GDPR Data Processing Agreement Clauses Guide for Small Business: Guide Pratique Conformité

CE que l'article 28 du GDPR impose vraiment

Le GDPR (règlement (UE) 2016/679) encadre la sous-traitance à l'article 28. Le texte ne se contente pas de demander « un contrat » au sens vague : il fixe une liste de mentions dont l'absence rend le dispositif incomplet. Un GDPR data processing agreement clauses guide for small business sérieux commence donc par la lecture de l'article 28(3), puis descend vers les annexes opérationnelles. Pour une lecture clause par clause, voir GDPR Data Processing Agreement Clauses: A Practical Guide.

Trois obligations pèsent d'abord sur le responsable du traitement : ne retenir que des sous-traitants offrant des garanties suffisantes (art. 28(1)), formaliser la mission dans un contrat écrit ou un acte juridique contraignant (art. 28(3) et 28(9)), puis contrôler l'exécution. La charge de la preuve reste chez le responsable : en cas de contrôle, c'est à lui de démontrer que le sous-traitant applique les mesures annoncées.

Le chapeau de l'article 28(3) : décrire le traitement

Avant les obligations, le contrat doit identifier l'objet, la durée, la nature et la finalité du traitement, le type de données à caractère personnel, les catégories de personnes concernées, ainsi que les obligations et droits du responsable du traitement. En pratique, ces éléments vivent dans une annexe descriptive. Une annexe vide est le premier point relevé lors d'un audit.

Les huit obligations des lettres (a) à (h)

• (a) Traitement sur instruction documentée uniquement, y compris pour les transferts hors UE.
• (b) Confidentialité des personnes autorisées à traiter les données.
• (c) Mesures de sécurité conformes à l'article 32 : chiffrement, résilience, tests réguliers.
• (d) Encadrement des sous-traitants ultérieurs, avec autorisation préalable et obligations équivalentes.
• (e) Assistance pour les demandes d'accès, de rectification, d'effacement et de portabilité (art. 12 à 23).
• (f) Assistance pour les violations de données (art. 33 et 34), les analyses d'impact (art. 35) et la consultation préalable (art. 36).
• (g) Suppression ou restitution des données à la fin de la prestation.
• (h) Mise à disposition des informations nécessaires et droit d'audit, y compris sur site.

Qui doit signer un DPA, et qui n'en a pas besoin

Le DPA concerne les sous-traitants au sens de l'article 4(8) : ils traitent des données pour le compte d'un autre. Hébergeur, éditeur de paie, outil de CRM, plateforme d'emailing, cabinet comptable, transporteur : tous entrent dans le champ.

À l'inverse, un prestataire qui détermine lui-même les finalités est un responsable du traitement distinct : pas de DPA, mais un partage d'informations. Le cas du responsable conjoint (art. 26) est encore différent : il exige un accord spécifique, pas un contrat de sous-traitance.

Pour une PME, le test tient en une question : le prestataire peut-il utiliser les données pour ses propres finalités ? Si oui, le DPA ne suffit pas.

Clauses à négocier au-delà du minimum légal

Le minimum de l'article 28(3) laisse des marges utiles. Cinq points méritent une négociation explicite.

1. Délai de notification des violations. Le GDPR impose 72 heures au responsable vis-à-vis de l'autorité (art. 33). Le sous-traitant doit donc alerter bien plus tôt : 24 à 48 heures est un ordre de grandeur courant.
2. Droit d'audit. Un audit sur site annuel, ou une alternative documentaire (questionnaire, certification ISO/IEC 27001) allège la charge.
3. Transferts hors UE. Chapitre V du GDPR : décision d'adéquation, clauses contractuelles types, mesures supplémentaires.
4. Sous-traitants ultérieurs. Liste nominative en annexe, préavis de 30 jours en cas d'ajout, droit d'opposition.
5. Fin de contrat. Format de restitution, délai de suppression, sort des sauvegardes.

Aligner DPA, ISO 9001 et dossier fournisseur

La clause 8.4 de l'ISO 9001 impose de maîtriser les processus, produits et services fournis par des prestataires externes. Le registre des sous-traitants GDPR et le registre fournisseurs ISO 9001 peuvent donc partager la même trame : identification, périmètre, criticité, preuves de conformité, date de revue. Le guide sur les exigences documentaires de l'ISO 9001 détaille cette logique de preuve.

Concrètement, un même dossier fournisseur peut couvrir un sous-traitant industriel qui vous livre des pièces dont les caractéristiques mécaniques sont vérifiées selon l'ASTM A36 et qui héberge au passage vos données RH. Deux volets, un seul dossier, une seule revue annuelle. La discipline documentaire du dossier technique CE, décrite dans notre guide du dossier technique CE, s'applique de la même manière : annexes versionnées, traçabilité des modifications, signature habilitée.

Erreurs fréquentes constatées en audit

• DPA signé mais annexes non renseignées.
• Contrat signé par un commercial sans délégation de signature.
• Sous-traitants ultérieurs absents de la liste.
• Aucune clause de fin de contrat : les données restent chez le prestataire.
• DPA jamais revu après un changement de périmètre.
• Confusion entre DPA et clauses contractuelles types : les secondes ne remplacent pas le premier.

Un GDPR data processing agreement clauses guide for small business utile se termine toujours par une checklist de contrôle, pas par une conclusion. Voici la nôtre.

Checklist de vérification en dix points

1. Annexe descriptive complète (objet, durée, finalité, données, personnes concernées).
2. Huit obligations (a) à (h) reprises textuellement.
3. Liste des sous-traitants ultérieurs à jour.
4. Délai de notification des violations chiffré.
5. Mesures de sécurité de l'article 32 documentées.
6. Modalités d'audit et de preuve définies.
7. Clause de fin de contrat et format de restitution.
8. Base de transfert hors UE identifiée.
9. Signataires habilités des deux côtés.
10. Date de revue planifiée et responsable nommé.

CE dernier point distingue un dossier vivant d'un PDF oublié. Le GDPR data processing agreement clauses guide for small business n'a de valeur que si quelqu'un relit le contrat chaque année, met à jour les annexes et conserve la preuve de la revue.