En RGPD, DPA signifie Data Processing Agreement : c’est le contrat de sous-traitance que l’article 28 du RGPD impose dès qu’un prestataire traite des données personnelles pour votre compte. Il fixe ainsi ce que le prestataire peut faire des données, sa sécurité, ses propres sous-traitants, la conduite à tenir en cas de violation et le sort des données en fin de contrat.
Le DPA RGPD, un outil incontournable avec vos sous-traitants
Le DPA, Data Processing Agreement est un outil incontournable pour assurer une relation contractuelle conforme entre un responsable de traitement et son sous-traitant. En effet, en prévoyant des obligations claires et des mécanismes de contrôle, il permet de garantir la protection des données personnelles et d’éviter d’éventuelles sanctions.
Les entreprises doivent donc veiller à formaliser ces accords avec tous leurs prestataires traitant des données personnelles, et s’assurer que ceux-ci respectent pleinement le cadre du RGPD.
Depuis son entrée en application en mai 2018, le Règlement Général sur la Protection des Données (RGPD) impose des obligations strictes aux entreprises qui collectent et traitent des données personnelles. L’article 28 du RGPD définit le cadre légal de la relation entre les responsables de traitement et leurs sous-traitants, en exigeant notamment la mise en place d’un contrat de sous-traitance, aussi appelé Data Processing Agreement (DPA).
Qu’est-ce qu’un Data Processing Agreement (DPA) ?
Un DPA est un document contractuel qui formalise la relation entre un responsable du traitement des données et un sous-traitant. Il vise à garantir que le sous-traitant respecte les obligations du RGPD en matière de protection des données personnelles.
En français, on parle aussi de contrat de sous-traitance ou de clauses RGPD annexées au contrat de prestation. Le nom importe toutefois peu : un DPA se reconnaît aux mentions de l’article 28, paragraphe 3. L’article admet aussi un autre acte prévu par le droit de l’Union ou d’un État membre, et exige un écrit, le format électronique étant accepté.
Pourquoi un DPA est-il obligatoire ?
Le RGPD impose aux entreprises de s’assurer que leurs partenaires sous-traitants respectent des normes élevées en matière de sécurité et de confidentialité des données. Sans ce contrat, un responsable de traitement ne peut pas démontrer sa conformité en cas de contrôle par une autorité de protection des données, comme la CNIL en France.
L’obligation pèse d’ailleurs sur les deux parties : le responsable ne choisit que des sous-traitants offrant des garanties suffisantes (article 28, paragraphe 1), et le sous-traitant a ses propres obligations (registre, sécurité, alerte en cas de violation).
Quand faut-il un DPA RGPD, et quand un autre contrat s’impose
Il faut un DPA chaque fois qu’un prestataire traite des données personnelles pour votre compte et selon vos instructions. La CNIL insiste d’ailleurs : la qualification dépend des faits (qui décide, qui exécute), pas de ce que les parties écrivent. Les lignes directrices 07/2020 du CEPD détaillent également ces critères.
La CNIL précise aussi que l’obligation vaut pour les prestations qui n’impliquent qu’un accès ponctuel aux données, comme une opération de maintenance.
| Situation | Qualification habituelle | Document à prévoir |
|---|---|---|
| Logiciel SaaS | Sous-traitant | DPA, souvent fourni par l’éditeur |
| Logiciel installé | Pas de sous-traitance si l’éditeur n’accède jamais aux données | Contrat de licence, pas de DPA |
| Partenaire qui décide avec vous | Responsable conjoint (article 26) | Accord de responsabilité conjointe, pas un DPA |
| Prestataire qui réutilise | Responsable pour sa propre utilisation (article 28, paragraphe 10) | DPA pour votre traitement, base légale à vérifier pour sa réutilisation |
Un expert-comptable, par exemple, peut être sous-traitant pour certaines missions et non pour d’autres : voir Expert-comptable : sous-traitant ou conseiller RGPD ?. En cas de doute, la CNIL recommande de documenter le raisonnement qui a conduit à la qualification retenue.
