par tout membre du consortium (transparence symétrique), et une rétention bornée des données d’exécution, après quoi elles sont purgées.
La rétention par défaut est de 4 ans à compter de la fermeture du partage — alignée sur la prescription du reversement de l’art. 39 de la loi espagnole 38/2003 sur les subventions — et fonctionne comme un plancher, pas un plafond : la conservation suit dans tous les cas le délai exigé par la réglementation du bailleur du projet (les fonds européens et les bases réglementaires peuvent exiger des délais plus longs, et le décompte légal court à partir de l’échéance du délai de justification, pas de la fermeture technique). L’obligation de conserver les justificatifs « tant qu’ils peuvent faire l’objet de vérification et de contrôle » (art. 14.1.g de la même loi) est couverte par l’extension pour obligation légale (legal_hold).
L’exercice des droits des personnes concernées ainsi que la gestion des incidents et violations seront coordonnés entre les parties selon le détail du texte définitif.

Point de contact

Pour toute question de protection des données relative à la fédération et au consortium : [email protected].