GDPR Data Processing Agreement Clauses Guide Step by Step : Méthode Pratique

Le contrat de sous-traitance — souvent appelé DPA — n'est pas un document de conformité générique que l'on signe en fin de projet. C'est l'instrument qui rend opposables les obligations de l'article 28 du GDPR. Un DPA mal calibré se découvre au pire moment : lors d'un contrôle, d'une violation de données ou d'une réclamation individuelle.

CE que l'article 28 du GDPR impose avant toute négociation

L'article 28, paragraphe 3, du GDPR énumère les mentions qu'un contrat de sous-traitance doit contenir. CE n'est pas une liste de bonnes pratiques. Un DPA incomplet fragilise la preuve de conformité exigée par le principe de responsabilité (article 5, paragraphe 2) et expose le responsable de traitement aux amendes administratives de l'article 83, paragraphe 4.

Avant d'ouvrir un modèle, il faut qualifier les rôles. Un même fournisseur peut être sous-traitant pour l'hébergement et responsable de traitement indépendant pour sa propre facturation. Le périmètre se décrit traitement par traitement, en s'appuyant sur le registre prévu à l'article 30.

Sous-traitant, sous-traitant ultérieur, responsable conjoint

Le sous-traitant ultérieur (article 28, paragraphe 4) engage le sous-traitant initial devant le responsable de traitement. La responsabilité conjointe (article 26) relève d'un régime distinct : finalité partagée, obligations réparties, accord mis à disposition des personnes concernées. Confondre les deux régimes produit des clauses inapplicables et des audits sans conclusion.

CE guide — GDPR data processing agreement clauses guide step by step — part du texte réglementaire, puis descend vers la rédaction et la négociation.

Les clauses obligatoires, article par article

L'article 28, paragraphe 3, points a) à h), fournit la trame. Chaque point doit trouver une traduction contractuelle vérifiable :

• Objet, durée, nature et finalité du traitement (point a) : décrire les opérations réelles, pas une catégorie générique.
• Instruction documentée (point a) : le sous-traitant n'agit que sur instruction, transferts compris.
• Confidentialité (point b) : engagement des personnes autorisées, avec durée post-contractuelle.
• Sécurité (point c) : renvoi explicite à l'article 32 et aux mesures de l'annexe technique.
• Sous-traitants ultérieurs (point d) : autorisation spécifique ou générale, information préalable et droit d'opposition.
• Droits des personnes (point e) : assistance du responsable pour les demandes relevant du chapitre III.
• Analyses d'impact et consultations (point f) : assistance au titre des articles 35 et 36.
• Violations de données (point g) : notification au responsable, avec un délai contractuel plus court que les 72 heures de l'article 33.
• Sort des données (point h) : suppression ou restitution en fin de prestation, avec preuve documentée.
• Audit et inspection (point h) : modalités, préavis, confidentialité, prise en charge des coûts.

Deux clauses complètent utilement l'ensemble : l'information immédiate lorsqu'une instruction du responsable violerait le GDPR, et la désignation d'un point de contact unique côté sous-traitant.

La méthode en sept étapes

1. Cartographier les traitements et qualifier chaque acteur (responsable, sous-traitant, responsable conjoint).
2. Auditer les contrats existants : beaucoup contiennent déjà des clauses de confidentialité, rarement l'article 28 au complet.
3. Rédiger le corps du DPA à partir de l'article 28, paragraphe 3, sans recopier le règlement mot à mot.
4. Annexer les éléments techniques : mesures de sécurité, liste des sous-traitants ultérieurs, matrice de responsabilités, délais de notification.
5. Traiter les transferts hors UE selon le chapitre V.
6. Négocier les points de friction : pénalités, plafonds de responsabilité, droit d'audit, réversibilité.
7. Versionner et revoir : un DPA vit avec le service ; une revue annuelle et une revue à chaque changement de sous-traitant ultérieur constituent le minimum.

Étape 4 : verrouiller les annexes techniques

Les annexes font la différence en audit. Une annexe de sécurité qui cite « chiffrement » sans algorithme, sans gestion des clés et sans périmètre ne démontre rien. Une liste de sous-traitants ultérieurs sans localisation ni rôle ne permet pas d'évaluer les transferts. Prévoyez une procédure de mise à jour des annexes, avec numéro de version et date d'entrée en vigueur.

Transferts hors UE : chapitre V et arrêt Schrems II

Les articles 44 à 49 du GDPR encadrent les transferts. Trois voies principales : la décision d'adéquation (article 45), les clauses contractuelles types (article 46, paragraphe 2, point c) et les règles d'entreprise contraignantes (article 47). Les dérogations de l'article 49 restent exceptionnelles et non répétables.

L'arrêt Schrems II (CJUE, C-311/18) impose une analyse au cas par cas : identifier la base légale du transfert, évaluer la législation du pays de destination, puis ajouter des mesures supplémentaires si nécessaire. La décision d'adéquation adoptée le 10 juillet 2023 pour le cadre de protection des données UE–États-Unis simplifie les flux vers les organisations certifiées, sans supprimer l'obligation de vérifier que la certification reste valide pendant toute la durée du contrat.

Erreurs fréquentes relevées en audit

• DPA signé, annexes vides ou obsolètes.
• Délai de notification aligné sur les 72 heures de l'article 33, sans délai intermédiaire sous-traitant → responsable.
• Clause d'audit sans préavis, sans périmètre ni modalités de prise en charge.
• Sous-traitants ultérieurs ajoutés sans information préalable du responsable de traitement.
• Absence de clause de réversibilité : les données restent chez le prestataire à la résiliation.
• Mesures de sécurité décrites par simple renvoi à une politique interne non communiquée.

Preuve documentaire et articulation avec les référentiels

Le DPA est un document parmi d'autres. Sa valeur probante dépend de la cohérence de l'ensemble : registre des traitements, analyse d'impact, politique de sécurité, journal des demandes de droits. La logique rejoint celle des systèmes qualité : maîtriser la documentation, versionner, tracer les validations. Le guide des exigences de documentation ISO 9001 décrit cette mécanique, transposable au pilotage d'un programme GDPR. Pour les produits, le même réflexe s'applique au dossier technique CE, où chaque affirmation doit être adossée à une preuve conservée.

Pour approfondir la rédaction clause par clause, consultez notre guide pratique des clauses du DPA. Il complète la présente méthode en détaillant les formulations à éviter et celles qui tiennent devant une autorité de contrôle.

Un dernier point : la GDPR data processing agreement clauses guide step by step n'a de valeur que si la mise en œuvre suit. Désignez un propriétaire du contrat, planifiez la revue, et testez le dispositif de notification par un exercice annuel.