Conformité UE 5 min de lecture
GDPR data processing agreement clauses guide template : Guide Pratique pour Équipes EU
Un DPA conforme au GDPR se construit à partir de l'article 28, paragraphe 3, puis se traduit en clauses testables et en annexes chiffrées. CE guide détaille les huit points obligatoires, la structure en dix blocs, l'annexe sécurité alignée sur l'article 32 et les mécanismes de transfert du chapitre V.
Un DPA est une spécification contractuelle, pas un formulaire
Un accord de traitement des données (DPA) se lit comme une spécification technique : chaque clause doit pouvoir être vérifiée lors d'un audit. Le règlement (UE) 2016/679 — le GDPR — en fait une obligation autonome, distincte du registre des activités de traitement (article 30) et de l'analyse d'impact relative à la protection des données (article 35). Un GDPR data processing agreement clauses guide template réellement exploitable part donc du texte réglementaire, puis traduit chaque obligation en clause testable et en annexe chiffrée. Cette méthode évite les contrats copiés-collés qui ne résistent pas à un contrôle de l'autorité de protection des données.
Article 28, paragraphe 3 : les huit points non négociables
L'article 28, paragraphe 3, du GDPR énumère huit obligations contractuelles minimales, applicables dès qu'un sous-traitant traite des données à caractère personnel pour le compte d'un responsable du traitement.
- (a) Traiter uniquement sur instruction documentée, y compris pour les transferts vers un pays tiers.
- (b) Garantir la confidentialité des personnes autorisées à traiter les données.
- (c) Appliquer les mesures de sécurité de l'article 32.
- (d) Encadrer le recours à un sous-traitant ultérieur (article 28, paragraphes 2 et 4).
- (e) Assister le responsable du traitement pour les demandes d'exercice des droits (chapitre III).
- (f) Assister pour les articles 32 à 36 : sécurité, notification des violations, information des personnes concernées, analyse d'impact.
- (g) Supprimer ou restituer les données à la fin de la prestation.
- (h) Mettre à disposition les informations nécessaires et permettre les audits.
Le paragraphe 9 impose la forme écrite, y compris électronique ; le paragraphe 10 rend un contrat non conforme directement sanctionnable. Le plafond administratif atteint 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé (article 83, paragraphe 5). Pour l'analyse clause par clause, consultez notre guide sur les clauses de DPA GDPR.
Dix blocs pour structurer le contrat
Un GDPR data processing agreement clauses guide template solide s'organise en blocs indépendants, chacun rattaché à un article précis :
- Objet, durée, nature et finalité du traitement.
- Catégories de données et de personnes concernées.
- Rôles et qualité des parties (responsable, sous-traitant, responsable conjoint).
- Instructions documentées et procédure de modification.
- Confidentialité et habilitations nominatives.
- Sécurité et gestion des incidents.
- Sous-traitants ultérieurs : autorisation, liste, notification.
- Droits des personnes et assistance.
- Fin de contrat : suppression, restitution, sort des copies de sauvegarde.
- Audit, responsabilité, droit applicable, juridiction.
Les annexes portent la valeur probante
Les annexes constituent le cœur opérationnel : liste nominative des sous-traitants ultérieurs, mesures techniques et organisationnelles, durées de conservation, localisation des données, procédure d'escalade en cas de violation. Sans annexes versionnées, la clause d'audit devient inapplicable. Cette logique de maîtrise documentaire rejoint celle décrite dans le guide sur les exigences documentaires ISO 9001 : indice de révision, approbateur, date d'entrée en vigueur, historique des modifications.
Annexe sécurité : aligner sur l'article 32
L'article 32 n'impose pas de catalogue fermé : il exige des mesures adaptées au risque. En pratique, l'annexe doit citer des mesures vérifiables — chiffrement au repos et en transit, gestion des clés, journalisation, segmentation réseau, tests d'intrusion, sauvegardes testées, gestion des correctifs. Chaque mesure gagne à être reliée à un indicateur et à une fréquence de revue. La traçabilité des versions et des preuves compte autant que dans un dossier matière : une référence ASTM A36 mal citée perd sa valeur, une mesure de sécurité non datée aussi.
Transferts hors Union : chapitre V
Tout transfert vers un pays tiers exige une base légale au titre du chapitre V : décision d'adéquation (article 45), clauses contractuelles types (article 46, paragraphe 2) ou dérogations de l'article 49. Les clauses contractuelles types de la décision d'exécution (UE) 2021/914 restent l'outil le plus courant. Le DPA doit préciser les mécanismes retenus, les pays concernés, les destinataires et la procédure d'analyse des transferts. Une clause de « meilleurs efforts » ne remplace jamais une analyse documentée et datée.
