2023M131_RGPD-GRC - Accord-cadre de fournitures relatif à la mise en place d’un outil de gouvernance de la protection des données à caractère personnel et pour une gestion des risques de la sécurité de l’information au sein du SPW

Le présent accord-cadre est un marché de fourniture dont l’objet vise la mise à disposition en mode SaaS (Software as a Service) et pour les raisons de sécurité en mode OnPrem d’un outil de gouvernance de la protection des données à caractère personnel (Partie I) et pour une gestion des risques de type GRC de la sécurité de l’information au sein du SPW (Partie II). Le présent marché est un marché mixte au sens de l’article 20 de la loi, portant à la fois sur des services (le support et la formation des solutions logicielles) et sur des fournitures (souscription de licences). En l’occurrence, le marché doit être considéré comme étant de fournitures au sens de l’article 2, 20° de la loi.

Le présent marché public prend la forme d’un accord-cadre via lequel seront passées des commandes visant à souscrire et assurer le support des licences visées à l’inventaire et de fournir des prestations à la demande ou en mode projet. Cet accord-cadre sera conclu avec un seul opérateur économique. L’accord-cadre contient les termes régissant les marchés subséquents (commandes) à passer au cours de la durée de l’accord-cadre.

Les modalités relatives à la conclusion des marchés passés sur base du présent accord-cadre sont reprises dans le point « Passation et attribution des marchés subséquents » ci-dessous. Ces fournitures relèvent du code CPV : 48000000-8 Enumération (et détail éventuel) des prestations à exécuter : - Livraison - Montage/Installation - Mise en service - Entretien (maintenances, mises à jour) - Formation - Service après-vente (support, helpdesk) i) Partie I : Règlement général sur la protection des données (RGPD) Dans le cadre de ses missions, le Service public de Wallonie est amené à effectuer de nombreux traitements de données à caractère personnel. Ces traitements ont des finalités diverses, comme : « l’octroi d’une prime à l’énergie » ou « l’imposition d’une taxe de mise en circulation de véhicule ».

Le SPW traite également de données à caractère personnel dans le cadre de la gestion de ses ressources humaines. Afin de se conformer à cette réglementation et de documenter son respect, le SPW souhaite se doter d’une solution informatisée de gouvernance et protection des données à caractère personnel. Cet outil est largement plébiscité par la Cellule de Protection des Données du Secrétariat Général et par les Correspondants en protection des données (CPD) des Directions Générales du SPW qui l’estiment indispensable pour aider les responsables des traitements à se conformer au RGPD.

La partie RGPD nécessite de :

• Disposer d’une solution logicielle permettant : - La gestion du registre des activités de traitement conformément à l’article 30 §1 et §2 du RGPD ; - La gestion du registre des sous-traitants et des co-responsables de traitement au sens du RGPD ; - La gestion des analyses d'impact sur la protection des données conformément aux exigences du RGPD ; - La gestion des violations de données conformément aux exigences de l’article 33§5 du RGPD et aux directives des autorités de protection des données compétentes ; - La gestion de workflow (flux de travail), de formulaires et de modèles de documents ; - La réalisation de dashboard, de rapports et des outils de recherches multicritères. ii) Partie II : Conformité aux normes et réglementations applicables en matière de sécurité de l’information Le SPW doit également se conformer à des normes et réglementations en matière de sécurité de l’information. A cette fin, il souhaite se doter d’un outil de gestion intégrée des risques de sécurité, de gouvernance, d’audit et de conformité (solution dénommée ci-après « Solution GRC » pour Gouvernance Risques Conformité). Cet outil est largement plébiscité par le Pôle Sécurité du SPW Digital qui souhaite disposer d’une plateforme commune avec la Cellule de Protection des Données. Cet outil devra permettre au SPW de respecter les normes et réglementations actuelles mais aussi leurs modifications attendues. En particulier, l’application logicielle devra permettre au SPW de se conformer aux nouvelles exigences de la directive Network and Information Security 2 (NIS2) qui étend son champ d’application aux administrations publiques (Annexe I). La directive « NIS2 » a été transposée en droit belge par la loi du 26 avril 2024 établissant un cadre pour la cybersécurité des réseaux et des systèmes d’information d’intérêt général pour la sécurité publique. Enfin, l’arrêté royal du 9 juin 2024 a été pris en exécution de ladite loi. L’entrée en vigueur de cette loi entrera est fixée au 18 octobre 2024. La partie Gouvernance Risques Conformité (GRC) nécessite de :
• Disposer d’une solution logicielle permettant : - La gestion des risques de sécurité informatique ; - La conformité aux réglementations et normes applicables ; - La gestion des audits de sécurité. - La gestion de la chaine d’approvisionnement Le détail des prestations visées ci-dessus est exposé dans les prescriptions techniques (Partie 2 – CLAUSES TECHNIQUES). Le soumissionnaire propose une solution logicielle de type Saas hébergée sur le Cloud et une solution OnPrem, l’application et les données enregistrées devront impérativement être hébergées et sauvegardées sur un serveur localisé dans un territoire d’un Etat membre de l’Union européenne. Ceci ne peut pas être transféré en dehors de l’UE sans accord officiel de l’adjudicataire. Les prestations du présent marché seront réparties suivant les postes suivants :
• Poste 1 : Mise en œuvre et gouvernance
• Poste 2 : Licences et droits d’utilisation (souscription, maintenance, renouvellement des licences)
• Poste 3 : Formation
• Poste 4 : Régie.