Les éléments obligatoires d’un contrat de sous-traitance RGPD
Un DPA conforme à l’article 28 du RGPD doit contenir plusieurs clauses essentielles :
1. Description du traitement effectué par le sous-traitant
- Nature et finalité du traitement des données personnelles.
- Catégories de données traitées et personnes concernées.
L’article 28 ajoute également l’objet et la durée du traitement. Pourtant, sur le terrain, c’est la partie la plus souvent bâclée : un « traitement de données clients » ne dit pas si le prestataire peut faire des statistiques. Nommez donc les opérations (hébergement, routage d’e-mails, support), les données et la durée, comme dans la fiche du registre.
2. Obligations et droits du responsable de traitement
- Le responsable du traitement doit fournir des instructions claires au sous-traitant.
- Il doit également pouvoir auditer le sous-traitant pour vérifier la conformité aux obligations RGPD.
3. Obligations du sous-traitant
- Ne traiter les données que sur instructions documentées du responsable du traitement.
- Garantir la confidentialité et la sécurité des données.
- Aider le responsable du traitement à remplir ses obligations (ex. gestion des droits des personnes concernées).
Cette aide couvre aussi la sécurité, les violations et l’analyse d’impact (articles 32 à 36). Enfin, le sous-traitant doit avertir immédiatement son client s’il estime qu’une instruction viole la réglementation.
4. Gestion des sous-traitants ultérieurs
- Le sous-traitant ne peut sous-traiter une partie de son activité sans l’accord du responsable de traitement.
- Les sous-traitants ultérieurs doivent aussi respecter les mêmes obligations RGPD.
L’accord prend la forme d’une autorisation écrite préalable, spécifique (prestataire par prestataire) ou générale. Si elle est générale, vous devez être informé de tout ajout ou remplacement et pouvoir vous y opposer. Par ailleurs, le sous-traitant initial reste pleinement responsable devant vous des manquements de ses propres sous-traitants. Voir aussi la sous-traitance en cascade.
5. Sécurité et conservation des données
- Mise en place de mesures techniques et organisationnelles appropriées pour protéger les données.
- Suppression ou restitution des données à la fin du contrat.
Le choix entre suppression et restitution appartient au responsable du traitement, copies comprises. Prévoyez donc un format et un délai de restitution.
6. Transferts de données hors de l’UE
- Encadrement des transferts internationaux via des clauses contractuelles types ou d’autres mécanismes de protection reconnus.
Toutefois, ne confondez pas les deux jeux de clauses publiés par la Commission le 4 juin 2021 : la décision 2021/915 pour le contrat de sous-traitance (article 28), la décision 2021/914 pour les transferts vers des pays tiers. Autrement dit, les secondes ne remplacent pas les premières.
7. Notification des violations de données au responsable
Le sous-traitant doit notifier au responsable du traitement toute violation de données dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2). C’est ensuite au responsable de notifier la CNIL, si possible dans les 72 heures. Fixez donc dans le DPA un délai court et un contenu minimal pour l’alerte du prestataire, sinon vos 72 heures filent avant même que vous soyez informé. Notre tutoriel pour notifier une violation de données détaille la suite.
| Article 28.3 | Ce que le DPA doit prévoir | Ce que l’on vérifie en relisant |
|---|---|---|
| Point a) | Traitement sur instruction documentée, y compris pour les transferts | Instructions écrites, aucune utilisation pour ses propres besoins |
| Point b) | Confidentialité des personnes autorisées | Engagement de confidentialité des intervenants |
| Point c) | Mesures de sécurité de l’article 32 | Annexe sécurité concrète : chiffrement, sauvegardes, accès |
| Point d) | Conditions de recours à un autre sous-traitant | Liste des sous-traitants ultérieurs, droit d’opposition |
| Point e) | Aide pour les demandes de droits | Délai de transmission des demandes reçues |
| Point f) | Aide pour la sécurité, les violations, l’AIPD | Délai et contenu de l’alerte en cas de violation |
| Point g) | Suppression ou restitution en fin de prestation | Choix du client, délai, attestation de destruction |
| Point h) | Informations et audits, y compris inspections | Droit d’audit réel, pas seulement un certificat |
Toutefois, recopier l’article 28 ne suffit pas : la CNIL demande d’adapter chaque mention à la situation des parties.