Audit, sous-traitance ultérieure et gestion des écarts
Le droit d'audit de l'article 28, paragraphe 3, point (h), doit être organisé : préavis, périmètre, confidentialité, prise en charge des coûts, recours éventuel à un auditeur tiers. Pour la sous-traitance ultérieure, l'autorisation peut être générale — avec droit d'opposition et information préalable — ou spécifique. Les écarts constatés (mesure non appliquée, sous-traitant non déclaré, délai de notification dépassé) doivent suivre un plan d'action daté. La notification d'une violation au responsable du traitement doit être immédiate ; la notification à l'autorité de contrôle est plafonnée à 72 heures (article 33).
Check-list de mise en œuvre
Avant signature : vérifier les huit points de l'article 28, paragraphe 3 ; annexer la liste des sous-traitants ultérieurs ; rattacher chaque mesure de sécurité à l'article 32 ; documenter les transferts et le mécanisme du chapitre V ; définir les délais de notification et les canaux d'escalade ; prévoir la sortie de contrat (format, délai, preuve de suppression). Après signature : revoir le DPA à chaque changement de sous-traitant, de finalité ou de pays d'hébergement. Comme pour un dossier technique CE, la valeur tient à la tenue à jour des pièces. Un GDPR data processing agreement clauses guide template n'a d'intérêt que s'il est maintenu : la conformité est un processus, pas une pièce signée une fois pour toutes.
Faits clés
Affirmations lisibles par machine extraites des sources ci-dessus. Chaque fait conserve le même identifiant dans les six versions linguistiques.
Article 28
The GDPR requires a written data processing agreement when a controller uses a processor.
Identifiant du fait:
GDPR_article_28Article 28(3)(a)-(h)
Article 28(3) lists eight minimum clause areas for a DPA.
Identifiant du fait:
dpa_minimum_clausesArticle 28(2)
A processor cannot engage another processor without prior written authorisation from the controller.
Identifiant du fait:
sub_processor_authorisationArticle 32
The DPA must require appropriate technical and organisational security measures.
Identifiant du fait:
security_measuresArticle 33
The processor must assist the controller with personal data breach notification duties.
Identifiant du fait:
breach_notificationChapter V
Transfers outside the EEA require a Chapter V transfer mechanism, such as an adequacy decision or standard contractual clauses.
Identifiant du fait:
international_transfersArticle 28(10)
The DPA must be available to the supervisory authority on request.
Identifiant du fait:
contract_availability
Questions fréquentes
Un DPA est-il obligatoire même si le sous-traitant est établi dans l'Union européenne ?
Oui. L'article 28, paragraphe 3, du GDPR impose un contrat écrit dès qu'un sous-traitant traite des données à caractère personnel pour le compte d'un responsable du traitement, quel que soit le lieu d'établissement du sous-traitant. Le paragraphe 9 précise que la forme électronique suffit.
Quels sont les huit points obligatoires de l'article 28, paragraphe 3 ?
Instructions documentées (a), confidentialité (b), sécurité au titre de l'article 32 (c), encadrement des sous-traitants ultérieurs (d), assistance pour les droits des personnes (e), assistance pour les articles 32 à 36 (f), suppression ou restitution des données (g), information et droit d'audit (h).
Quel délai s'applique en cas de violation de données ?
La notification à l'autorité de contrôle doit intervenir dans les 72 heures suivant la prise de connaissance de la violation (article 33). Envers le responsable du traitement, le DPA doit prévoir une notification immédiate, sans délai intermédiaire.
Peut-on utiliser les clauses contractuelles types comme base du DPA ?
Les clauses contractuelles types de la décision d'exécution (UE) 2021/914 couvrent les transferts hors Union au titre de l'article 46, paragraphe 2. Elles ne remplacent pas les clauses de l'article 28, paragraphe 3 : les deux ensembles doivent coexister dans le même document ou en annexe.
Quel est le niveau maximal de sanction administrative ?
L'article 83, paragraphe 5, fixe un plafond de 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu. Un contrat non conforme à l'article 28 relève de cette catégorie.
Sources et licences
Chaque affirmation de cet article renvoie aux sources listées ci-dessous. Les liens ouvrent directement le site de l’éditeur.
