L'autorité polonaise de protection des données (UODO) et l'Office des marchés publics ont organisé une conférence sur les défis de la protection des données dans le cadre des marchés publics face aux nouvelles technologies.

Le président de l'UODO a souligné que les marchés publics impliquent un traitement croissant de données personnelles, rendant la gestion des risques essentielle pour la sécurité de l'État. La présidente de l'Office des marchés publics a rappelé que les quelques 150 000 procédures annuelles en Pologne constituent un vaste écosystème de données où le RGPD s'applique à chaque marché, augmentant le risque d'incidents. Elle a insisté sur l'importance d'intégrer la protection des données dès la phase de planification, en précisant que la transparence des procédures ne doit pas être confondue avec une disponibilité totale des données et que la conformité est un investissement.

Une directrice de l'UODO a relevé que la protection des données est souvent négligée dans les marchés publics, rappelant que la responsabilité du traitement incombe à l'adjudicateur (responsable du traitement) et n'est pas transférée à l'exécutant (sous-traitant). Les obligations des article 28 et article 32 du RGPD doivent être intégrées dans la documentation et les contrats, bien que de nombreux exécutants déclarent des mesures de sécurité sans avoir réalisé d'analyse de risque préalable. La sécurité d'un marché public doit donc être conçue bien avant le lancement de la procédure.

Les intervenants ont également abordé la nécessité d'appliquer la protection des données dès la conception (article 25 du RGPD) et le rôle consultatif de l'inspecteur à la protection des données. L'usage de l'intelligence artificielle dans l'administration publique a été discuté, notamment son potentiel pour l'analyse des offres et la détection d'anomalies. D'autres sujets ont été traités, comme le conflit entre la publicité des procédures et le secret des affaires, les règles de conservation des documents en lien avec le droit à l'oubli (article 17 du RGPD), et le fait que l'acquisition de logiciels impose également les règles de traitement des données qu'ils contiennent.