GDPR Data Processing Agreement Clauses Guide Clause By Clause Pour Les Ingénieurs

Article 28 du GDPR : CE que le texte exige vraiment

L'article 28, paragraphe 3, du GDPR fixe huit obligations contractuelles minimales. Un accord de traitement des données — DPA — qui en omet une seule n'est pas simplement incomplet : il est non conforme, et le traitement qu'il encadre perd sa base contractuelle. Le responsable du traitement s'expose aux sanctions de l'article 83, paragraphe 4, et les deux parties perdent un moyen de preuve essentiel en cas de contrôle.

Trois logiques structurent CE texte. Le sous-traitant n'agit que sur instructions documentées du responsable du traitement (article 28, paragraphe 3, point a). La chaîne de sous-traitance reste sous contrôle : tout sous-traitant ultérieur doit être autorisé et lié par les mêmes obligations (article 28, paragraphe 4). Enfin, le contrat doit prévoir sa propre fin, par la restitution ou la suppression des données (article 28, paragraphe 3, point g).

CE GDPR data processing agreement clauses guide clause by clause suit l'ordre de l'article 28. Il complète notre guide pratique sur les clauses du DPA et s'adresse aux ingénieurs et responsables qualité qui doivent valider un contrat, pas rédiger une politique de confidentialité.

Les clauses obligatoires, une par une

Objet, durée, nature et finalité (article 28, paragraphe 3)

La première phrase du contrat doit décrire le traitement, pas la prestation commerciale. Quatre éléments sont attendus : l'objet, la durée, la nature et la finalité du traitement, ainsi que le type de données personnelles et les catégories de personnes concernées.

En pratique, une annexe « description du traitement » vaut mieux qu'un paragraphe noyé dans les conditions générales. Elle liste les systèmes concernés, les flux, les catégories de données (identifiants, données de connexion, données de santé le cas échéant) et les personnes concernées (salariés, clients, prospects). Sans cette annexe, la clause d'instructions documentées devient inapplicable : on ne peut pas prouver qu'une instruction sort du périmètre si le périmètre n'est pas écrit.

Instructions documentées, confidentialité et sécurité

L'article 28, paragraphe 3, points a, b et c, impose trois engagements : traiter uniquement sur instructions documentées, garantir la confidentialité des personnes habilitées, et mettre en œuvre les mesures de sécurité de l'article 32.

Le point c est celui qui pose le plus de difficultés techniques. Il renvoie à l'article 32 : pseudonymisation et chiffrement, capacité à assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes, procédure de test régulier. Une clause qui se contente de « mesures de sécurité appropriées » sans annexe technique ne résiste pas à un contrôle. Les mesures doivent être nommées : chiffrement AES-256 au repos, TLS 1.3 en transit, gestion des accès par rôle, journalisation, sauvegardes testées.

Le point b vise les personnes habilitées : elles doivent être soumises à une obligation de confidentialité, contractuelle ou légale, qui survit à la fin de leur mission.

Sous-traitants ultérieurs et transferts hors Union européenne

L'article 28, paragraphe 4, encadre la sous-traitance en cascade. Deux modèles existent : l'autorisation écrite préalable, ou l'autorisation générale avec information préalable et droit d'opposition. Le second est plus courant, mais il exige une liste annexée des sous-traitants ultérieurs, tenue à jour, et un délai d'opposition réaliste.

Chaque sous-traitant ultérieur doit être lié par les mêmes obligations que celles du contrat principal. Le responsable du traitement reste responsable de bout en bout.

Pour les transferts hors UE, la clause doit identifier le mécanisme du chapitre V : décision d'adéquation, clauses contractuelles types de la décision d'exécution (UE) 2021/915, ou règles d'entreprise contraignantes. Une clause qui cite « les clauses types de la Commission » sans préciser le module applicable est inexploitable.

Assistance, violation de données et audit

Les points e, f et h de l'article 28, paragraphe 3, organisent la coopération. Le sous-traitant assiste le responsable du traitement pour les demandes d'exercice des droits, pour les analyses d'impact (article 35) et pour les consultations préalables (article 36).

Sur les violations, le texte exige une notification « sans délai injustifié ». Le délai de 72 heures de l'article 33 concerne le responsable du traitement, pas le sous-traitant — mais un DPA sérieux fixe un délai contractuel interne, souvent 24 ou 48 heures, avec un point de contact unique et un contenu minimal de notification.

Le droit d'audit (point h) doit être praticable. Une clause qui ouvre un audit sur site illimité est refusée par la plupart des fournisseurs ; une clause qui le limite à un rapport de certification annuel est souvent suffisante. L'équilibre se négocie, mais il doit être écrit.

Clauses à surveiller au-delà du minimum légal

Certaines clauses ne sont pas exigées par l'article 28 mais déterminent la valeur réelle du contrat. La réversibilité, d'abord : format des données restituées, durée de la période de transition, suppression certifiée. La répartition des coûts d'audit et d'assistance, ensuite. Le plafond de responsabilité, enfin, qui ne peut pas vider de sa substance l'article 82 du GDPR.

Ajoutez une clause de registre : l'article 30, paragraphe 2, impose au sous-traitant de tenir un registre des catégories d'activités de traitement. CE registre est un livrable documentaire, au même titre que ceux décrits dans notre guide des exigences documentaires ISO 9001.

Erreurs fréquentes en revue de contrat

Cinq défauts reviennent dans presque tous les DPA refusés lors d'un audit :

1. Modèle recopié sans annexes. La description du traitement et les mesures de l'article 32 manquent.
2. Confusion des rôles. Un partenaire qualifié de sous-traitant alors qu'il détermine lui-même les finalités : c'est un responsable conjoint (article 26) ou un responsable distinct.
3. Liste de sous-traitants ultérieurs absente ou obsolète.
4. Clause d'audit inapplicable : préavis irréaliste, périmètre flou, coûts non attribués.
5. Aucune clause de sortie. Sans réversibilité, le responsable du traitement devient captif.

Méthode de revue en cinq étapes

1. Cartographier le flux : qui transmet quoi, à qui, où, pendant combien de temps.
2. Vérifier les huit points de l'article 28, paragraphe 3, un par un.
3. Annexer les mesures techniques de l'article 32, avec des intitulés vérifiables.
4. Tester la clause de transfert : mécanisme, module, pays, analyse des risques.
5. Documenter la revue : version du contrat, date, écarts acceptés, responsable de l'approbation.

Cette traçabilité rejoint les exigences de maîtrise documentaire des systèmes de management — la même logique que celle appliquée au dossier technique CE pour les produits.

Un dernier point de méthode : le GDPR data processing agreement clauses guide clause by clause n'a de valeur que s'il est appliqué à un contrat vivant. Relisez le DPA à chaque changement de sous-traitant, de pays d'hébergement ou de catégorie de données. Un contrat signé EN 2019 et jamais mis à jour est un risque documenté.