Intervention de Cédric O

Sur ce sujet, il faut être extrêmement précis. Le premier principe est la minimisation des données transmises par l'administration aux cabinets de conseil, ou aux personnes ayant vocation à les traiter. Si le cabinet a besoin d'informations, l'administration choisit un set de données et le lui transmet. Ce n'est pas le cabinet qui vient se servir dans les systèmes d'information de l'administration.

De plus, ces données sont circonscrites à une utilisation bien définie et elles doivent être effacées et supprimées à la fin de la mission. Elles sont soumises à l'ensemble des contraintes énoncées par le règlement général sur la protection des données (RGPD) : si ce sont des données sensibles, elles doivent être hébergées sur une infrastructure de confiance. Cela permet, sur la base d'un contrat, d'accorder les mêmes protections à ces données dans le cadre de leur utilisation par un prestataire extérieur et dans celui de leur utilisation par l'État. Et l'on veille tout particulièrement à empêcher toute fuite de ces données à l'occasion de ce type d'utilisation.