Les clauses types de la Commission et le modèle DPO PARTAGE
L’article 28, paragraphe 6, permet de fonder le contrat, en tout ou en partie, sur des clauses contractuelles types. Ainsi, celles de la Commission (décision 2021/915) satisfont aux exigences de l’article 28, paragraphes 3 et 4, à condition de remplir sérieusement leurs annexes : description du traitement, sécurité, sous-traitants ultérieurs.
Pour un contrat plus court, DPO PARTAGE met aussi à disposition un modèle gratuit de Data Processing Agreement. Toutefois, la description du traitement et l’annexe sécurité restent à compléter, et le guide pratique de l’article 28 aide à remplir chaque rubrique.
Relire le DPA RGPD d’un éditeur SaaS ou d’un fournisseur d’IA
Face à un grand éditeur, le DPA est souvent imposé. Il reste à le lire, car il dit ce que le prestataire fera vraiment de vos données. Dans nos relectures, les mêmes points reviennent :
- La réutilisation des données (statistiques, entraînement de modèles d’IA) : si le prestataire en décide seul, il devient responsable de ces usages (article 28, paragraphe 10).
- La liste des sous-traitants ultérieurs : souvent une page web qui évolue. Vérifiez donc l’information et le droit d’opposition.
- Le délai d’alerte en cas de violation, à confronter à vos propres 72 heures.
- L’audit : beaucoup de DPA remplacent l’audit par la remise de rapports de certification. L’article 28 prévoit aussi les inspections.
- La localisation : hébergement, accès du support depuis un pays tiers.
- La fin du contrat : délai de suppression et export.
Situation fréquente sur le terrain : un outil en ligne adopté d’un clic, dont personne n’a archivé le DPA. Téléchargez-le donc dès l’adhésion et rangez-le avec la fiche du registre.
Faire vivre le DPA RGPD après la signature
Un DPA signé puis oublié protège mal : le prestataire change d’hébergeur, la prestation s’étend, le contrat doit suivre. Ainsi, toute opération non prévue devrait faire l’objet d’une renégociation ou au moins d’instructions écrites, rappelle la CNIL.
- Inventoriez vos prestataires qui touchent à des données personnelles, à partir des factures et des accès informatiques.
- Reliez ensuite chaque DPA au traitement concerné dans votre registre : votre registre mentionne les destinataires (article 30, paragraphe 1), et le sous-traitant tient le sien (paragraphe 2).
- Prévoyez aussi une revue à chaque renouvellement ou changement de sous-traitant ultérieur.
- Enfin, conservez les preuves : version signée, questionnaires de sécurité, audits.
DPO Suite, l’application de conformité de DPO PARTAGE, organise d’ailleurs ce suivi : le registre des sous-traitants y est relié aux traitements et aux logiciels.
L’importance de la conformité RGPD pour les entreprises
Un DPA bien rédigé est indispensable pour éviter les sanctions des autorités de protection des données. Les entreprises doivent donc s’assurer que leurs sous-traitants appliquent des mesures rigoureuses pour garantir la sécurité et la confidentialité des données personnelles.
Sanctions encourues en cas de non-respect
En cas de non-respect du RGPD, une entreprise encourt des amendes pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Un DPA conforme est donc une pièce essentielle pour prouver sa diligence et limiter les risques légaux.
La responsabilité du sous-traitant envers les personnes
Par ailleurs, une personne lésée peut demander réparation au responsable ou au sous-traitant. Toutefois, ce dernier n’en répond que s’il a manqué à ses obligations propres ou agi hors des instructions licites du responsable (article 82). Des instructions écrites et précises dans le DPA servent donc aussi de preuve.
Testez vos connaissances sur le DPA RGPD
A. Data Processing Agreement
B. Data Protection Authority
A. Il peut le faire librement s’il reste dans l’UE
B. Il lui faut une autorisation écrite préalable du responsable
A. 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial
B. 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial
Votre score
- 3 bonnes réponses : vous savez relire un DPA.
- 2 : relisez alors le tableau des mentions de l’article 28.
- 0 ou 1 : partez plutôt du modèle gratuit et du guide de l’article 28.
Sources officielles
- Règlement (UE) 2016/679 (RGPD), articles 26, 28, 30, 33, 82, 83 et 99, EUR-Lex
- Décision d’exécution (UE) 2021/915 de la Commission du 4 juin 2021 relative aux clauses contractuelles types entre les responsables du traitement et les sous-traitants, EUR-Lex
- Décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021 relative aux clauses contractuelles types pour le transfert de données vers des pays tiers, EUR-Lex
- Responsable de traitement et sous-traitant : 6 bonnes pratiques pour respecter les données personnelles, CNIL
- Responsable du traitement, sous-traitants : comment bien identifier son rôle ?, CNIL
- Lignes directrices 07/2020 concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, EDPB
- Nos membres, EDPB
Questions fréquentes
Que veut dire DPA en RGPD ?
En RGPD, DPA veut dire Data Processing Agreement, le contrat de sous-traitance exigé par l’article 28 entre un responsable du traitement et son sous-traitant.
En anglais, le même sigle désigne aussi une Data Protection Authority, une autorité de contrôle comme la CNIL. Ainsi, un document à signer renvoie à l’accord, alors qu’une notification renvoie à l’autorité.
Le DPA RGPD est-il obligatoire avec tous les prestataires ?
Non, le DPA est obligatoire avec les prestataires qui traitent des données personnelles pour votre compte, c’est-à-dire vos sous-traitants au sens du RGPD.
En revanche, un partenaire qui décide avec vous des finalités est responsable conjoint (article 26). De même, un fournisseur qui n’accède jamais aux données n’a pas besoin de DPA.
Quelles clauses doit contenir un contrat de sous-traitance RGPD ?
Un contrat de sous-traitance RGPD doit décrire le traitement (objet, durée, nature, finalité, données, personnes concernées) et reprendre les huit obligations de l’article 28, paragraphe 3.
Ces obligations couvrent notamment les instructions documentées, la confidentialité, la sécurité, l’encadrement des sous-traitants ultérieurs, l’aide pour les droits et les violations, le sort des données en fin de contrat et les audits.
Peut-on utiliser un modèle de DPA gratuit ?
Oui, un modèle de DPA peut servir de base, à condition de compléter la description du traitement et l’annexe sécurité de chaque prestation.
La Commission a ainsi publié des clauses types (décision 2021/915), et DPO PARTAGE propose un modèle gratuit de Data Processing Agreement en français.
Quelle différence entre un DPA et les clauses contractuelles types ?
Le DPA est le contrat de sous-traitance lui-même, alors que les clauses contractuelles types sont des modèles de clauses adoptés par la Commission que l’on peut y intégrer.
Ainsi, la décision 2021/915 vise le contrat de l’article 28, alors que la décision 2021/914 vise les transferts vers des pays tiers.
Faut-il un DPA pour un outil SaaS ou une IA générative ?
Oui, dès que l’outil SaaS ou le service d’IA traite des données personnelles pour votre compte, un DPA est nécessaire, et l’éditeur le fournit généralement.
Lisez donc en priorité les clauses sur la réutilisation des données, notamment pour entraîner des modèles, et la liste des sous-traitants ultérieurs.
- Modèle de Data Processing Agreement à télécharger
- Article 28 du RGPD : sous-traitants, contrat et obligations
- Sous-traitance en cascade RGPD : la chaîne maîtrisée
